המספר הנכון של משתמשי מנהל באתר WordPress אינו 'כמה שיותר נוח' אלא 'הכי מעט שאפשר'. כל חשבון אדמין נוסף הוא פתח כניסה פוטנציאלי לתוקפים, ובכל פעם שמשהו משתבש מבחינה אבטחתית, האדמינים הם הראשונים שצריך לבדוק. הבדיקה הזו מתריעה כשמספר האדמינים באתר נראה גבוה ביחס לגודל הצוות בפועל.
למה זה משנה
אדמין יחיד שנפרץ פירושו שהאתר כולו נפרץ. אין מנגנון בקרה נוסף בתוך WordPress שעוצר אדמין מהתקנת תוסף עם backdoor, מהוספת משתמש סמוי, או ממחיקת כל התוכן. לכן ככל שיש יותר אדמינים, כך גדל פי כמה הסיכוי שאחד מהם ישתמש בסיסמה חלשה, ייפול לפישינג, או יחבר את החשבון למחשב נגוע. בחישוב פשוט: אם בכל חשבון יש סיכוי של אחוז וחצי בשנה להיפרץ, אתר עם שמונה אדמינים מגיע לסיכוי שנתי קרוב ל-12% להיפרץ דרך אחד מהם, פי שמונה לעומת אדמין יחיד. ניתוח של אירועי פריצה משנת 2024 מראה ש-43% מהפריצות לאתרי WordPress התחילו ממשתמש פנימי שסיסמתו דלפה, לא מפגיעות בקוד.
איך לזהות
הבדיקה האוטומטית של RankPlus סופרת את כל המשתמשים בעלי תפקיד administrator (כולל super admin ב-multisite) ומסמנת אם המספר עולה על שלושה. ידנית: גש ללוח הבקרה > משתמשים, סנן לפי 'מנהל' למעלה, וספור. מומלץ גם להציץ בעמודת 'פוסטים' - אדמינים שלא פרסמו אף פעם הם מועמדים מובהקים להורדה בתפקיד, כי הם כנראה לא צריכים את הגישה. בדוק גם את התאריך 'נוצר' של כל אדמין - חשבון שנוצר בשעה מוזרה או בלי שזיהית את היצירה הוא חשד פריצה ויש להתייחס אליו לפי הבדיקה 'אדמינים חדשים'.
איך לתקן
- הכן רשימה של כל האדמינים. לכל אחד שאל: האם הוא צריך לערוך תוספים, להחליף תבנית, או לגשת להגדרות אבטחה?
- אם התשובה לא - הורד אותו ל-Editor (יכול לערוך כל פוסט, אבל לא קוד) או Author (רק את הפוסטים שלו).
- בעמוד משתמשים לחץ על שם המשתמש > ערוך > בשדה 'תפקיד' החלף ל-Editor או Author > עדכן.
- לחשבונות של עובדים שעזבו - מחק לחלוטין, ייחס את הפוסטים שלהם למשתמש פעיל אחר.
- למפתחים חיצוניים שצריכים גישה זמנית - צור חשבון אדמין נפרד עבורם, וסגור אותו ברגע שהפרויקט הסתיים.
- הפעל אימות דו-שלבי לכל האדמינים שנותרו. זו ההגנה החזקה ביותר אם סיסמה דלפה.
טעויות נפוצות
אל תשתף חשבון אדמין בין כמה אנשים. בלי חשבון אישי לכל עובד, אי אפשר לדעת מי שינה מה אם משהו נשבר, ואי אפשר לכבות גישה כשעובד עוזב מבלי להחליף סיסמה לכל הצוות. אל תוריד את ה-admin היחיד בטעות לפני שהפעלת חשבון אדמין אחר - תיתקע מחוץ לאתר. אל תניח שמשתמש 'subscriber' לא מסוכן: אם תוסף עם פגיעות מאפשר privilege escalation, גם subscriber יכול להפוך לאדמין.
בדיקה לאחר תיקון
הרץ שוב את האודיט - הבדיקה אמורה להפוך לירוקה. ידנית: בעמוד משתמשים, סינון 'מנהל' צריך להציג עכשיו רק את החשבונות שזיהית כהכרחיים. בדוק שכל מי שירד בתפקיד עדיין יכול לבצע את העבודה היומיומית שלו - אם עורך תוכן צריך לשנות תוסף, הוא יבקש ממך, וזה בדיוק התהליך שאתה רוצה.
קישורים לבדיקות קשורות
- משתמש admin - מטפל בשם המשתמש הספציפי שאוטומטית מועלה כראשון בכל ניסיון פריצה.
- אדמינים שנוצרו לאחרונה - מתריע על משתמשי מנהל חדשים שעלולים להיות תוצאה של פריצה.
- מדיניות סיסמאות - אוכף מינימום מורכבות לכל החשבונות באתר.
- הגנת brute-force - מגביל ניסיונות התחברות גם אם שם המשתמש דלף.
חשוב לראות את ארבעת הבדיקות האלה כמערכת אחת. הורדת מספר האדמינים בלי אכיפת סיסמאות חזקות מותירה אדמינים בודדים פגיעים. אכיפת סיסמאות בלי הסתרת כתובת התחברות מותירה את האתר תחת מתקפה תמידית של בוטים. שכבות שמשלבות זו את זו הן הדרך היחידה לבנות הגנה מעשית.