Analityka i audyty
Audyt strony
na WordPressie
Sprawdzamy, co jest zainstalowane na Twoim WordPressie, które wtyczki autorzy porzucili i czy kopię zapasową da się odtworzyć. Wynikiem jest lista problemów według wagi z planem naprawy.
Dlaczego akurat WordPress wymaga uwagi
WordPress jest bardzo popularny, więc jest też częstym celem automatycznych ataków. Boty skanują strony seriami i szukają znanej luki w konkretnej wersji konkretnej wtyczki.
Rdzeń systemu dostaje regularne aktualizacje. Więcej ryzyka niosą zwykle wtyczki dokładane przez lata.
Co sprawdzamy w instalacji
- Wersje rdzenia, motywu i wtyczek oraz znane podatności
- Wtyczki porzucone przez autorów albo dublujące funkcje
- Konta użytkowników, uprawnienia i siła haseł
- Ślady włamania: podejrzane pliki, katalog mu-plugins, wstrzyknięty kod
- Kopie zapasowe: czy istnieją, gdzie leżą i czy da się je odtworzyć
- Wydajność: zapytania do bazy, rozmiar obrazów, cache
- Podstawy SEO: indeksacja, tytuły, mapa strony, przekierowania
- Certyfikat SSL i konfiguracja serwera
- Podstawy dostępności, polityka prywatności, polityka cookies i baner zgód
Osobno zaglądamy do katalogu mu-plugins. Wtyczki z tego katalogu ładują się automatycznie, nie da się ich wyłączyć z panelu i łatwo je przeoczyć, dlatego sprawdzamy jego zawartość plik po pliku.
Kopie zapasowe i próbne odtworzenie
Zdarza się, że kopie robią się co noc, ale na ten sam serwer, na którym stoi strona. Awaria dysku albo zaszyfrowanie danych przez ransomware zabiera wtedy jednocześnie stronę i kopię.
Bywa też, że kopie leżą poza serwerem, ale nie było próby ich odtworzenia. Dlatego odtwarzamy kopię na osobnym środowisku i mierzymy, ile trwa powrót do pracy.
Gdzie leży, kiedy ostatnio ją odtwarzano i ile czasu zajmie przywrócenie strony po awarii. Jeśli którejś z tych odpowiedzi brakuje, audyt ją uzupełni.
Wydajność: co spowalnia WordPressa
Typowe przyczyny wolnego WordPressa to obrazy wrzucone w oryginalnym rozmiarze z aparatu, wtyczki ładujące skrypty na każdej podstronie i brak cache po stronie serwera.
Naprawa zwykle nie wymaga przebudowy strony. W audycie wskazujemy, ile waży każdy element i od czego zacząć, żeby zysk był największy.
Wtyczki: które zostawić, a które usunąć
Na stronach, które działają od kilku lat, wtyczek zwykle przybywa. Część robi to samo, część obsługuje funkcje dawno wyłączone, a kilka zainstalowano na próbę i tak już zostały.
Każda wtyczka to dodatkowy kod i dodatkowe miejsce, przez które można zaatakować stronę. Sprawdzamy, czy wtyczki są aktualne, czy są potrzebne i czy autor nadal je rozwija.
- Wtyczki bez aktualizacji od ponad roku
- Funkcje dublujące się między wtyczkami
- Wtyczki nieaktywne, ale nadal obecne w plikach
- Rozwiązania premium bez ważnej licencji, a więc bez poprawek bezpieczeństwa
- Wtyczki ładujące skrypty na podstronach, na których nie są używane
Co robimy, gdy strona jest już zainfekowana
Gdy audyt wykryje aktywne włamanie, dzwonimy od razu. Kolejność działań jest stała: najpierw kopia zainfekowanej instalacji, bo będzie potrzebna do analizy, potem odcięcie dostępu i dopiero wtedy czyszczenie.
Samo usunięcie złośliwego kodu nie zamyka sprawy. Trzeba ustalić, którędy napastnik wszedł, bo inaczej może wrócić tą samą drogą.
Po wyczyszczeniu zmieniamy hasła i klucze bezpieczeństwa, przeglądamy listę kont administratorów i włączamy monitoring zmian plików.
Nagły ruch z zagranicy na podstrony, których nie znasz, może oznaczać, że ktoś dokleił do serwisu własne treści i pozycjonuje je na Twojej domenie. Warto wtedy od razu sprawdzić stronę.
Od czego zależy koszt audytu
Koszt zależy od wielkości instalacji, liczby wtyczek i tego, czy potrzebne jest próbne odtworzenie większej kopii. Usunięcie infekcji wyceniamy osobno, bo to już naprawa, a nie diagnoza.
Po audycie możesz zostać przy własnej obsłudze albo przejść na stałą opiekę, w której aktualizacje, kopie i monitoring są po naszej stronie.
Serwer: czas odpowiedzi, PHP i limity
Zanim zaczniemy optymalizować WordPressa, sprawdzamy serwer. Tani hosting współdzielony bywa ograniczony tak, że optymalizacja samej strony niewiele da: wolne dyski, przestarzała wersja PHP, brak cache po stronie serwera, limit zapytań do bazy.
W raporcie podajemy pomiary: czas odpowiedzi serwera, wersję PHP i dostępne limity. Z tymi liczbami łatwiej porównać oferty hostingu.
Jeśli problemem okaże się serwer, możemy zaproponować nasz hosting stron. Raport działa jednak niezależnie od tego, u którego dostawcy zostaniesz.
Dostępność i podstawy prawne
Przy okazji audytu sprawdzamy podstawy dostępności: czy formularze mają poprawne etykiety, czy kontrast tekstu jest wystarczający i czy stronę da się obsłużyć klawiaturą.
Przeglądamy też dokumenty: politykę prywatności, politykę cookies i baner zgód spięty z pomiarem. To nie jest audyt prawny. Wskazujemy miejsca, które warto skonsultować z prawnikiem.
Współpraca
Jak wygląda współpraca krok po kroku
Dostęp do panelu i serwera
Czytamy, nie zmieniamy. Żadna modyfikacja nie wchodzi bez Twojej zgody.
Analiza i testy
Skan bezpieczeństwa, pomiar wydajności i próbne odtworzenie kopii zapasowej.
Raport i plan
Lista problemów według wagi i propozycja, co naprawić od razu, a co zaplanować.
Pytania
Najczęstsze pytania
Nie. Audyt polega na odczycie i niczego nie zmieniamy bez Twojej zgody. Jeśli znajdziemy aktywne włamanie, dzwonimy od razu.
Zabezpieczamy kopię stanu obecnego, odcinamy dostęp, czyścimy instalację, ustalamy drogę wejścia, zmieniamy hasła i klucze oraz włączamy monitoring zmian plików. Czyszczenie wyceniamy osobno.
Nie. Raport zostaje u Ciebie i możesz go wdrożyć samodzielnie albo zlecić komuś innemu.
Raz w roku przy stronie, która rzadko się zmienia, i po każdej większej przebudowie. Między audytami wystarcza monitoring aktualizacji i kopii.
Tak. Audytujemy także strony na innych systemach. Dla sklepów mamy osobne audyty: PrestaShop i audyt sklepu internetowego.
Powiązane usługi
Co jeszcze może się przydać
Twoje miasto
Audyt strony WordPress w Twoim mieście
Dla każdego z tych miast mamy osobną stronę z opisem lokalnego rynku i tego, jak pracujemy z firmami z tego miasta.
Sprawdźmy, co jest w Twojej instalacji
Podaj adres strony. Odeślemy zakres audytu i termin realizacji.