WordPress serviceaftale

Det sikkerhedskritiske opdateres automatisk

Plugins der håndterer login, brugere, formularer, mails og oversættelse opdateres løbende, uden at vente på den månedlige gennemgang. Det samme gælder WordPress’ egne sikkerhedsopdateringer.

Grunden er enkel, det er netop den type plugins, angreb retter sig mod. De er tilgængelige for besøgende uden login, og et hul i dem kan udnyttes af automatiserede scripts inden for få dage, efter det bliver kendt.

Det følsomme opdateres manuelt og testes først

WooCommerce, betalingsgateways, page buildere som Oxygen, Avada, Divi og Elementor, temaer og alt med tilpasninger opdateres manuelt ved den månedlige gennemgang. Hver opdatering afprøves på et testmiljø, før den går live.

Her er risikoen ved at gå for hurtigt frem større end gevinsten. En WooCommerce opdatering kan i værste fald ødelægge jeres checkout, og det er en dyrere fejl end at vente få dage på en testet opdatering.

Rammer en kritisk sårbarhed alligevel et plugin i denne gruppe, behandles det som en hastesag og opdateres med det samme, efter test, men uden at vente på næste måned.

Vi tilpasser inddelingen til jeres løsning

Er jeres tema tilpasset til at arbejde sammen med et bestemt plugin, ryger netop det plugin i den manuelle gruppe, også selv om det ellers ville høre til i den automatiske.

Et eksempel kunne være tilpasset kode i temaet, der ændrede funktionalitet på eksempelvis en formular. Opdateringen var teknisk set en succes, der var ingen fejl, men funktionen virkede ikke længere.

Den slags fanger man kun ved at kende sitet. Derfor gennemgår vi jeres opsætning, inden vi beslutter, hvad der skal opdateres automatisk.

Hvad hvis noget går galt?

Fatale fejl fanges automatisk
WordPress gemmer en kopi af pluginet, inden det opdateres. Går opdateringen galt, så sitet ville gå ned, gendannes den forrige version automatisk, og sitet kører videre. Vi får besked og følger op.

Funktionsfejl fanger vi ved gennemgang
Sværere er de tilfælde, hvor opdateringen lykkes, men en enkelt funktion holder op med at virke. Der er ingen fejlmeddelelse, og sitet ser normalt ud. Derfor gennemgår vi sitet efter hver opdateringsrunde, og derfor holder vi plugins med tilpasninger i den manuelle gruppe.

Opdager I alligevel noget, der ikke fungerer som før, så sig til med det samme.

Skyldes fejlen selve opdateringen, retter vi den som en del af aftalen. Kræver det derimod, at kode eller tilpasninger på sitet skal ombygges for at fungere med den nye version, er det udviklingsarbejde, som faktureres efter gældende timepris. Vi giver altid besked, inden vi går i gang.

Og hvis alt andet svigter
Vi tager daglig backup af filer og database, så jeres løsning kan genskabes. Det sker sjældent, men det er altafgørende den dag, det bliver nødvendigt. Hvis vi ikke hoster jeres løsning vil jeres nuværende udbyder nok have en backup liggende som vi kan benytte os af.

Sådan arbejder vi med sikkerhed

Vi følger sårbarhederne løbende
Der offentliggøres nye sikkerhedshuller i WordPress plugins hver eneste uge. Vi holder øje med sårbarhedsdatabaserne for netop de plugins og temaer, der kører på jeres site, og vurderer, hvad der kræver handling.

På Pro og Premium gennemgår vi varsler dagligt. På Basic ugentligt.

Vi vurderer mere end alvorlighedsgraden
Sårbarheder kommer med en alvorlighedsgrad, men den fortæller ikke hele historien. Vi lægger særlig vægt på, om hullet kan udnyttes uden login, det er den faktor, der oftest gør en tilsyneladende mindre sårbarhed reelt farlig.

Når der ikke findes en rettelse
Det sker, at et plugin har et kendt sikkerhedshul, som producenten ikke har rettet, typisk fordi pluginet ikke længere vedligeholdes. Så kan man ikke opdatere sig ud af problemet.

I de tilfælde giver vi besked og anbefaler en løsning, som regel at erstatte eller fjerne pluginet. Beslutningen er jeres, men I skal aldrig være uvidende om risikoen.

Færre plugins er mere sikkerhed
Hvert plugin er en potentiel indgang. Vi anbefaler løbende at fjerne det, der ikke bruges, inaktive plugins kan stadig udnyttes, hvis filerne ligger på serveren. Det er en af de billigste sikkerhedsforbedringer, der findes.

Overvågning af oppetid
Vi overvåger automatisk, om jeres site svarer. Går det ned, får vi besked, så det ikke er jer eller jeres kunder, der opdager det først.

Månedlig statusrapport

Hver måned modtager I en kort rapport med:

• Hvilke plugins der er opdateret, automatisk og manuelt
• Hvilke sårbarheder der er vurderet, og hvad der er handlet på
• Driftsstatus og backup
• Eventuelle anbefalinger

På den måde kan I følge med i, hvad der bliver gjort, i stedet for kun at høre fra os, når noget går galt.

Hvorfor en serviceaftale?

Man kan sammenligne det med bilen. Den skal til service, netop fordi den bruges dagligt. Det samme gælder hjemmesiden, WordPress, plugins og temaer skal opdateres og vedligeholdes for at køre stabilt og sikkert.

Hvorfor skal jeg opdatere, når min hjemmeside ikke har problemer?
Fordi arbejdet handler om at forebygge. Når problemet først viser sig, er det som regel dyrere at rette end at undgå.

Hvem skulle dog ville hacke mig? Min side har ikke noget særligt.
De fleste angreb er automatiserede og rammer i blinde. Angriberen kigger ikke på, hvad siden indeholder, den er blot en kanal, der kan bruges til at distribuere spam eller viderestille besøgende til ulovlige sider. Det opfanger Google, og resultatet kan være, at siden bliver fjernet fra søgeresultaterne.

Hvad med GDPR?
Bliver et site kompromitteret, kan der være tale om et brud på persondatasikkerheden med anmeldelsespligt til følge. Løbende vedligeholdelse er en del af den tekniske sikkerhed, man som dataansvarlig forventes at have på plads.

Hvad hvis en automatisk opdatering får sitet til at gå ned?
WordPress gemmer en kopi af pluginet inden opdatering og gendanner automatisk den forrige version, hvis noget går galt. Vi får besked og følger op. Derudover sætter vi kun automatik på plugins med en stabil opdateringshistorik, og vi har daglig backup.

Vi har tilpasninger på vores site, er automatiske opdateringer så en god idé?
Vi tilpasser inddelingen til den enkelte løsning. Er jeres tema tilpasset til at arbejde sammen med bestemte plugins, ryger de i den manuelle gruppe, hvor de testes før opdatering. Ønsker I slet ikke automatiske opdateringer, siger I bare til.

Lappes sikkerhedshuller også i de manuelt opdaterede plugins?
Ja. Forskellen er hastigheden, ikke om det bliver gjort. Kritiske sårbarheder behandles som hastesager uanset gruppe.

Hvad hvis sitet går ned uden for arbejdstid?
Vi får besked via oppetidsovervågningen. Håndtering sker som udgangspunkt førstkommende hverdag, men ring endelig, vi hjælper, når vi kan, og aftaler det fra sag til sag mod tillæg for arbejde uden for normal arbejdstid.

Kan I garantere, at vi ikke bliver hacket?
Nej, og det bør ingen love. Vi kan reducere risikoen betydeligt gennem opdateringer, overvågning og oprydning, og vi kan sørge for, at der er backup, hvis uheldet er ude.

Skal I hoste vores site?
Nej. Daglig backup er dog kun en del af aftalen ved hosting hos os. Hoster I andetsteds, sikrer vi løsningen på anden vis.

Hvad koster det at komme i gang?
Oprettelse afhænger af bindingsperiode. Kontakt os for det aktuelle tilbud.