האם כדאי להשקיע באבטחת וורדפרס לפני שנפרצתם, או לחכות?
זו החלטה כלכלית, לא החלטה טכנית, ולכן כדאי להוציא ממנה את הדרמה. מצד אחד יש הוצאה ודאית עכשיו: הקשחת אבטחה בטווח ₪950-₪2,800 חד פעמי לפני מע״מ ועוד ₪150-₪400 חודשי לניטור. מצד שני יש הוצאה אפשרית בעתיד: שחזור אתר שנפרץ, שמתחיל ב-₪1,500 ועוד ₪500 להקשחה שממילא תצטרכו אז. במבט על המספרים בלבד ההפרש לא נראה דרמטי, ואפשר להבין למה עסקים רבים דוחים את זה. הטעות בחישוב הזה היא שהוא סופר רק את מה שמופיע בחשבונית. מה שקובע בפועל הוא הימים שבהם האתר לא עבד, מה שקרה לפניות ולהזמנות שלא הגיעו באותם ימים, וכמה עבודה נדרשת אחר כך כדי לחזור למצב הרגיל. במאמר הזה אני מפרק את שני הצדדים, נותן טבלה שמשווה ביניהם, ואומר גם מתי הקשחה מלאה היא הוצאה מיותרת. אני לא מתאר כאן שיטות תקיפה, רק את ההחלטה.
תוכן העניינים 7 פרקים
איך ההחלטה נראית באמת
שני משתנים מכריעים כאן, ואף אחד מהם אינו הסכום. הראשון הוא כמה תלוי האתר בהכנסה שלכם. אתר שדרכו מגיעות פניות או הזמנות הוא חלק מהתפעול, ואתר שהוא בעיקר כרטיס ביקור הוא נכס שיווקי. השני הוא כמה זמן אתם מסוגלים לחיות בלעדיו.
מכפלת שני אלה נותנת את התשובה. עסק שמקבל דרך האתר את רוב הפניות ולא יכול לספוג שלושה ימי השבתה נמצא בקצה שבו הקשחה מראש היא לא שאלה. עסק שהאתר שלו הוא עמוד תדמית שאיש כמעט לא נכנס אליו נמצא בקצה השני.
מה שמטעה באמצע הוא שההסתברות אינה משהו שאתם שולטים בו, אבל ההיערכות כן. שני עסקים באותו סיכון בדיוק יחוו את אותו אירוע אחרת לגמרי אם לאחד יש גיבוי תקין מחוץ לשרת ולשני אין.
אני גם רוצה להוציא מהשולחן טיעון שנשמע הרבה: אנחנו קטנים מדי, אין סיבה שמישהו יטרח. זו לא הדרך שבה זה עובד. רוב מה שקורה לאתרי וורדפרס בעולם אינו כיוון אישי לעסק מסוים אלא סריקה אוטומטית שמחפשת רכיבים ישנים ומוכרים. הגודל שלכם לא מופיע בשיקול, גרסת התוסף שלכם כן. זו הסיבה שעדכונים סדירים מזיזים את הסיכון יותר מכל דבר אחר, והם נמצאים בכל חבילת תחזוקה בסיסית.
ובכיוון ההפוך, שווה לומר את זה בפירוש: הקשחה אינה הבטחה. אין מוצר שמבטיח שאתר לא ייפגע לעולם, ואני לא מוכר כזה. מה שאפשר לקנות הוא הפחתת סיכון ויכולת להתאושש מהר, וזו בדיוק ההחלטה שעל הפרק.
עלות ההקשחה מראש: על מה בדיוק משלמים
אבטחת אתר וורדפרס אינה תוסף שמתקינים. זו עבודה חד פעמית שמשאירה מצב, ואחריה שכבה שוטפת. מה שנכנס לחד פעמי, ₪950-₪2,800 לפני מע״מ:
- התקנה והגדרה של חומת אש לאתר.
- חסימת בוטים והגבלת ניסיונות התחברות לממשק הניהול.
- אימות דו שלבי לכל משתמש בעל הרשאות ניהול.
- הגדרת סריקות אוטומטיות לקוד זדוני.
- גיבויים מוצפנים ששמורים מחוץ לשרת האתר. זה הסעיף שקובע הכול, ואסביר בהמשך למה.
- עדכוני אבטחה ותיעוד מלא של מה שנעשה, כולל רשימת בדיקה להמשך.
הניטור החודשי, ₪150-₪400 לפני מע״מ, הוא מה שמייצר את ההבדל בין לדעת שמשהו קרה בתוך שעות לבין לגלות שבוע אחרי כן מלקוח. שני החלקים נמכרים בנפרד כי הם באמת שני דברים: אחד מקבע מצב, השני שומר עליו.
מה שמזיז את המחיר בתוך הטווח החד פעמי הוא לא גודל העסק אלא מצב הפתיחה. אתר שמנוהל היטב, עם מעט תוספים ועם גישות מסודרות, נמצא בקצה התחתון. אתר שעברו בו שלושה ספקים, שיש בו משתמשי ניהול ישנים ושאיש לא יודע מי מחזיק את פרטי האחסון, דורש קודם עבודת סדר, ולכן הוא בקצה העליון. חלק ניכר מהעבודה הראשונה אינו טכני אלא ארגוני.
הסעיף האחרון ברשימה, התיעוד, נשמע פורמלי ואינו כזה. תיעוד של מה נעשה ורשימת בדיקה להמשך הם מה שמאפשר לכם או לספק אחר לדעת בעוד שנה מה קיים ומה צריך לחדש, בלי לשלם שוב על אבחון.
עלות השחזור: הסכום הוא החלק הקטן
שחזור אתר וורדפרס שנפרץ מתחיל ב-₪1,500 לפני מע״מ ועוד ₪500 להקשחה, והעבודה עצמה לוקחת בין ארבע לשמונה שעות. עד כאן זה נשמע ניתן לספיגה.
מה שלא נכנס לסכום הזה: הזמן שעובר עד שבכלל שמים לב שמשהו קרה, הזמן שנדרש להשיג את פרטי הגישה לשרת ולאחסון אם הם אצל מישהו שכבר לא עובד אתכם, החלפת סיסמאות לכל מי שהייתה לו גישה, בדיקה של כל עמוד וכל טופס אחרי החזרה, וההודעה ללקוחות אם היה מידע שלהם במערכת.
ויש עוד דבר שאנשים מגלים רק ברגע האמת. אם הגיבוי היחיד שלכם יושב על אותו שרת, הוא לא בהכרח יעזור. הסעיף הכי זול בהקשחה, גיבוי מוצפן מחוץ לשרת, הוא זה שקובע אם השחזור לוקח שעות או ימים.
ויש שאלה שתמיד עולה אחרי שהאתר חזר לעבוד: איך זה קרה. לא תמיד יש תשובה מלאה, וזה בסדר. מה שכן חייב לקרות אחרי שחזור הוא סגירת הפרצה שדרכה זה נכנס והחלפת מפתחות הגישה, אחרת אתם מחזירים אתר נקי למצב שכבר הוכיח את עצמו כפגיע. זו הסיבה ששחזור מגיע כמעט תמיד עם הקשחה נלווית, ולמה בפועל אף אחד לא באמת נמנע מההוצאה על אבטחה. הוא רק מזיז אותה לתאריך גרוע יותר.
טבלת השוואה: לפני מול אחרי
| פרמטר | הקשחה מראש | שחזור אחרי אירוע |
|---|---|---|
| עלות לפני מע״מ | ₪950-₪2,800 חד פעמי + ₪150-₪400 חודשי | מ-₪1,500 + ₪500 הקשחה |
| מתי משלמים | בזמן שנוח לכם | ביום שהכי לא נוח |
| זמן עבודה | מתוזמן מראש | 4-8 שעות, בדחיפות |
| השבתת האתר | אין | יש, עד שהאתר נקי |
| עבודה אצלכם | אישור והחלטות | החלפת סיסמאות, בדיקות, עדכון לקוחות |
| מצב בסיום | אתר מוקשח ומנוטר | אתר נקי, וההקשחה עדיין לפניכם |
| מה לא חוזר | לא רלוונטי | הפניות וההזמנות של ימי ההשבתה |
השורה האחרונה היא כל הסיפור. בסוף שני המסלולים אתם מגיעים לאותו מקום בדיוק, אתר מוקשח, אבל באחד מהם שילמתם גם בזמן שבו העסק לא עבד.
ימי ההשבתה הם ההפרש האמיתי
קחו שני עסקים היפותטיים באותו תחום, אותו גודל, אותו אתר. אחד עשה הקשחה וניטור, השני לא. אצל שניהם קורה אירוע באותו יום. הראשון מקבל התראה, מזהה, משחזר מגיבוי חיצוני ועולה חזרה באותו יום. השני מגלה כשלקוח מתקשר לשאול למה האתר מציג משהו מוזר, מחפש מי מחזיק את פרטי השרת, מגלה שהגיבוי האחרון בן חודשיים, ומגיע לאוויר אחרי כמה ימים.
ההפרש בין השניים אינו בחשבונית הטכנאי. הוא בכל מה שלא קרה באותם ימים: פניות שלא נכנסו, קמפיין ששילמתם עליו והוביל לעמוד שבור, ואנשים שניסו להיכנס וראו אזהרה בדפדפן.
יש גם השפעה שנמשכת אחרי שהאתר חזר. עמודים שהיו מושבתים צריכים להיסרק מחדש, וזה לוקח זמן שאינו בשליטתכם. אם באותם ימים רצה מודעה ממומנת, שילמתם עליה ולא קיבלתם. ואם לקוח קבוע ניסה להיכנס וראה משהו חריג, הרושם הזה נשאר גם אחרי שהכול תוקן. אני לא יודע לכמת את זה ולא אנסה, אבל זה קיים.
לכן אני מבקש מלקוחות שמתלבטים לענות על שאלה אחת בלבד: כמה שווה לכם יום שבו האתר לא זמין. מי שיודע לענות על זה כבר יודע גם מה להחליט. ואם התשובה היא ממש לא הרבה, זו תשובה לגיטימית לגמרי, ואני מעדיף שתישארו עם תחזוקה ותשקיעו את הכסף במקום שמייצר פניות.
מתי הקשחה מלאה היא בזבוז
אני לא מוכר את החבילה הזו לכל אחד, ואלה המקרים שבהם אני אומר לחכות.
אתר תדמית קטן בלי משתמשים ובלי תשלומים, שכל תפקידו להציג מידע. כאן גיבוי אוטומטי מחוץ לשרת ועדכונים סדירים מכסים את רוב הסיכון בעלות נמוכה בהרבה. זה בדיוק מה שנמצא בחבילת תחזוקת אתר וורדפרס, ₪250-₪950 חודשי לפני מע״מ.
אתר שעומד להיבנות מחדש בקרוב. הקשחה נעשית על תשתית קיימת. אם התשתית מוחלפת בעוד חודשיים, חלק מהעבודה ייזרק.
אתר שכבר יושב על שירות מנוהל שכולל את השכבות האלה. אין טעם לשלם פעמיים על אותו דבר, ושווה לבדוק מה בדיוק כלול לפני שמוסיפים.
אתר שאין בו כלום ואין לכם גיבוי בכלל. נשמע הפוך, ואינו. במצב כזה הצעד הראשון הוא לסדר גיבוי חיצוני ולעדכן, ורק אחר כך לדבר על הקשחה. הקשחה על גבי אתר בלי גיבוי היא סדר עבודה לא נכון.
ובכיוון ההפוך, שלושה מצבים שבהם אני לא מתלבט בכלל: אתר שמקבל תשלומים, אתר שמנהל אזור אישי למשתמשים, ואתר שהיה בו אירוע בעבר. בשלושתם ההקשחה אינה השקעה עתידית אלא חלק מהתפעול השוטף.
סדר הפעולות למי שמתחיל היום
אם אתם רוצים לעשות משהו השבוע בלי להתחייב לפרויקט, זה הסדר שאני ממליץ עליו:
- בדקו שיש גיבוי, ושהוא לא על אותו שרת. ואז נסו לשחזר ממנו פעם אחת. גיבוי שלא נבדק אינו גיבוי.
- ודאו שאתם מחזיקים את פרטי הגישה. אחסון, דומיין, ניהול האתר. הרבה עסקים מגלים ברגע הלא נכון שהכול רשום על מישהו אחר.
- מחקו משתמשי ניהול שאינם פעילים והחליפו סיסמאות של מי שנשאר.
- הפעילו אימות דו שלבי לכל מי שנכנס לניהול.
- עדכנו את הליבה ואת התוספים, ומחקו תוספים שלא בשימוש.
- ורק אחר כך החליטו על הקשחה מלאה וניטור, כשאתם כבר יודעים מה המצב.
ארבעת הצעדים הראשונים לא עולים כסף, והם מזיזים את הסיכון יותר מכל תוסף שתתקינו.
אני ארתור קלנדרוב, מנהל את עבודת הווב בשיווקנט. אם אתם מתלבטים אם להשקיע עכשיו או לחכות, שלחו לי את כתובת האתר ותשובה לשאלה מה קורה לעסק ביום שהאתר לא זמין. אני אגיד לכם אם מספיקה תחזוקה עם גיבוי חיצוני או שבמקרה שלכם הקשחה וניטור הם ההוצאה הנכונה. הטלפון 054-238-3789, ואפשר גם בWhatsApp. דברו איתי בוואטסאפ ←
