Pe un hosting partajat nu administrezi serverul, dar administrezi tot ce contează pentru site-ul tău: parolele, fișierele, bazele de date, e-mailurile și PHP-ul. Majoritatea conturilor cPanel compromise cad prin parole reutilizate, FTP în clar și site-uri vechi uitate pe un subdomeniu.
Furnizorul răspunde de sistemul de operare, de actualizările serverului, de izolarea între conturi, de firewall și de ModSecurity. Tu răspunzi de tot ce e în contul tău: parole, fișiere, aplicații, baze de date, e-mail. Un WordPress neactualizat, o parolă FTP veche sau un script de test uitat într-un subdomeniu sunt problemele tale, iar consecința e că tot contul e compromis, nu doar site-ul afectat: un fișier PHP încărcat într-un site vechi are acces la fișierele tuturor site-urilor din același cont, inclusiv la wp-config.php al site-ului principal.
Începi cu accesul: 2FA pe cPanel, parolă unică dintr-un manager de parole, și verifici lista de conturi FTP și de utilizatori de baze de date, ștergând ce nu recunoști. Treci pe SFTP: FTP-ul trimite parola în clar, iar pe o rețea publică e prima parolă furată. Apoi fișierele: permisiuni 755/644, fără 777. În php.ini dezactivezi exec, system, shell_exec, passthru, proc_open, pui expose_php pe Off și folosești o versiune de PHP suportată. Fiecare adresă de e-mail primește parola ei, pentru că un cont spart trimite spam și îți duce domeniul pe liste negre.
Hostingul partajat nu te scutește de GDPR: formularele, conturile de client și magazinul prelucrează date personale sub responsabilitatea ta, iar art. 32 cere măsuri adecvate. Furnizorul e persoană împuternicită, pe baza contractului de prelucrare, dar parola FTP slabă și WordPress-ul neactualizat sunt măsurile tale. La o breșă, notificarea ANSPDCP în 72 de ore e obligația firmei tale, nu a furnizorului. Facturile emise prin e-Factura trebuie păstrate, deci backup-ul contului, inclusiv al bazei de date, are și un temei fiscal.
| Setare | Unde în cPanel | Valoare recomandată | Ce previne |
|---|---|---|---|
| Autentificare în doi pași | Securitate → Autentificare cu doi factori | Activă, cod TOTP | Preluarea contului cu parola furată |
| Conturi FTP | Fișiere → Conturi FTP | Doar cele necesare, limitate la un director; SFTP | Parole în clar, acces la tot contul |
| Permisiuni fișiere | Manager de fișiere | 755 directoare, 644 fișiere | Scriere de către scripturi injectate |
| Setări PHP | Software → MultiPHP INI Editor | Versiune suportată, expose_php Off, disable_functions | Execuție de comenzi din scripturi injectate |
| ModSecurity | Securitate → ModSecurity | Activ pe toate domeniile | SQL injection, XSS, upload-uri malițioase |
| Backup | Fișiere → Backup | Backup zilnic al furnizorului + descărcare lunară locală | Pierderea datelor, ransomware |
| Acces la distanță MySQL | Baze de date → MySQL la distanță | Gol, sau doar IP-uri precise | Brute force pe baza de date |
expose_php = Off
display_errors = Off
log_errors = On
allow_url_include = Off
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_execfind ~/public_html -type d -exec chmod 755 {} \;
find ~/public_html -type f -exec chmod 644 {} \;
chmod 600 ~/public_html/wp-config.phpUn site vechi de pe un subdomeniu, uitat de doi ani, a fost spart printr-un plugin neactualizat. Atacatorul a citit wp-config.php al site-ului principal, din același cont, și a injectat redirecționări spre pagini de pariuri. Ștergerea subdomeniului și parole noi peste tot au precedat restaurarea din backup.
O adresă de e-mail cu parola identică cu a contului cPanel a fost compromisă și a trimis mii de mesaje de phishing într-o noapte. Domeniul a ajuns pe liste negre, iar clienții nu au mai primit facturile. Parole unice per adresă, 2FA și limita de trimitere din panou au rezolvat.
Nu, dacă furnizorul izolează conturile corect, ceea ce e standard pe cPanel modern. Riscul real e în interiorul contului tău: toate site-urile tale împart același utilizator, deci un site compromis le expune pe toate. De aceea site-urile vechi se șterg, iar cele importante stau în conturi separate.
ModSecurity filtrează cererile la nivel de server, înainte de PHP, și acoperă tiparele generale de atac. Nu înlocuiește actualizările aplicației, 2FA la panoul ei sau limitarea încercărilor de login, care sunt la nivelul aplicației. Un singur plugin pentru acestea, plus ModSecurity, e suficient.
Lunar pentru un site de prezentare, săptămânal pentru un magazin, și întotdeauna înainte de o schimbare majoră. Copia locală te protejează de scenariul în care contul e șters, suspendat sau criptat împreună cu backup-urile de pe server.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.