Verkkosivuston tietoturva ei ole yksittäinen asetus, vaan jatkuva prosessi. Seravon WordPress-ylläpidossa tietoturva perustuu jaetun vastuun periaatteeseen: Seravo huolehtii palvelintason infrastruktuurista, valvonnasta ja automaattisista päivityksistä ympäri vuorokauden, kun taas asiakas vastaa sivuston käyttäjätilien salasanahygieniasta ja WordPress-tason sisällöstä.
Tämä opas käy läpi Seravon automaattiset suojaustoimenpiteet sekä ne parhaat käytännöt ja lisäsuojaukset, joilla varmistat sivustosi mahdollisimman korkean turvallisuustason.
Seravon automaattinen palvelintason suojaus
Seravon palvelinympäristö on rakennettu ja optimoitu alusta alkaen nimenomaan WordPressin tietoturvaa silmällä pitäen. Palvelupakettiisi sisältyy valmiiksi useita automaattisia suojakerroksia:
Palvelunestohyökkäysten esto ja palomuuri (WAF): Seravon WAF-palomuuri ja liikenteen suodatus torjuvat yleisimpiä hyökkäyksiä ja bottiliikennettä jo ennen kuin pyynnöt saavuttavat WordPressiä.
Automaattiset tietoturvapäivitykset: Huolehdimme automaattisesti koko palvelinympäristön tietoturvapäivityksistä. Tämä kattaa palvelimen käyttöjärjestelmän ja taustaohjelmistot (kuten nginxin, tietokantapalvelimen ja käytössä olevan PHP-version) sekä WordPressin ytimen ja lisäosien kriittiset tietoturvapäivitykset.
Jatkuva valvonta ja yölliset skannaukset: Seuraamme palvelimia 24/7 ja skannaamme sivustojen tiedostot ja tietokannat säännöllisesti haitallisen koodin ja poikkeamien varalta.
Päivittäiset varmuuskopiot: Sivustostasi ja tietokannastasi otetaan automaattinen varmuuskopio kerran vuorokaudessa, ja säilytämme varmuuskopioita 30 päivää.
Ylläpitäjän tärkeimmät toimenpiteet
Vaikka palvelintaso on suojattu, suurin osa tietomurroista kohdistuu heikkoihin salasanoihin tai vanhentuneeseen koodiin. Voit tehostaa sivustosi turvallisuutta seuraavilla toimenpiteillä:
Huolehdi salasanahygieniasta: Älä koskaan käytä samaa salasanaa useassa eri paikassa, ja luo jokaiselle sivuston ylläpitäjälle henkilökohtainen tunnus jaettujen tunnusten sijaan. Suosittelemme käyttämään salasananhallintaohjelmaa (kuten 1Password, Bitwarden tai KeePass). Hyvä salasanahygienia on myös edellytys Seravon tietoturvatakuulle.
Pidä PHP-versio ajan tasalla: Sivuston käyttämän PHP-version vaihdos ei tapahdu automaattisesti, jotta koodiyhteensopivuus ei vaarannu yllättäen. Suosittelemme tarkistamaan ja päivittämään sivuston PHP-version säännöllisesti PHP-versiopäivitysohjeemme mukaisesti.
Poista käyttämättömät lisäosat ja teemat: Kaikki palvelimella oleva koodi on potentiaalista hyökkäyspinta-alaa. Poista kokonaan kaikki deaktivoidut lisäosat ja tutustu tarpeettomia ja kiellettyjä lisäosia käsittelevään ohjeeseemme.
Lisäsuojaukset ja työkalut
Voit ottaa sivustollasi käyttöön seuraavat suositellut lisäsuojaukset:
Kaksivaiheinen tunnistautuminen (2FA)
Kaksivaiheinen tunnistautuminen (2FA) vaatii salasanan lisäksi kertakäyttöisen koodin (esim. Google Authenticator tai vastaava TOTP-sovellus) kirjautumisen yhteydessä. 2FA:n käyttöönotto estää tehokkaasti sivustolle murtautumisen, vaikka ylläpitäjän salasana olisi päässyt vuotamaan. Katso ohjeet artikkelista Kaksivaiheisen tunnistautumisen käyttöönotto.
Seravo Pluginin tietoturvatyökalut
Kaikilta sivustoiltamme löytyvä Seravo Plugin sisältää valmiita työkaluja sivuston tarkastamiseen. Hallintapaneelin kohdasta Työkalut > Tietoturva voit tarkastella sivuston tilaa, poistaa roskatiedostoja sekä tarkistaa viimeaikaiset kirjautumiset ja käyttäjätilit.
Verkkoliikenteen HTTP-suojausotsakkeet (HSTS ja CSP)
HSTS (HTTP Strict Transport Security): Pakottaa selaimen käyttämään aina salattua HTTPS-yhteyttä, mikä estää mm. väliintulohyökkäyksiä. HSTS on Seravolla oletuksena päällä, mutta sitä voidaan tiukentaa tarvittaessa. Katso ohjeet artikkelista HSTS-asetusten hallinta ja tiukentaminen.
CSP (Content Security Policy): Määrittelee selaimelle sallitut sisällönlähteet (skriptit, tyylit ja kuvat) ja suojaa sivustoa XSS-hyökkäyksiltä sekä klikkauskaappauksilta (Clickjacking). Katso ohjeet artikkelista Content Security Policy (CSP) -määritykset Seravolla.
Tietoturvaskannaukset ja penetraatiotestaus
Mikäli organisaatiosi tai ulkopuolinen tietoturvakumppanisi haluaa suorittaa sivustolle erillisen tietoturva-auditoinnin, haavoittuvuusskannauksen tai penetraatiotestauksen, toimenpiteestä on sovittava Seravon kanssa etukäteen.
Tärkeä huomio auditoinneista ja skannauksista:
Valvomme palvelininfrastruktuuriamme 24/7, ja automaattiset hälytysjärjestelmämme reagoivat voimakkaaseen skannausliikenteeseen haitallisena hyökkäyksenä. Ilmoitathan aikeistasi hyvissä ajoin asiakaspalveluumme osoitteeseen [email protected] asianmukaisten lupien ja auditointisopimuksen vahvistamiseksi, jotta toiminta ei johda IP-osoitteiden estoon tai palveluhaittoihin.
Katso myös
Huolehtimalla hyvästä salasanahygieniasta ja hyödyntämällä Seravon valmiita suojauskerroksia varmistat sivustollesi parhaan mahdollisen suojan nykyaikaisia verkkouhkia vastaan. Mikäli havaitset sivustollasi poikkeavaa toimintaa tai haluat neuvoja sivustosi tietoturvan vahvistamiseen, Seravon asiakastuki ja asiantuntijat ovat aina apunasi osoitteessa [email protected].