Majoritatea site-urilor de prezentare și a magazinelor mici din Moldova rulează pe WordPress. Atacurile nu sunt sofisticate: boți care încearcă parole, plugin-uri neactualizate și teme luate de pe site-uri piratate. Protecția este o rutină, nu un produs.
Nucleul WordPress este actualizat des și rar este vinovatul. Problemele apar în plugin-uri și teme: un formular cu upload nesecurizat, un slider abandonat de autor, o temă premium descărcată gratuit de pe un forum. Temele „nulled” conțin frecvent cod adăugat intenționat, ascuns în PHP, pe care un antivirus de birou nu îl vede. A doua sursă sunt parolele: boții încearcă combinații pe wp-login.php și xmlrpc.php la orice oră, fără să le pese că site-ul e al unei firme mici din Bălți.
Pe un cont cPanel, directoarele trebuie să fie 755 și fișierele 644. Fișierul wp-config.php, care conține parola bazei de date, poate fi 600. Orice 777 permite oricărui proces de pe server să scrie în director. Directorul wp-content/uploads nu trebuie să execute PHP; o regulă în .htaccess rezolvă asta. Verifică periodic dacă au apărut fișiere PHP noi în uploads sau în rădăcină: este semnul clasic al unui shell lăsat după un plugin vulnerabil.
Un magazin WooCommerce sau un formular de programare stochează nume, telefoane și adrese. În Moldova, protecția lor este reglementată de Legea nr. 195/2024 privind protecția datelor cu caracter personal, aliniată la GDPR, cu CNPDCP ca autoritate de supraveghere. Legea cere măsuri tehnice adecvate, iar un site compromis care scurge lista de clienți este exact contrariul. Dacă vinzi și în UE, clienții așteaptă aceleași garanții pe care le cer acasă. Actualizările și 2FA sunt cele mai ieftine măsuri pe care le poți documenta.
| Măsură | Ce oprește | Efort | Cât de des |
|---|---|---|---|
| Actualizări nucleu, plugin-uri, teme | exploatarea vulnerabilităților cunoscute | mic | săptămânal |
| 2FA și limitarea autentificărilor | brute force pe wp-login.php | mic | o dată |
| Permisiuni 755/644, fără PHP în uploads | shell-uri web după upload | mic | la fiecare migrare |
| WAF la hosting sau CDN | SQLi, XSS, boți cunoscuți | mediu | o dată, apoi reguli |
| Backup înainte de update | pierderea site-ului la update eșuat | mic | la fiecare update |
find ~/public_html -type d -exec chmod 755 {} \;
find ~/public_html -type f -exec chmod 644 {} \;
chmod 600 ~/public_html/wp-config.php# wp-content/uploads/.htaccess
<FilesMatch "\.php$">
Require all denied
</FilesMatch>Un plugin de livrare, neactualizat de doi ani, permitea încărcarea de fișiere. Site-ul a început să redirecționeze vizitatorii către pagini de pariuri. Restaurarea din backup-ul zilnic și înlocuirea plugin-ului au durat o după-amiază; pierderea comenzilor din weekend, mai mult.
Trei angajați foloseau același cont de administrator cu o parolă din 2019. După activarea 2FA și crearea de conturi separate cu rol de editor, jurnalul de autentificare a arătat mii de încercări blocate pe săptămână.
Un WAF la hosting oprește cererile rău intenționate înainte să ajungă la PHP, deci multe funcții ale plugin-urilor devin redundante. Rămân utile 2FA și jurnalul de autentificare. Alege un singur plugin ușor pentru acestea, nu o suită care rescanează tot site-ul zilnic.
Semne tipice: redirecționări către alte site-uri, pagini noi în Google Search Console pe care nu le-ai scris, fișiere PHP în uploads, utilizatori administratori necunoscuți și e-mailuri respinse de destinatari. Verifică jurnalul serverului și datele de modificare ale fișierelor.
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.