סורק אבטחה לאתרי וורדפרס
גרסת WordPress, גרסת PHP, כל התוספים והתבנית עם הגרסאות שלהם, תוספים נטושים, פרצות ידועות לפי הגרסה המותקנת, ובדיקות הקשחה. בדיוק מה שמתחזק אתר בודק ביום הראשון.
אפשר להזין בלי https ובלי www. הסריקה פסיבית ולא מעמיסה על האתר.
הדוח חינם ומלא, ונשאר שלכם.
כדי שיהיה לכם מעקב לאורך זמן: התחברו עם Google וההיסטוריה תישמר לכם, או הזינו מייל בסוף הדוח ותקבלו אותו למייל.
מה הסורק בודק
גרסת WordPress
מזהים את גרסת הליבה (גם כשהיא מוסתרת בקוד, דרך הפיד), משווים לגרסה האחרונה מ-WordPress.org ובודקים אם יש לה פרצות ידועות.
גרסת PHP
אם השרת מפרסם את גרסת ה-PHP, בודקים מול לוח מחזורי החיים הרשמי: האם הענף עוד מקבל תיקוני אבטחה, ומתי זה נגמר.
כל התוספים והגרסאות
תוספים מדף הבית, מממשק ה-REST ומקובצי readme, עם הגרסה המותקנת מול הגרסה האחרונה בספרייה, תאריך העדכון האחרון, ותוספים נטושים.
התבנית
שם התבנית, הגרסה המותקנת, תבנית-אב אם יש, והאם היא מעודכנת.
פרצות ידועות
כל פרצה שפורסמה ב-Wordfence Intelligence (וב-WPScan כשמחובר) ונוגעת בדיוק לגרסאות שמותקנות אצלכם, עם חומרה, CVE והגרסה שמתקנת.
הקשחה
כותרות אבטחה, קבצים רגישים חשופים, רשימת משתמשים דרך ה-API, xmlrpc, readme.html, רשימת קבצים גלויה ועוד.
מדריך
אבטחת אתר וורדפרס: המדריך המלא לבעלי עסקים
איך פורצים לאתרי וורדפרס בפועל, מה לבדוק, ואיך לסגור את הפרצות הנפוצות בלי להיות מתכנתים.
מדריך
תחזוקת אתר וורדפרס: למה 90% מהאתרים בישראל לא מתוחזקים נכון
מה תחזוקה נכונה כוללת, מה התפקיד של מי שמתחזק את האתר, ואיך לבדוק שזה באמת קורה.
שאלות נפוצות
האם הסריקה פוגעת באתר או מאטה אותו?
לא. הסורק קורא רק עמודים וקבצים שכל גולש יכול לקרוא (דף הבית, הפיד, קובצי readme של תוספים), בסך הכול כמה עשרות בקשות קצרות, בלי ניסיון התחברות ובלי הרצת קוד.
מאיפה מגיעים נתוני הפרצות?
מ-Wordfence Intelligence, מאגר הפרצות הגדול בעולם לוורדפרס, ובנוסף מ-WPScan כשהחיבור אליו מופעל. ליד כל פרצה כתוב המקור. גרסאות אחרונות של תוספים ותבניות מגיעות ישירות מ-WordPress.org, ומחזורי החיים של PHP מ-endoflife.date.
למה הסורק לא מצא את כל התוספים שלי?
מבחוץ רואים רק תוספים שמשאירים עקבות: קבצים שנטענים בדף, נקודות קצה ב-REST, או קובץ readme.txt נגיש. תוספים שלא משאירים עקבות, או שהאחסון חוסם את קובצי ה-readme שלהם, לא ייראו. הרשימה המלאה תמיד בלוח הבקרה שלכם.
מה עושים עם התוצאה?
מעדכנים קודם את מה שמסומן באדום (פרצות ידועות ו-PHP שהגיע לסוף חייו), אחר כך את הצהוב. תמיד אחרי גיבוי. אם אין לכם מי שיעשה את זה, זה בדיוק מה שאני עושה ללקוחות.