אבטחת אתרים לעסקים קטנים: צ׳קליסט מעשי

"מי ירצה לפרוץ לעסק קטן?"

בוטים. מתקפות על אתרים קטנים הן לרוב לא אישיות: סורקים אוטומטיים עוברים על הרשת בחיפוש אחר פרצות ידועות וסיסמאות חלשות, וכל אתר שמתאים נפגע. אתר פרוץ יכול לשלוח ספאם מהדומיין שלכם, להפנות גולשים לאתרי הונאה, להדליף פניות מטפסים ולקבל מ-Google סימון "מסוכן".

איפה בדרך כלל נמצאות הפרצות

דוח State of WordPress Security in 2025 של Patchstack ספר 7,966 פרצות חדשות באקוסיסטם של WordPress במהלך 2024. 96% מהן היו בתוספים, 4% בתבניות ורק שבע בליבת WordPress. הדוח מצא גם ש-33% מהפרצות לא היה להן תיקון בזמן הפרסום הפומבי, ו-43% ניתנו לניצול בלי להתחבר למערכת.

המסקנה היא לא ש"WordPress לא בטוח", אלא שכל תוסף שאתם מתקינים הוא קוד שאתם אחראים לו, בכל פלטפורמה.

הצ׳קליסט

• עדכנו באופן קבוע. ליבה, תבניות, תוספים ותוכנת השרת. קבעו לזה זמן — לפחות פעם בחודש, ועדכוני אבטחה קריטיים מיד.
• הסירו את מה שלא בשימוש. תוספים מושבתים ועותקי בדיקה ישנים של האתר עדיין יושבים על השרת.
• קנו תוספים ממקורות מתוחזקים. בדקו את תאריך העדכון האחרון וכמה מהר המפתח מגיב לדיווחי אבטחה.
• סיסמאות ייחודיות ואימות דו-שלבי לממשק הניהול, לאחסון, לרשם הדומיין ולמייל. על רשם הדומיין שוכחים לעיתים קרובות — מי ששולט בדומיין שולט באתר.
• משתמשים נפרדים עם הרשאות מינימליות. עורך תוכן לא צריך הרשאות מנהל, וקבלן לשעבר לא צריך שום גישה.
• HTTPS בכל מקום, עם חידוש תעודה אוטומטי.
• גיבויים מחוץ לשרת, יומיים לאתרים פעילים — ונבדקים. גיבוי שמעולם לא שוחזר הוא תקווה, לא גיבוי.
• הגנו על טפסים עם הגנת ספאם ובדיקה בצד השרת; אל תסמכו על מה שמגיע מהדפדפן.
• ניטור. התראות זמינות והודעות Google Search Console יספרו לכם על בעיה לפני שהלקוחות יספרו.

קוד מותאם אינו בטוח אוטומטית

באתר מותאם על Next.js יש פחות תוספים של צד שלישי, וזה מוריד סוג שלם של סיכונים. אבל עדיין יש לו תלויות, ממשק ניהול ונתיבי API. הכללים זהים: לעדכן תלויות, לבדוק הרשאות ולא לשמור סודות בקוד.

מנו אחראי

אבטחה נכשלת בעיקר כשאחרי ההשקה אף אחד לא אחראי לה. הצוות שלכם או הסטודיו — לא משנה, אבל אדם מסוים צריך להיות אחראי לעדכונים, לגיבויים ולהרשאות.

בחירת הפלטפורמה קובעת כמה מהצ׳קליסט הזה נופל עליכם: השוו את עומס התחזוקה במאמר WordPress או Next.js לאתר עסקי. אם אין אצלכם מי שאחראי לעדכונים ולגיבויים, זה בדיוק מה ששירות התמיכה והתחזוקה שלנו מכסה.

לא בטוחים כמה האתר שלכם מוגן? Codearia מציעה חבילות תחזוקה עם עדכונים, גיבויים וניטור — צרו קשר לבדיקת אבטחה מהירה.