Backup och säkerhet för webbplatsen: innan du blir hackad
En backup som aldrig har testats är ingen backup; gå igenom den här checklistan innan du blir hackad och skydda din webbplats mot katastrofen.
Publicerad av: Hızlı Yazılım
Var din backup egentligen finns
Om webbplatsens backup bara ligger i en separat mapp på samma server kan en angripare som lyckas ta sig in kryptera eller radera den mappen. 3-2-1-regeln är fortfarande den praktiska grundnivån för små företag: behåll tre kopior, använd två olika lagringsmedier och förvara en kopia på en annan plats. En backup som aldrig lämnar produktionsservern är ingen backup; den tar bara upp diskutrymme.
Använd verktyg som UpdraftPlus, Duplicator Pro, cPanel Backup, JetBackup eller ett enkelt rsync-skript med cron-jobb. Skicka kopior till externa platser som AWS S3, Google Drive, Backblaze B2 eller Hetzner Storage Box. Om din bransch kräver att data stannar inom ett visst land eller en viss region ska du kontrollera var molnleverantören lagrar data. Vissa yrkesregler begränsar överföring av data över gränser, så stäm av med din regelefterlevnadsrådgivare innan du väljer extern lagringsplats.
Ingen återställningsövning, ingen backup
Att en backupfil finns är inte samma sak som att den går att återställa. Korrupta arkiv, ofullständiga databasdumpar och felaktiga filbehörigheter upptäcks först vid en verklig återställning. Därför är en otestad backup ingen backup alls. Minst en gång i månaden bör du göra en fullständig återställning till en testmiljö och kontrollera filer, databas, plugins och temainställningar tillsammans.
Automatisera övningen med ett litet skript: ta en färsk backup, packa upp den i en testmiljö och kontrollera sedan att startsidan returnerar HTTP 200. Om kontrollen misslyckas ska backupsystemet märkas med rött larm. Mät också återställningstiden; en backup som återställs på två timmar är mycket mer värd än en som tar åtta timmar i ett nödläge.
Disciplin kring uppdateringar: föråldrad mjukvara lockar angripare
Gamla versioner av WordPress, WooCommerce, Joomla eller specialutvecklade applikationer exponerar kända sårbarheter som angripare skannar efter automatiskt. En webbplats som hoppar över uppdateringar blir efter ett tag ett förutsägbart mål. Aktivera automatiska uppdateringar för mindre säkerhetsuppdateringar, men testa större versionshopp i en testmiljö först.
Håll en förteckning över plugins och teman; ta bort allt som inte används, eftersom även ett inaktivt föråldrat plugin ökar risken. Läs ändringsloggarna innan du uppdaterar och kontrollera kända konflikter. Men var försiktig: automatiska uppdateringar kan förstöra specialkod och ta ner webbplatsen. I stället för att skicka ut större uppdateringar automatiskt till produktion bör du planera in ett underhållsfönster och genomföra dem med en plan för återställning.
Lås adminpanelen som ett kassavalv
Angripare tar sig ofta in i adminpaneler med brute force. Ändra standardsökvägarna /admin eller /wp-admin, begränsa antalet inloggningsförsök och kräv tvåfaktorsautentisering. Använd långa, unika lösenord som skapats av en lösenordshanterare; återanvänd aldrig samma lösenord för e-post eller andra tjänster.
Begränsa adminåtkomsten med en IP-vitlista och VPN för distansarbetare. I WordPress bör du inaktivera XML-RPC och onödiga REST-endpoints. Verktyg som Wordfence, Sucuri eller Imunify360 på serversidan blockerar brute force och skadliga förfrågningar. Separera också rollerna: en innehållsredaktör ska inte få fullständiga administratörsrättigheter.
Anpassa backupfrekvensen efter typ av webbplats
Ett och samma backupschema passar inte alla webbplatser. E-handelsplatser, medlemssystem och bokningsmoduler ändrar data hela tiden; för dem bör du ta databasbackup minst varje timme och fullständig filbackup varje dag. En statisk broschyrsajt klarar sig ofta med en fullständig backup i veckan.
För webbplatser med många transaktioner bör du använda inkrementella säkerhetskopior; om en fullständig backup tar flera timmar varje gång är daglig inkrementell plus veckovis fullständig backup rimligt. Med begränsad budget kan du exportera de mest kritiska uppgifterna (ordrar, användare, innehåll) separat. Men automatiska fullständiga säkerhetskopior varje timme behövs inte för alla webbplatser; de förbrukar resurser och ökar kostnaden. Börja med att definiera din målsatta återställningstid.
Kombinera säkerhetskopiering med intrångsdetektering
Säkerhetskopiering ensam är inte säkerhet; den stoppar inte en attack, den gör bara återställning möjlig. Efter ett intrång räcker det inte att återställa från en ren säkerhetskopia – om du inte hittar och täpper till sårbarheten kommer angriparen in genom samma dörr igen. Kombinera säkerhetskopiering med övervakning av filintegritet, skanning efter skadlig kod och genomgång av loggar.
Kör Sucuri SiteCheck, Wordfence, ClamAV eller skannrar på serversidan regelbundet. Använd Git-baserad versionshantering för att jämföra filändringar före och efter en incident. En praktisk rutin för ett litet team: automatisk säkerhetskopiering + veckovis säkerhetsrapport + månatlig återställningsövning. På så sätt agerar du innan webbplatsen blir hackad.