WordPress-sikkerhet

Nei. WordPress selv vedlikeholdes av et eget sikkerhetsteam og patches raskt, ofte raskere enn de fleste kommersielle alternativene. Problemene oppstår rundt plattformen, ikke i den: i plugins ingen har oppdatert på et år, i passord som allerede har lekket fra helt andre tjenester, i en innlogging som står åpen mot internett. Settes alt opp riktig og holdes oppdatert, står WordPress seg like godt som enhver annen moderne plattform.

Forskjellen ligger i plasseringen. En WAF vokter ytterkanten og siler vekk angrepstrafikken på nettverksnivå, slik at de farlige forespørslene stoppes før WordPress i det hele tatt blir bedt om å behandle dem. En sikkerhets-plugin jobber derimot inne i selve applikasjonen den skal beskytte. I det øyeblikket WordPress brytes, kjører pluginen allerede på kompromittert grunn og kan ikke lenger stoles på til å holde stand.

Alt som tetter et sikkerhetshull bør installeres samme dag som det slippes, uten å vente. Funksjons- og vedlikeholdsoppdateringer kan derimot vente på en runde i staging først, men bør være ute i produksjon innen en uke etter at de er lansert. Hos oss kjører begge sporene automatisk, slik at de kritiske patchene går ut med en gang og resten aldri blir liggende glemt på en liste.

Arbeidet starter innenfor SLA-en, i praksis på under 30 minutter fra varselet kommer. Angriperen stenges ute, nettsiden rulles tilbake til siste rene backup, og deretter graver vi oss ned i loggene til vi vet nøyaktig hvilken sårbarhet som ble utnyttet og hvordan den ble nådd. Hullet tettes permanent, og samme vei inn virker ikke en gang til. Etterpå får dere en skriftlig oppsummering av hva som skjedde.

Ja. Automatiserte påloggingsforsøk mot wp-login.php er fortsatt den vanligste veien inn i WordPress, og robotene bak jobber seg gjennom lekkede passordlister hele døgnet uten å bli trøtte. Tofaktor stenger den ruten helt, fordi selv et korrekt passord er verdiløst alene. Da slutter styrken på passordet å være det eneste som står mellom en angriper og admin-panelet ditt.

Sikkerhet er ingen egen post på fakturaen. Den ligger inne i vedlikeholdsavtalen vår, som starter på 3 000 kr i måneden og allerede inkluderer WAF, automatiserte oppdateringer, overvåkning døgnet rundt, kryptert backup og garantert responstid ved hendelser. Ingenting på den listen selges som et tillegg i etterkant. Hvert nivå og nøyaktig hva det dekker finner du i prisoversikten.

Ja, det gjør vi jevnlig. Oppryddingen starter med malware-fjerning og en full gjennomgang av alt angriperen har endret, inkludert de stille bakdørene som er plantet for et senere besøk. Deretter herder vi hele installasjonen fra bunnen av, og til slutt settes overvåkning og WAF opp, slik at samme angrep ikke virker to ganger. Hele prosessen, steg for steg, står beskrevet på migreringssiden.

Ja. Dataene ligger i EU, og trafikken går kryptert hele veien. Admin-handlinger loggføres med spor som viser hvem som gjorde hva og når, og hele oppsettet er dekket av en signert databehandleravtale. Det er nøyaktig den dokumentasjonen Datatilsynet forventer å se i en tilsynssak, og når den allerede ligger klar, blir en forespørsel som ellers hadde betydd full krise til en kort og rolig øvelse i stedet.