ה"עדכן אחר כך" שפתח את הדלת להאקרים

אתה מכיר את הרגע הזה. נכנסת לניהול האתר, למעלה מחכה שורת עדכונים - וורדפרס, תוספים, תבנית - והיד כבר על העכבר. רגע לפני הלחיצה עוצרים: "אחר כך. אין לי כוח שמשהו יישבר עכשיו". סוגרים את החלון, החיים ממשיכים. רוב הסיכויים שגם החודש שעבר הסתיים ככה. הבעיה: באותו זמן בדיוק, אי שם ברשת, סקריפט אוטומטי סורק מיליוני אתרים ומחפש בדיוק את הדבר הזה - את הגרסה הישנה של התוסף שדחית לאחר כך.

איך באמת נראית פריצה לאתר של עסק קטן

תשכח מהאקר עם קפוצ'ון שבחר דווקא בך. ברוב המכריע של הפריצות לאתרי וורדפרס אין שום גאונות. התהליך משעמם להפליא: מתגלה חור אבטחה בתוסף פופולרי, המפתחים משחררים עדכון שסוגר אותו - ומאותו רגע החור הוא ידע ציבורי. הוא מתועד במאגרים פתוחים שכל אחד יכול לקרוא, כולל בדיוק איך מנצלים אותו. סקריפטים אוטומטיים סורקים את הרשת, מאתרים אתרים שעדיין מריצים את הגרסה הפגיעה ונכנסים בדלת שכולם כבר יודעים שפתוחה.

האתר שלך לא "נבחר" - הוא פשוט נמצא בסריקה. וכאן המשוואה מתהפכת: דווקא פרסום העדכון הוא שהופך אתרים לא מעודכנים למטרה מסומנת. הסריקות מתחילות מהר, לעיתים תוך שעות מרגע שחור אבטחה מתפרסם - בזמן שבעל עסק ממוצע נכנס לניהול האתר שלו אולי פעם בחודש, אם בכלל. כל יום שעובר בין שחרור העדכון לבין ההתקנה שלו אצלך הוא יום שבו הדלת פתוחה ויש עליה שלט.

למה הדחייה מרגישה הגיונית - ולמה היא לא

בוא נהיה הוגנים: הפחד שלך מוצדק לגמרי. עדכון באמת יכול לשבור אתר. תוסף שמתנגש בתוסף אחר, תבנית שלא נתמכת בגרסה החדשה - ופתאום עמוד לבן במקום עסק. מי שנכווה פעם אחת לומד לא לגעת - וזאת תגובה אנושית לחלוטין.

רק שכך נוצר המצב הגרוע מכולם: אתר קפוא שלא מתעדכן חודשים, צובר חורי אבטחה ידועים ומחכה בשקט לסריקה הבאה. הדחייה לא ביטלה את הסיכון - היא החליפה סיכון קטן ומיידי, שמשהו יישבר ותצטרך לתקן, בסיכון גדול ושקט, שמישהו ייכנס ולא תדע על זה בכלל.

ויש כאן גם מעגל שמזין את עצמו: ככל שדוחים יותר, רשימת העדכונים מתארכת - וככל שהיא ארוכה יותר, העדכון מפחיד יותר, כי קפיצה של עשר גרסאות במכה אחת באמת מועדת לתקלות. מי שמעדכן בקביעות עושה צעדים קטנים ובטוחים; מי שדוחה שנה מוצא את עצמו מול קפיצה מסוכנת שאף אחד לא רוצה לעשות לבד.

הפרדוקס: גם לעדכן לבד זה לא הפתרון

מצד שני, ללחוץ "עדכן הכל" ביום שישי אחר הצהריים, בלי גיבוי ובלי בדיקה - זה הימור לא פחות מסוכן. אם משהו נשבר ואין נקודה לחזור אליה, נשארת עם אתר שבור בזמן הכי גרוע. עדכון בטוח הוא לא לחיצת כפתור, הוא תהליך מסודר:

• גיבוי מלא של האתר והדאטהבייס לפני כל שינוי - שתמיד יהיה לאן לחזור
• עדכון מדורג, תוסף אחרי תוסף, לא הכל במכה אחת - שאם משהו נשבר יהיה ברור מה שבר
• בדיקת תקינות אחרי: עמודים מרכזיים, טפסים, תהליך רכישה אם יש חנות
• מעקב אחרי שגיאות ביומיים שלאחר מכן - חלק מהבעיות צצות באיחור
• חזרה מהירה לגרסה הקודמת אם משהו בכל זאת התפקשש

זה ההבדל בין "עדכנתי וסוגר את המחשב בתפילה" לבין תחזוקה מקצועית.

מה זה נותן בשורה התחתונה

שווה לחשב גם את הצד השני של המשוואה: ניקוי אתר פרוץ הוא פרויקט לכל דבר - איתור הקוד הזדוני, סגירת החור, בקשת בדיקה מחדש מגוגל, יציאה מרשימות שחורות. זה לוקח ימים עד שבועות ועולה הרבה יותר מכל התחזוקה שנחסכה. עדכון שדחית לא חוסך עבודה - הוא דוחה אותה לרגע הכי יקר.

התהליך הזה רץ אצלי כל חודש, על כל אתר שנמצא באחזקה - ועד היום אף אתר בניהול שלי לא נפרץ. לא בגלל קסם ולא בגלל תוכנת פלא, פשוט בגלל שהדלתות נסגרות בזמן: עדכונים מותקנים קרוב לשחרור שלהם, עם גיבוי לפני, בדיקה אחרי וניטור רציף שתופס כל התנהגות חריגה. אתה ממשיך לנהל את העסק, האתר מקבל את הטיפול שלו ברקע - בלי שאתה צריך לזכור, להחליט או לפחד מהכפתור. בסוף כל חודש מגיע אליך גם דיווח קצר על מה עודכן ומה נבדק - שקוף ומסודר, בלי שתצטרך לשאול.

לסגור את הדלת לפני הסריקה הבאה

כל המעטפת הזאת - עדכונים בתהליך שתיארתי, גיבוי כפול, ניטור אבטחה ותיקון תקלות שוטפות - נמצאת בחבילת האחזקה החודשית שלי, 450 ש"ח לחודש. אם האתר שלך לא עודכן כבר כמה חודשים, זה הזמן לבדוק אותו - עדיף שאני אעשה את זה לפני שסקריפט אוטומטי יעשה את זה בשבילך. היכנס לאשף הצעת המחיר באתר וקבל הצעה מסודרת תוך כמה דקות, או השאר פרטים ואחזור אליך לשיחה קצרה על מצב האתר שלך.