WordPress-tengiliðaeyðublöð: öryggisgátlisti

Flest WordPress-vefsvæði nota eina af fáeinum eyðublaðsviðbótum: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms og nokkrar aðrar. Hver þeirra getur verið notuð á öruggan hátt eða skilin eftir galopin. Munurinn liggur sjaldan í viðbótinni sjálfri heldur stillingum hennar, aukahlutum í kring, því hvernig póstur fer af þjóninum og því sem verður um skilaboð eftir að þau berast.

• Haltu eyðublaðsviðbótinni og öllum aukahlutum uppfærðum og eyddu því sem þú notar ekki lengur.
• Virkjaðu eigin ruslpóstvörn viðbótarinnar — gildrureit, CAPTCHA-samþættingu, Akismet þar sem það á við — og staðfestu að hún virki í raun.
• Sendu tilkynningar um auðkennt SMTP frá netfangi á þínu eigin léni.
• Takmarkaðu upphleðslur eftir tegund og stærð og komdu í veg fyrir að almenningur geti skoðað eða séð skráalista yfir upphlaðnar skrár.
• Haltu netfangi viðtakandans utan síðunnar og frumkóða hennar.
• Geymdu aðeins þær færslur sem þú þarft og aðeins eins lengi og þú þarft þær.
• Keyrðu stutta athugun eftir hverja uppfærslu á WordPress, þemanu eða einhverri viðbót.

Uppfærslur: eyðublaðsviðbótin og allt í kringum hana

Eyðublaðsviðbætur eru vinsæl skotmörk vegna þess að þær taka við inntaki frá hverjum sem er á netinu. Öryggisleiðréttingar berast sem venjulegar uppfærslur, svo uppfærðu fljótt — og ekki aðeins aðalviðbótina. Aukahlutir fyrir greiðslur, upphleðslur, CRM-tengingar, skilyrta virkni eða fleiri CAPTCHA-þjónustur eru sérstakur kóði með eigin veikleika. Það sama gildir um viðbætur sem þú settir einu sinni upp til prófunar og gleymdir. Að afvirkja dugar ekki: óvirkar viðbætur eru enn á þjóninum og í sumum tilvikum er hægt að ná beint í skrár þeirra. Ef þú notar það ekki skaltu eyða því.

Ruslpóstvörn: kveiktu á henni og sannaðu svo að hún virki

Flestar eyðublaðsviðbætur hafa eigin ruslpóstvarnarvalkosti eða tengjast ytri þjónustum: gildrureit sem botar fylla út en fólk sér aldrei, CAPTCHA á borð við reCAPTCHA, hCaptcha eða Cloudflare Turnstile og Akismet sem ber efni skilaboða saman við ruslpóstgagnagrunn. Valkostir eru mismunandi eftir viðbót og útgáfu, svo skoðaðu stillingarnar í stað þess að gera ráð fyrir einhverju. Ytri CAPTCHA hlaða forritabútum frá þriðja aðila og Akismet sendir innsenda efnið til ytri þjónustu — hvort tveggja á heima í persónuverndarstefnunni þinni og, eftir uppsetningu, samþykkisstjórnuninni.

Algengara vandamálið er vörn sem er virk en virkar ekki. CAPTCHA sem notar opinbera prófunarlykla hleypir öllu í gegn. Viðmótseining þar sem forritabúturinn er lokaður af skyndiminnis- eða bestunarviðbót eða JavaScript-villu stöðvar ekkert. Gildrureitur án stílreglna sem fela hann er lesinn upp af skjálesurum og útfylltur af raunverulegum gestum. Opnaðu því eyðublaðið í einkaglugga eftir allar breytingar, skoðaðu stjórnborð vafrans og frumkóða síðunnar og sendu prófunarskilaboð. Ef þú vilt vörn sem byggir ekki á Google bætir ókeypis WordPress-viðbót formexposed við gildrureit, tímaathugun og vinnusönnun og athugar vefsvæðið aftur eftir uppfærslur viðbóta — einn valkostur af nokkrum.

Póstur: hvernig hann er sendur og hvert hann fer

Sjálfgefið afhendir WordPress póst til PHP-póstfalls þjónsins og hjá mörgum hýsingum eru skilaboðin illa auðkennd og lenda í ruslpósti — eða hverfa hljóðlega. Sendu í staðinn um SMTP-viðbót eða póstþjónustu hýsingarinnar með raunverulegu pósthólfi, notandanafni og lykilorði og sendandafangi á þínu eigin léni, svo sem sérstöku forms@-netfangi. SPF-, DKIM- og DMARC-færslur lénsins verða að ná yfir þennan sendanda. Ekki setja netfang gestsins í From-reitinn: það er ekki þitt lén, svo skilaboðin geta ekki staðist DMARC-samræmingu og lenda í ruslpósti eða er þeim hafnað eftir stefnu léns gestsins. Settu það sem Reply-To og þú getur enn svarað með einum smelli.

Netfang viðtakandans á heima í stillingum viðbótarinnar, ekki á síðunni. Skoðaðu frumkóða tengiliðasíðunnar: mailto-tengill við eyðublaðið eða falinn reitur sem geymir netfang viðtakandans afhendir það netfang hvaða söfnunarbota sem er. Í eldri eða sérsmíðuðum eyðublöðum getur það verið verra — ef þjónninn treystir földum viðtakandareit getur hver sem er breytt honum og notað eyðublaðið þitt til að senda póst á handahófskennd netföng.

Upphlaðnar skrár og vistaðar færslur

Skráaupphleðslur eru áhættumesta virkni eyðublaða, svo spurðu fyrst hvort þú þurfir þær yfirleitt. Ef svo er skaltu aðeins leyfa þær tegundir sem þú átt raunverulega von á — til dæmis PDF og algeng myndsnið — í stað þess að loka á nokkrar hættulegar tegundir, og settu stærðartakmörk. Athugaðu hvar viðbótin geymir upphlaðnar skrár: ekki má vera hægt að fá lista yfir þær í opinni möppu og helst ætti alls ekki að vera hægt að nálgast þær á vistfangi sem hægt er að giska á. Eyddu þeim þegar búið er að afgreiða þær eða sendu þær sem viðhengi í stað þess að geyma þær á þjóninum.

Margar eyðublaðsviðbætur eða aukahlutir þeirra vista hverja innsendingu í WordPress-gagnagrunninum, oft líka ruslpóst. Það er gagnlegt öryggisafrit þegar pósturinn bregst en líka vaxandi safn persónuupplýsinga. Samkvæmt meginreglu persónuverndarreglugerðarinnar um takmörkun á varðveislu (Art. 5(1)(e)) ætti ekki að geyma slíkar upplýsingar lengur en nauðsynlegt er. Ákveddu hvort þú þurfir vistaðar færslur, hvaða reiti og hversu lengi, notaðu síðan sjálfvirka eyðingu viðbótarinnar ef hún er til eða eyddu gömlum færslum reglulega. Afrit gagnagrunnsins innihalda sömu gögn.

Eftir hverja uppfærslu

1. 1Opnaðu tengiliðasíðuna í einkaglugga: eyðublaðið og ruslpóstvörnin birtast rétt og stjórnborð vafrans sýnir engar villur.
2. 2Skoðaðu frumkóða síðunnar: gildrureiturinn og CAPTCHA-forritabúturinn eru enn til staðar og netfang viðtakandans ekki.
3. 3Sendu prófunarskilaboð: þau lenda í innhólfinu, ekki ruslpósti, og pósthausarnir sýna að SPF, DKIM og DMARC standast.
4. 4Athugaðu mikilvægu stillingarnar: viðtakanda, sendandafang, leyfðar skráartegundir og stærðir og hversu lengi færslur eru geymdar.
5. 5Athugaðu að tengill á persónuverndarstefnu og samþykkistexti séu enn sýnd við eyðublaðið.
6. 6Skráðu dagsetningu og hvað þú athugaðir svo þú vitir hvenær síðast var staðfest að eyðublaðið virkaði.

Þegar þetta er orðið venja tekur það lítinn tíma og grípur einmitt hljóðlátu bilanirnar sem annars fara fram hjá fólki vikum saman. Fyrir sýn utan frá skoðar ókeypis athugun á formexposed.com opinberar eyðublaðssíður vefsvæðis án þess að senda neitt og sýnir hvort vörnin sem þú býst við sé til staðar og rétt stillt — engan aðgang þarf.