WordPress sikkerhed, der ikke venter på, at nogen har tid
WordPress sikkerhed handler først og fremmest om at holde WordPress og plugins opdateret. Hos Era sker det automatisk, flere gange i døgnet, og hver opdatering bliver tjekket, så den ikke lægger jeres site ned.
Når en sikkerhedsopdatering venter på, at nogen har tid
De fleste sikkerhedshuller i WordPress og plugins bliver lukket med en opdatering. Det farlige er tiden imellem: når hullet er kendt, men opdateringen ikke er installeret. Bliver den først installeret efter en weekend eller en ferie, står sitet åbent i dagevis.
Mange steder er opdateringer noget, en person gør, når der er tid. Det holder, indtil personen er på ferie, eller opdateringen kommer en fredag aften. Og opdaterer man uden at teste, kan en ny version af et plugin lægge en formular eller checkouten ned.
Derfor har vi gjort opdateringerne til et system i stedet for en opgave. Det kører hele døgnet, tjekker sitet før og efter hver opdatering og giver os besked, når noget kræver en person.
Sådan holder vi WordPress opdateret automatisk
- Vi gennemgår alle sites hver nat
Hver nat tjekker systemet alle de WordPress-sites, vi drifter: versionen af WordPress, PHP, plugins og tema, kendte sårbarheder i plugins, og om WordPress’ egne filer er blevet ændret. Det giver os et dagligt overblik over, hvad der skal opdateres. - Sikkerhedsopdateringer af WordPress hver tredje time
Systemet kigger efter nye versioner af WordPress syv gange i døgnet. En ny opdatering bliver først installeret på en lille stikprøve af sites. Først når de virker, bliver resten opdateret. - Plugins prøves af på staging først
Hver time tager systemet en ny runde af sites og opdaterer deres plugins. Opdateringen går først til staging, som er en kopi af sitet. Kun hvis staging stadig virker, går den videre til det rigtige site. - Tjek før og efter hver opdatering
Før og efter hver opdatering henter systemet sitets sider uden cache og sammenligner svarene. Går en WordPress-opdatering galt, bliver den automatisk rullet tilbage. Går en plugin-opdatering galt, stopper den, og vi får besked. - Stilhed giver også alarm
Hvis en planlagt kørsel ikke bliver til noget, får vi besked. Så kan opdateringerne ikke gå i stå, uden at nogen opdager det.
Sites vi holder opdateret
Systemet holder i dag 54 WordPress-sites og webshops opdateret for Eras kunder.
Det, der ellers holder jeres WordPress-site sikkert
Med i serviceaftalen
Automatiske opdateringer og overvågning er med i alle vores serviceaftaler: Website til 1.995 kr. og Webshop til 2.995 kr. om måneden, ekskl. moms. Læs mere om WordPress drift og serviceaftale.
Sikkerhed ud over opdateringerne
- Firewall hos Cloudflare, der stopper angreb, før de når sitet
- To-faktor-login for alle med adgang til administrationen
- Daglig backup, gemt i 30 dage
- Hosting hos Kinsta på Google Cloud i et datacenter i Belgien
- Plugins og tema kan ikke installeres eller ændres fra administrationen. Alle ændringer går gennem sitets kode i GitHub
Dokumentation til jeres revision
Skal I dokumentere jeres opdateringer, fx til ISO 27001, kan vi efter aftale lave en månedlig ændringsrapport. Den viser hver ændring af WordPress, plugins og tema med gammel og ny version, hvilke kendte sårbarheder opdateringen lukkede, og hvordan ændringen blev lavet.
Til den tekniske læser
- WordPress opdateres med WP-CLI, så WordPress’ egen automatiske opdatering kan forblive slået fra
- Plugin-opdateringer laves i git: develop-grenen til staging, master-grenen til produktion
- WordPress’ filer kontrolleres hver nat mod de officielle checksums fra wordpress.org
- Sårbarhedsdata fra Kinsta og Wordfence Intelligence
- Siderne hentes uden cache før og efter, så en side fra cachen ikke skjuler en fejl
- Heartbeat-overvågning af selve systemet, så en kørsel, der udebliver, giver alarm
Spørgsmål om WordPress sikkerhed
Systemet kigger efter nye versioner af WordPress hver tredje time i løbet af døgnet og installerer dem automatisk. Plugins bliver opdateret i runder hver time, og hver opdatering bliver prøvet af på staging, før den når det rigtige site.
En WordPress-opdatering, der giver fejl, bliver automatisk rullet tilbage til den version, der virkede. En plugin-opdatering, der giver fejl på staging, når aldrig det rigtige site. Systemet stopper, og vi får besked, så en udvikler kan se på det.
De fleste sites hos os har et staging-miljø. Har et site ikke det, bliver det opdateret direkte, men med de samme tjek før og efter hver opdatering.
Ikke direkte i WordPress. Plugins og tema ligger i sitets kode, og administrationen er låst, så ingen kan installere kode på sitet, heller ikke hvis en brugerkonto bliver misbrugt. Har I brug for et nyt plugin, sætter vi det ind for jer.
Ja. Efter hver opdatering af WooCommerce gennemfører vi et testkøb, så vi ved, at kunderne stadig kan lægge varer i kurven og betale.
Ja, efter aftale. Den månedlige ændringsrapport viser alle ændringer af WordPress, plugins og tema med gammel og ny version og de sårbarheder, opdateringerne lukkede. Den bruges fx som dokumentation til ISO 27001.
Book 30 minutter
Skriv jeres telefonnummer, så ringer vi og aftaler et tidspunkt. På mødet gennemgår vi, hvordan jeres site bliver opdateret i dag, og hvad der skal til, for at det sker automatisk.
"*" indikerer påkrævede felter
