Päivittämättä jättäminen ei riko sivustoa heti. Juuri siksi se on vaarallista: mikään ei näytä olevan vialla, kunnes jonain päivänä on.
Mitä päivityksissä oikeasti korjataan
Suurin osa WordPressin, teemojen ja lisäosien päivityksistä on tietoturvakorjauksia. Kun haavoittuvuus julkaistaan, se on julkinen tieto myös hyökkääjille. Automaattiset työkalut etsivät verkosta sivustoja, joilla on tunnettu haavoittuva versio, ja ne löytävät ne nopeasti.
Miksi juuri WordPress
WordPress pyörittää arviolta yli 40 % maailman verkkosivuista. Hyökkääjän kannalta se on paras mahdollinen kohde, koska yksi toimiva hyökkäys toimii miljoonilla sivustoilla. Kyse ei ole siitä että WordPress olisi huono, vaan siitä että se on yleinen.
Mitä murretulla sivustolla tehdään
Harvoin mitään näkyvää. Yleisimmät seuraukset ovat:
- Sivustolle lisätään piilotettuja linkkejä tai uudelleenohjauksia, jotka näkyvät vain hakukoneelle.
- Palvelinta käytetään roskapostin lähettämiseen, mikä johtaa siihen että oma sähköpostisi lakkaa menemästä perille.
- Sivustolle asennetaan takaovi, jolla pääsy säilyy vaikka alkuperäinen reikä korjataan.
- Google merkitsee sivuston vaaralliseksi, ja selain näyttää punaisen varoituksen kävijöille.
Miksi korjaaminen on kalliimpaa kuin estäminen
Päivittäminen on minuutin työ. Murretun sivuston siivoaminen tarkoittaa että jokainen tiedosto pitää tarkistaa, koska et voi tietää mitä on muutettu. Käytännössä luotettavin tapa on palauttaa puhdas varmuuskopio ajalta ennen murtoa, mikä edellyttää että varmuuskopiot ovat olemassa ja toimivat.
Mitä kannattaa automatisoida
- Tietoturvapäivitykset automaattisesti. Riski siitä että päivitys rikkoo jotain on pienempi kuin riski siitä että sivusto murretaan.
- Suuret versiopäivitykset valvotusti. Näissä kannattaa ottaa varmuuskopio ensin.
- Käyttämättömät lisäosat ja teemat pois. Haavoittuvuus käytöstä poistetussa mutta asennetussa lisäosassa on yhä haavoittuvuus.
Meidän tekemillä sivustoilla päivitykset hoidetaan puolestasi, eli tämä ei ole jotain mitä sinun pitäisi muistaa.