Pe un hosting partajat nu administrezi serverul, dar tot ce e în contul tău depinde de tine: parola de cPanel, conturile FTP, bazele de date, permisiunile și site-urile uitate din 2019. Majoritatea site-urilor mici din Moldova sunt compromise prin cont, nu prin server.
Furnizorul răspunde de kernel, de actualizările serverului, de izolarea dintre conturi și de firewall. Tu răspunzi de tot ce se face autentificat cu datele tale: cPanel, FTP, bazele de date, e-mailul și codul din public_html. Un atacator nu are nevoie de o vulnerabilitate de server dacă parola de cPanel e aceeași cu cea de la un forum spart în 2016. Incidentul din contul tău e al tău, inclusiv notificarea CNPDCP dacă baza de clienți a fost accesibilă.
Activează autentificarea în doi pași din cPanel, cu o aplicație de coduri, și ține fiecare acces pe parola lui, într-un manager de parole. Contul FTP implicit are aceeași parolă ca cPanel: creează conturi FTP separate, limitate la un director, și șterge-le la finalul proiectului. FTP simplu trimite parola necriptat, deci folosește SFTP sau managerul de fișiere. Verifică lunar conturile FTP și utilizatorii de baze de date și șterge ce nu recunoști.
Permisiunile 777 apar când un plugin „nu poate scrie” și cineva le pune pe tot public_html; de atunci orice script din cont rescrie orice fișier. Regula e 644 pe fișiere, 755 pe directoare, 600 pe fișierele cu parole. În MultiPHP INI Editor dezactivezi funcțiile care pornesc procese, ascunzi versiunea PHP și interzici includerea de cod de la URL-uri. ModSecurity blochează tiparele obișnuite de injecție înainte de PHP. Site-urile abandonate, cu CMS vechi, sunt ușa prin care intră toți: șterge-le sau arhivează-le în afara public_html.
| Setare | Valoare recomandată | Unde în cPanel | Ce previne |
|---|---|---|---|
| Autentificare în doi pași | activată, cu aplicație de coduri | Securitate → Autentificare în doi factori | preluarea contului cu parola scursă |
| Conturi FTP | un cont per colaborator, limitat la director, șters la final | Fișiere → Conturi FTP | acces permanent al foștilor colaboratori |
| Transfer de fișiere | SFTP sau manager de fișiere | Securitate → Acces SSH, Fișiere → Manager de fișiere | parola FTP interceptată |
| Permisiuni | 644 / 755 / 600 pentru configurări | Manager de fișiere → Permisiuni | rescrierea fișierelor de orice script |
| PHP | disable_functions, expose_php Off, allow_url_include Off | Software → MultiPHP INI Editor | execuția de comenzi dintr-un shell web |
| ModSecurity | activat pe toate domeniile | Securitate → ModSecurity | injecții și tipare de atac cunoscute |
| Backup | zilnic la furnizor + copie locală lunară | Fișiere → Backup | pierderea datelor la compromitere sau ștergere |
expose_php = Off
allow_url_include = Off
display_errors = Off
disable_functions = exec,shell_exec,system,passthru,proc_open,popen,show_source
open_basedir = /home/contul-tau/public_html:/tmpcd ~/public_html
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 600 wp-config.php .env 2>/dev/null
# ce încă are 777:
find . -perm -o+w -not -type lSite-ul unei campanii din 2019, uitat într-un subdirector, rula un CMS vechi și a servit la modificarea site-ului principal, din același cont. Ștergerea site-urilor abandonate, permisiunile corecte și 2FA au închis incidentul.
Parola cPanel, refolosită de la o adresă de e-mail spartă, a servit la exportul bazei de programări. Cabinetul a schimbat parolele, a activat 2FA, a pus utilizator de bază de date separat și a notificat CNPDCP, baza conținând nume și telefoane.
Freelancerul care făcuse site-ul mai avea parola FTP, identică cu cea de cPanel, la doi ani după predare. Contul are acum conturi FTP separate și limitate, al lui a fost șters, iar accesul se dă temporar, pe durata lucrării.
Hostingul partajat e potrivit pentru site-uri de prezentare și magazine mici, dacă respecți regulile de mai sus. Când prelucrezi date sensibile sau ai clienți din UE care cer control asupra serverului, un VPS îți dă firewall propriu, VPN și tot ce descrie acest ghid.
E un semnal despre furnizor. Compensează cu parole lungi și unice, conturi FTP limitate și schimbate des, și planifică migrarea. Backupul local lunar devine obligatoriu: la un incident nu vei avea alt punct de restaurare.
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.