אבטחת אתרים היא שגרה של עדכונים, גיבויים, הרשאות וניטור שמונעת מתוקפים להשתלט על האתר, לגנוב את פרטי הפונים או להפיל אותו. לפי W3Techs וורדפרס מפעיל כ-43% מהאתרים ברשת, ולכן הוא גם היעד הנפוץ ביותר לכלי תקיפה אוטומטיים. המדריך הזה מסביר אילו שכבות הגנה צריך כל אתר עסקי, מה החוק בישראל דורש ומה כולל שירות תחזוקת אתרים של SGO.
- לפי Patchstack, ב-2024 התגלו 7,966 פרצות חדשות בעולם של וורדפרס, ו-96% מהן בתוספים.
- עדכון שבועי של תוספים סוגר את רוב הדלתות לפני שהן מנוצלות.
- מאז יולי 2018 הדפדפן Chrome מסמן כל אתר בלי https כ״לא מאובטח״.
- אתר שאוסף פרטים בטופס כפוף לתקנות אבטחת מידע משנת 2017 ולתיקון 13 לחוק הגנת הפרטיות.
- גיבוי טוב נבדק בשחזור, ולא רק בקיום של קובץ.
תוכן עניינים
ממה אתר עסקי צריך הגנה?
רוב הפריצות לאתרים קטנים לא מתחילות מתוקף שבחר דווקא בכם. הן מתחילות מסריקה אוטומטית שעוברת על אלפי אתרים ומחפשת תוסף עם פרצה ידועה, סיסמה חלשה או טופס שאפשר לנצל. כשהסריקה מוצאת דלת פתוחה, הכלי נכנס, שותל קוד ומשתמש באתר לשליחת דואר זבל, להפניה לאתרים אחרים או לגניבה של פרטי הפונים.
פרצות בתוספים
לפי הדוח השנתי של Patchstack, חברה שעוקבת אחרי פרצות בוורדפרס, ב-2024 התגלו 7,966 פרצות חדשות במערכת. 96% מהן היו בתוספים, ורק מיעוט קטן בתבניות ובליבת המערכת עצמה. לכן אתר עם 30 תוספים שלא עודכנו כמה חודשים חשוף הרבה יותר מאתר עם 10 תוספים מעודכנים.
חשבונות מנהל
הדרך השנייה הנפוצה היא השתלטות על חשבון של מנהל. זה קורה בעזרת סיסמה שדלפה מאתר אחר או בעזרת ניסיונות התחברות אוטומטיים. לפי Microsoft, אימות דו שלבי חוסם 99.9% מניסיונות ההשתלטות האוטומטיים על חשבונות. סימן נפוץ לפריצה הוא משתמש מנהל חדש עם שם או כתובת מייל אקראיים, ולכן בודקים את רשימת המשתמשים כל שבוע.
שרת וגרסת PHP
גם השרת צריך עדכונים. גרסת PHP 8.1, למשל, הפסיקה לקבל עדכוני אבטחה בסוף 2025. אתר שעדיין רץ עליה ממשיך לעבוד, אבל פרצות חדשות שיתגלו בה כבר לא יתוקנו. בדיקה של גרסת השרת פעמיים בשנה מספיקה כדי להישאר על גרסה נתמכת.
אילו שכבות הגנה צריך כל אתר?
אין כלי אחד שמגן על אתר. ההגנה בנויה משכבות, וכל אחת מהן סוגרת סוג אחר של תקיפה. זו הרשימה שאנחנו עוברים עליה בכל אתר שאנחנו מתחזקים:
| שכבת הגנה | מה היא מונעת | תדירות בדיקה |
|---|---|---|
| עדכוני תוספים ותבנית | ניצול של פרצות ידועות, שלפי Patchstack 96% מהן נמצאות בתוספים | פעם בשבוע, ובאותו יום כשמתפרסמת פרצה קריטית |
| גרסת PHP נתמכת | פרצות בשרת שכבר לא מקבלות תיקון | פעמיים בשנה |
| תעודת SSL | אזהרת ״לא מאובטח״ בדפדפן Chrome | חידוש אוטומטי, תעודת Let's Encrypt תקפה 90 יום |
| אימות דו שלבי למנהלים | השתלטות על חשבון בעזרת סיסמה גנובה | בכל הוספה של משתמש מנהל |
| גיבוי לפי כלל 3-2-1 | אובדן האתר אחרי פריצה או תקלה | גיבוי יומי ובדיקת שחזור פעם בחודש |
| חומת אש לאתר | ניסיונות התחברות אוטומטיים וסריקות של פרצות | מעקב רציף, דוח חודשי |
| בדיקת משתמשים | משתמשי מנהל שנשתלו בפריצה | פעם בשבוע |
כלל הגיבוי 3-2-1
כלל 3-2-1 אומר שמחזיקים שלושה עותקים של האתר, על שני סוגי אחסון שונים, ואחד מהם מחוץ לשרת של האתר. גיבוי שנשמר רק על אותו שרת נעלם יחד איתו אם השרת נפרץ או קורס. מה שבאמת חשוב הוא בדיקת שחזור: פעם בחודש משחזרים גיבוי לסביבת בדיקה ומוודאים שהאתר עולה ממנו.
אבטחה ומהירות
חלק מהשכבות משפיעות גם על הקידום בגוגל. מאז 2014 גוגל מתייחסת לחיבור מאובטח כאות דירוג, ואתר שנפרץ ומפנה מבקרים לאתרים אחרים עלול לקבל אזהרה בתוצאות החיפוש. חומת אש טובה גם מורידה עומס מהשרת, כי היא חוסמת בקשות של כלי סריקה לפני שהן מגיעות לאתר.
מה החוק בישראל דורש מאתר שאוסף פרטים?
כל אתר שיש בו טופס יצירת קשר אוסף מידע אישי, ולכן חלות עליו הוראות חוק הגנת הפרטיות. תקנות הגנת הפרטיות (אבטחת מידע) מ-2017, שנכנסו לתוקף במאי 2018, מחייבות לאבטח את המידע לפי רמת הרגישות שלו. תיקון 13 לחוק נכנס לתוקף ב-14 באוגוסט 2025, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות.
מה זה אומר בפועל
בפועל מדובר בכמה פעולות פשוטות: לשמור פניות מטפסים במקום שלא נגיש לכל העולם, למחוק ייצוא של פניות שנשאר בתיקייה ציבורית בשרת, להגביל את מספר המשתמשים עם הרשאות מנהל, ולתעד מי ניגש למידע. המאמר הזה לא מחליף ייעוץ משפטי, ועסק שאוסף מידע רגיש כמו מידע רפואי צריך לבדוק את החובות שלו מול עורך דין.
מה עושים כשהאתר נפרץ?
הצעד הראשון הוא לא למחוק דבר. קודם שומרים עותק של המצב הנוכחי, כדי שאפשר יהיה להבין איך התוקף נכנס. אחר כך מחליפים את כל הסיסמאות, כולל סיסמת השרת ומסד הנתונים, ובודקים את רשימת משתמשי המנהל. כדאי גם לרשום את השעה שבה הבעיה התגלתה ואת מה שראיתם, כי הפרטים האלה עוזרים למצוא את נקודת הכניסה. אם האתר אוסף פניות, בודקים אם התוקף הגיע גם למידע של הפונים.
ניקוי וחזרה לאוויר
אחרי שמזהים את הדלת שדרכה התוקף נכנס, סוגרים אותה: מעדכנים או מסירים את התוסף הפגיע, מנקים קבצים ששונו ומשחזרים מגיבוי נקי כשצריך. בסוף בודקים ב-Search Console שאין אזהרת אבטחה על האתר, ואם יש, מבקשים בדיקה חוזרת. אתר שמחזיר מבקרים לאתרים אחרים אחרי פריצה מאבד במהירות גם פניות וגם מיקומים.
איך בוחרים חברה לאבטחת אתרים?
הרבה חברות מציעות ״אבטחה״, אבל ההבדל ביניהן נמצא בפרטים. לפני שבוחרים ספק כדאי לשאול חמש שאלות פשוטות ולבקש תשובה כתובה לכל אחת מהן.
חמש שאלות לספק
- באיזו תדירות מעדכנים תוספים, ומה קורה כשמתפרסמת פרצה קריטית באמצע השבוע?
- איפה נשמרים הגיבויים, וכמה ימים אחורה אפשר לשחזר?
- מתי בדקתם בפעם האחרונה שחזור של גיבוי, ומה הייתה התוצאה?
- מי מקבל הרשאת מנהל לאתר, והאם יש אימות דו שלבי לכל המנהלים?
- מה כלול בדוח החודשי, והאם רואים בו אילו עדכונים בוצעו?
מה כדאי לבדוק בעצמכם
גם בלי ידע טכני אפשר לבדוק כמה דברים. היכנסו לרשימת המשתמשים באתר וודאו שאתם מכירים כל משתמש מנהל. בדקו שהכתובת של האתר מתחילה ב-https ושהדפדפן לא מציג אזהרה. בקשו מהספק את תאריך הגיבוי האחרון ואת תאריך בדיקת השחזור האחרונה. ספק שלא יודע לענות על השאלות האלה בתוך יום עבודה כנראה לא עושה את הבדיקות בכלל.
כמה עולה אבטחת אתר?
ב-SGO אבטחה היא חלק משירות התחזוקה החודשי, והמחיר נקבע לפי סוג האתר. תחזוקה לדף נחיתה מתחילה ב-65 ₪ לחודש, לאתר תדמית ב-150 ₪, לאתר קטלוג ב-250 ₪ ולחנות אינטרנטית ב-350 ₪. חבילת התחזוקה המלאה עולה 450 ₪ לחודש. כל החבילות כוללות עדכונים, גיבויים ומעקב אחרי זמינות האתר.
מה SGO עושה בכל אתר שהיא מתחזקת
בנינו מאות אתרים, ולקוחות רבים עובדים איתנו באופן שוטף. בכל אתר שבתחזוקה אנחנו מעדכנים תוסף אחד בכל פעם ובודקים את האתר אחרי כל עדכון, כדי שעדכון לא ישבור את העיצוב או את הטפסים. כשמתפרסמת פרצה קריטית בתוסף שמותקן אצל לקוח, העדכון נעשה באותו יום. פרטים על הקידום שנבנה על אתר יציב נמצאים בעמוד שירותי SEO, ועל הקשר בין אבטחה למהירות במאמר קידום אתרים במנועי חיפוש.
רוצים לדעת אם האתר שלכם מוגן?
השאירו פרטים ונבדוק את התוספים, המשתמשים והגיבויים של האתר שלכם.
שאלות נפוצות על אבטחת אתרים
מה כולל שירות אבטחת אתרים?
כמה פעמים צריך לעדכן תוספים?
האם תעודת SSL מספיקה כדי שהאתר יהיה מאובטח?
איך יודעים שהאתר נפרץ?
האם אתר עם טופס יצירת קשר כפוף לחוק הגנת הפרטיות?
כמה עולה אבטחת אתר בוורדפרס?
רוצים יותר לקוחות מהאתר? SGO מתמחה בקידום אתרים שמביא תנועה ולידים.