WordPress on suosittu alusta erilaisille verkkosivuille, blogeille ja verkkokaupoille. Kuten kaikki verkkopalvelut, myös WordPress-sivustot voivat joutua tietoturvaongelmien kohteeksi.

Ongelmia voidaan kuitenkin ehkäistä ja mahdollisia vahinkoja pienentää muutaman tärkeän asian huomioimisella.

Tavoitteena on suojata sivusto esimerkiksi haittaohjelmilta, murroilta ja tietojen katoamiselta sekä varmistaa, että sivuston palauttaminen ongelmatilanteessa on mahdollista.

Kun tärkeimmät asiat ovat kunnossa, ehkäistään monia tavallisia ongelmia ja pienennetään vahinkoja, jos jotain odottamatonta tapahtuu. Kuitenkaan pelkkä suojauksen olemassaolo ja oikea toteutus ei riitä, vaan on tärkeää, että sitä ylläpidetään.

1. WordPressin ja lisäosien päivitykset

WordPress-sivusto koostuu useista osista: WordPress muodostaa sivuston perustan, teemat määrittävät sen ulkoasua ja lisäosat tuovat käyttöön erilaisia toimintoja, kuten yhteydenottolomakkeita, varausjärjestelmiä ja verkkokaupan ominaisuuksia.

Olennaisin asia WordPress-sivustojen tietoturvassa on huolehtia päivitysten ajantasaisuudesta, sillä vanhentuneet ohjelmistot voivat sisältää tietoturva-aukkoja. Päivitykset korjaavat havaittuja heikkouksia ja parantavat muutoinkin ohjelmistojen toimintaa. Jos päivityksiä laiminlyödään, sivusto voi altistua hyökkäyksille, vaikka se näyttäisi kävijöille täysin normaalilta.

Erityisen kriittistä päivittäminen on verkkosivustoille, joissa käsitellään asiakastietoja. EU:n yleinen tietosuoja-asetus (GDPR) velvoittaa organisaatiot suojaamaan asiakastiedot huolellisesti. Ilman ajantasaisia päivityksiä et vaaranna pelkästään omaa sivustoasi, vaan samalla vaarantuvat myös asiakastiedot.

Mitä sivuston omistajan kannattaa tehdä?

• Ota automaattiset päivitykset käyttöön. WordPress-sivuston hallintapaneelista voi tarkistaa päivitysten tilanteen ja laittaa automaattiset päivitykset päälle. Ohjeita tähän löytyy artikkelista WordPress-sivuston ylläpito yhdestä paikasta – tutustu Pleskin työkaluihin. Myös kaikki teemat ja lisäosat kannattaa laittaa päivittymään automaattisesti. Vaikka ne eivät olisikaan tällä hetkellä aktiivisena, ilman päivityksiä ne ovat silti alttiina erilaisille tietoturvauhille.
• Poista kaikki tarpeettomat lisäosat ja teemat. Silloin niiden päivityksistä ei tarvitse huolehtia ja myös tilaa säästyy.
• Käytä vain luotettavia ja aktiivisesti ylläpidettyjä lisäosia. Näin pienennät riskiä toiminnallisille ongelmille ja tietoturvahaavoittuvuuksille.
• Varmista ennen merkittäviä päivityksiä, että sivustosta on olemassa toimiva varmuuskopio. Jos sivusto lakkaisi toimimasta, se on mahdollista palauttaa varmuuskopion avulla.
• Päivityksen jälkeen tarkista, että sivusto toimii niin kuin on tarkoitus.

2. Kirjautuminen ja käyttäjätunnusten hallinta

WordPressin hallintapaneelissa on mahdollista muokata sisältöä, hallita käyttäjiä, asentaa lisäosia jne. Jos hyökkääjä saisi käsiinsä ylläpitäjän tunnukset, seuraukset voisivat olla vakavia – hän voisi esimerkiksi lisätä sivustolle haitallista koodia, muuttaa sivuston sisältöä tai yrittää kerätä tietoa kävijöistä.

Näillä toimenpiteillä kirjautumista voi suojata:

• Käytä aina vahvaa ja yksilöllistä salasanaa, jota et käytä missään muussa palvelussa. Salasanan tulee olla riittävän pitkä ja sisältää kirjaimia, numeroita ja erikoismerkkejä. Erilaiset salasananhallintaohjelmat auttavat luomaan ja säilyttämään salasanoja.
• Ota käyttöön monivaiheinen tunnistautuminen (MFA). Se tarkoittaa, että salasanan lisäksi palveluun kirjautuminen vaatii esimerkiksi puhelimen tunnistussovelluksella vahvistamisen. Vaikka joku saisikin salasanasi tietoonsa, hän ei pääse kirjautumaan palveluun.
• Rajoita käyttöoikeuksia. Anna tarvittavat käyttöoikeudet työtehtävän perusteella. Esimerkiksi jos henkilö tarvitsee oikeudet vain artikkeleiden kirjoittamiseen ja julkaisuun, hänelle ei välttämättä tarvitse antaa pääsyä kaikkiin sivuston asetuksiin.
• Poista myös tarpeettomat käyttäjätilit. Näin sivustolle ei ole enää pääsyä niillä, jotka sitä eivät tarvitse. Jokaisella käyttäjällä tulisi olla myös oma käyttäjätili, jotta käyttöä voidaan seurata.

3. Varmuuskopiointi ja palautus

Vaikka sivuston tietoturva olisi hyvällä tasolla, kaikkia ongelmia ei voida estää. Sivusto voi rikkoutua päivityksen yhteydessä, se voi joutua hyökkäyksen kohteeksi tai menettää tietoja esimerkiksi palvelinongelmien vuoksi.

Tällaisia tilanteita varten tarvitaan varmuuskopio. Varmuuskopio tarkoittaa sivustosta tallennettua kopiota. Sen avulla sivusto voidaan palauttaa ongelmatilanteessa aikaisempaan, toimivaan tilaan.

Pelkkä varmuuskopion olemassaolo ei kuitenkaan riitä. Olennaista on, että kopio on ajantasainen ja sen avulla onnistutaan palauttamaan toimiva sivusto.

Huomioi varmuuskopioinnissa nämä asiat:

• Varmuuskopioi tiedostot ja tietokanta säännöllisesti. Tiedostoihin kuuluvat esimerkiksi kuvat, lisäosat ja teemat. Tietokannassa on taas sivujen tekstit, asetukset, käyttäjätiedot jne. Varmuuskopioinnin tulisi tapahtua automaattisesti ja riittävän usein.
• Säilytä varmuuskopioita muualla kuin kotisivujen palvelimella. Jos palvelimella tulee ongelmia, varmuuskopiot ovat tällöin tallessa toisessa sijainnissa. Varmuuskopioiden suojaaminen käyttöoikeuksin on myös tärkeää, sillä ne voivat sisältää luottamuksellisia tietoja.
• Testaa palautus, jotta se toimii tositilanteessa. Jos ongelmatilanne tulee, on hyvä selvittää jo etukäteen, onnistuuko palautus ja kauanko siinä menee aikaa. On hyvä myös päättää kuka vastaa palautuksesta.

Tietoturva on olennainen osa nykyistä digitaalista maailmaa ja koskettaa jokaista sivustoa ja käyttäjää – se ei ole kertaluonteinen tarkistus, vaan vaatii jatkuvaa seurantaa ja ylläpitoa. WordPress-sivujen tietoturva on kokonaisuus, johon kuuluvat ohjelmistojen päivitykset, turvallinen kirjautuminen, varmuuskopiointi ja sivuston jatkuva seuranta.

Hyvin hoidettu WordPress-tietoturva ei tarkoita täysin riskitöntä sivustoa. Se tarkoittaa sitä, että tavallisia riskejä ehkäistään järjestelmällisesti ja mahdollisiin ongelmiin reagoidaan nopeasti.