Darmowe narzędzie · WordPress

Audyt bezpieczeństwa WordPressa

Pasywny przegląd zabezpieczeń strony na WordPressie dla jej właściciela. Odczytuje tylko publiczne strony i nagłówki HTTP — niczego nie wysyła, nie próbuje się logować, nie testuje żadnej słabości — i pokazuje typowe luki, których szukają automatyczne skanery, z prostą poprawką dla każdej.

Spróbuj:

Chcesz porządnie zabezpieczyć swojego WordPressa?

Ten pasywny test widzi tylko to, co strona ujawnia publicznie. Pełny audyt sięga głębiej — bezpiecznie i za Twoją zgodą — a my naprawiamy to, co znajdzie.

Zamów audyt Napisz na sales@robosoft.co

Wtyczki i motywy sprawdzone pod kątem znanych podatności
Zabezpieczenia: logowanie, uprawnienia plików, dostęp do panelu
Poprawnie ustawione nagłówki bezpieczeństwa i firewall
Skan malware, czyszczenie i niezawodne kopie zapasowe
Monitoring, dzięki któremu o problemach dowiesz się pierwszy

Większość włamań na WordPressa wykorzystuje podstawy

Strony rzadko padają ofiarą sprytnych, celowanych ataków. Ogromna większość ulega automatycznym botom, które skanują cały internet w poszukiwaniu tych samych kilku słabości: nieaktualnej wtyczki ze znaną luką, słabego lub powtórzonego hasła administratora odgadniętego metodą prób, numeru wersji, który podpowiada botowi, co dokładnie wypróbować, albo konfiguracji pozostawionej w niebezpiecznym ustawieniu domyślnym.

Ten przegląd obejmuje tę część, którą właściciel widzi z zewnątrz, niczego nie dotykając. Odczytuje publiczne strony i nagłówki HTTP, które serwer i tak wysyła, i pokazuje, gdzie strona zdradza więcej, niż powinna, lub zostawia otwarte ustawienie domyślne. Nie próbuje się logować, wysyłać danych, sięgać do prywatnych plików ani testować słabości — tylko obserwuje i podpowiada, co dokręcić.

1. Ujawnianie

Czy wersja WordPressa jest publikowana w kodzie strony lub w domyślnym pliku readme i czy katalogi można przeglądać bezpośrednio.

2. Otwarte ustawienia domyślne

Pozostawione włączone XML-RPC i to, czy REST API ujawnia nazwy kont — ulubione cele automatycznych botów.

3. Nagłówki i HTTPS

HTTPS i HSTS oraz nagłówki odpowiedzi chroniące przed osadzaniem w ramkach, sztuczkami z typem treści i wstrzykniętymi skryptami.

Pytania i odpowiedzi

Czy uruchomienie testu jest bezpieczne? Czy atakuje moją stronę?

Jest całkowicie pasywny. Odczytuje kilka publicznych stron i nagłówki HTTP, które Twój serwer i tak wysyła każdemu odwiedzającemu, i niczego nie zmienia. Nie próbuje się logować, wysyłać formularzy, sięgać do prywatnych plików ani testować słabości.

Co sprawdza audyt?

Bezpieczeństwo transmisji (HTTPS, HSTS), ujawnianie informacji (wersja WordPressa w kodzie lub readme.html, listowanie katalogu uploads), otwarte ustawienia domyślne (XML-RPC i to, czy REST API pokazuje nazwy użytkowników) oraz główne nagłówki bezpieczeństwa.

Czy uruchamiać test tylko na własnej stronie?

Tak. Choć każdy test jest pasywny i odczytuje tylko publiczne informacje, te narzędzia służą do audytu stron, które należą do Ciebie lub za które odpowiadasz. Tylko wtedy możesz też działać na podstawie wyników.

Czy dobry wynik oznacza, że strona jest bezpieczna?

Nie. Ten test obejmuje podstawy zabezpieczeń widoczne z zewnątrz. Prawdziwe bezpieczeństwo zależy też od silnych haseł, aktualnych wtyczek, poprawnych uprawnień plików, niezawodnych kopii zapasowych i konfiguracji serwera — tego, co pełny audyt sprawdza za Twoją zgodą.

Potrzebujesz więcej niż testu jednej strony?

Budujemy i utrzymujemy strony internetowe i WordPressa od 2008 roku. Opowiedz nam o swojej stronie, a wrócimy z planem i uczciwą wyceną.

Skontaktuj się