WordPress saziņas formas: drošības kontrolsaraksts

Lielākā daļa WordPress vietņu izmanto kādu no nedaudziem formu spraudņiem: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms un dažus citus. Jebkuru no tiem var darbināt droši vai atstāt plaši atvērtu. Atšķirība reti ir pašā spraudnī – tā ir tā iestatījumos, papildinājumos ap to, tajā, kā vēstules atstāj serveri, un tajā, kas notiek ar ziņojumiem pēc to saņemšanas.

• Uzturiet formu spraudni un katru papildinājumu atjauninātu un dzēsiet tos, kurus vairs neizmantojat.
• Ieslēdziet spraudņa paša pretsurogātpasta aizsardzību – honeypot, CAPTCHA integrāciju, Akismet, kur tas der – un pārliecinieties, ka tā patiešām darbojas.
• Sūtiet paziņojumus caur autentificētu SMTP no adreses savā domēnā.
• Ierobežojiet augšupielādes pēc tipa un izmēra un neļaujiet augšupielādētos failus publiski uzskaitīt vai pārlūkot.
• Neievietojiet adresāta e-pasta adresi lapā un tās pirmkodā.
• Glabājiet tikai tos ierakstus, kas jums vajadzīgi, un tikai tik ilgi, cik tie jums vajadzīgi.
• Pēc katra WordPress, motīva vai jebkura spraudņa atjauninājuma veiciet īsu pārbaudi.

Atjauninājumi: formu spraudnis un viss ap to

Formu spraudņi ir populāri mērķi, jo tie pieņem ievadi no ikviena internetā. Drošības labojumi pienāk kā parasti atjauninājumi, tāpēc atjauniniet nekavējoties – un ne tikai galveno spraudni. Papildinājumi maksājumiem, augšupielādēm, CRM savienojumiem, nosacījumu loģikai vai papildu CAPTCHA pakalpojumu sniedzējiem ir atsevišķs kods ar savām ievainojamībām. Tāpat arī spraudņi, kurus kādreiz instalējāt testam un aizmirsāt. Deaktivizēšana nav pietiekama: deaktivizēti spraudņi joprojām atrodas serverī, un to failiem dažos gadījumos var piekļūt tieši. Ja to neizmantojat, dzēsiet to.

Pretsurogātpasta aizsardzība: ieslēdziet to un tad pierādiet, ka tā darbojas

Lielākajai daļai formu spraudņu ir savas pretsurogātpasta iespējas vai integrācija ar ārējiem pakalpojumiem: honeypot lauks, ko roboti aizpilda un cilvēki nekad neredz, CAPTCHA, piemēram, reCAPTCHA, hCaptcha vai Cloudflare Turnstile, un Akismet, kas pārbauda ziņojuma saturu pret surogātpasta datubāzi. Iespējas atšķiras atkarībā no spraudņa un versijas, tāpēc pārbaudiet iestatījumus, nevis pieņemiet. Ārējas CAPTCHA ielādē skriptus no trešās puses, un Akismet nosūta iesniegto saturu ārējam pakalpojumam – abiem jābūt minētiem jūsu privātuma politikā un atkarībā no jūsu konfigurācijas – arī jūsu piekrišanu pārvaldībā.

Biežāka problēma ir aizsardzība, kas ir ieslēgta, bet nedarbojas. CAPTCHA, kas darbojas ar publiskām testa atslēgām, palaiž cauri visu. Logrīks, kura skriptu bloķē kešatmiņas vai optimizācijas spraudnis vai JavaScript kļūda, neko neaptur. Honeypot lauku bez stiliem, kas to paslēpj, nolasa ekrāna lasītāji un aizpilda īsti apmeklētāji. Tāpēc pēc jebkurām izmaiņām atveriet formu privātā logā, pārbaudiet pārlūkprogrammas konsoli un lapas pirmkodu un nosūtiet testa ziņojumu. Ja vēlaties aizsardzību, kas nav atkarīga no Google, bezmaksas formexposed WordPress spraudnis pievieno honeypot, laika pārbaudi un proof-of-work un atkārtoti pārbauda vietni pēc spraudņu atjauninājumiem – viena no vairākām iespējām.

E-pasts: kā tas tiek sūtīts un kur tas nonāk

Pēc noklusējuma WordPress nodod vēstules servera PHP mail funkcijai, un daudzos mitināšanas pakalpojumos šie ziņojumi ir vāji autentificēti un nonāk surogātpastā – vai klusi pazūd. Tā vietā sūtiet caur SMTP spraudni vai sava mitināšanas pakalpojumu sniedzēja e-pasta pakalpojumu, izmantojot īstu pastkasti ar lietotājvārdu un paroli un sūtītāja adresi savā domēnā, piemēram, īpašu forms@ adresi. Domēna SPF, DKIM un DMARC ierakstiem jāaptver šis sūtītājs. Neievietojiet apmeklētāja adresi laukā From: tas nav jūsu domēns, tāpēc ziņojums nevar izturēt DMARC saskaņošanu un atkarībā no apmeklētāja domēna politikas nonāk surogātpastā vai tiek noraidīts. Iestatiet to kā Reply-To, un jūs joprojām varēsiet atbildēt ar vienu klikšķi.

Adresāta adresei jābūt spraudņa iestatījumos, nevis lapā. Pārbaudiet savas saziņas lapas pirmkodu: mailto saite blakus formai vai slēpts lauks ar adresāta adresi nodod šo adresi katram adrešu vākšanas robotam. Vecākās vai pēc pasūtījuma veidotās formās var būt vēl sliktāk – ja serveris uzticas slēptam adresāta laukam, ikviens to var mainīt un izmantot jūsu formu, lai sūtītu vēstules uz patvaļīgām adresēm.

Augšupielādes un saglabātie ieraksti

Failu augšupielādes ir riskantākā formu funkcija, tāpēc vispirms pajautājiet sev, vai tās vispār ir vajadzīgas. Ja ir, atļaujiet tikai tos tipus, kurus patiešām sagaidāt – piemēram, PDF un izplatītus attēlu formātus –, nevis bloķējiet dažus bīstamus, un iestatiet izmēra ierobežojumu. Pārbaudiet, kur spraudnis glabā augšupielādes: tām nedrīkst būt iespējams uzskaitīt publiskā direktorijā un ideālā gadījumā tām vispār nevajadzētu būt sasniedzamām uzminamā adresē. Dzēsiet tās, kad tās ir apstrādātas, vai sūtiet tās kā pielikumus, nevis glabājiet serverī.

Daudzi formu spraudņi vai to papildinājumi saglabā katru iesniegumu WordPress datubāzē, bieži arī surogātpastu. Tā ir noderīga rezerve, ja e-pasts nedarbojas, bet arī augoša personas datu kaudze. Saskaņā ar VDAR glabāšanas ierobežojuma principu (Art. 5(1)(e)) šādus datus nevajadzētu glabāt ilgāk, nekā nepieciešams. Izlemiet, vai jums vajadzīgi saglabāti ieraksti, kuri lauki un cik ilgi, un tad izmantojiet spraudņa automātiskās dzēšanas iestatījumu, ja tāds ir, vai regulāri dzēsiet vecos ierakstus. Datubāzes rezerves kopijās ir tie paši dati.

Pēc katra atjauninājuma

1. 1Atveriet saziņas lapu privātā logā: forma un tās pretsurogātpasta elements tiek attēloti pareizi, un pārlūkprogrammas konsolē nav kļūdu.
2. 2Apskatiet lapas pirmkodu: honeypot lauks un CAPTCHA skripts joprojām ir tur, bet adresāta adreses nav.
3. 3Nosūtiet testa ziņojumu: tas nonāk pastkastē, nevis surogātpastā, un galvenes rāda, ka SPF, DKIM un DMARC pārbaudes ir izturētas.
4. 4Pārbaudiet svarīgos iestatījumus: adresātu, sūtītāja adresi, atļautos augšupielāžu tipus un izmērus, ierakstu glabāšanas ilgumu.
5. 5Pārbaudiet, vai pie formas joprojām ir redzama saite uz privātuma politiku un jebkurš piekrišanas teksts.
6. 6Pierakstiet datumu un to, ko pārbaudījāt, lai zinātu, kad forma pēdējo reizi pierādāmi darbojās.

Kad tas kļuvis par rutīnu, tas aizņem maz laika un atklāj tieši tās klusās kļūmes, kas citādi paliek nepamanītas nedēļām ilgi. Lai iegūtu skatu no ārpuses, bezmaksas pārbaude vietnē formexposed.com aplūko vietnes publiskās formu lapas, neko neiesniedzot, un parāda, vai gaidītā aizsardzība ir ieviesta un efektīvi konfigurēta – konts nav vajadzīgs.