Si la seule chose que vous exposez à Internet sont des pages Web non interactives et que vous n'avez pas besoin d'exécuter des composants côté serveur, vous pouvez réduire considérablement vos risques en utilisant un site Web statique.

Il vous reste alors le moteur Web lui-même et dans une certaine mesure le système d'exploitation sous-jacent. Apache ou nginx ne sont pas simples à renforcer, vous pouvez donc jeter un œil à Cherokee ou publicfile.

Vous pouvez aller plus loin en hébergeant votre des fichiers statiques sur un environnement existant qui les accepte ( Pages Github par exemple) ou déplacez-vous vers un site que vous créez avec des blocs comme Google Sites (qui sont gratuits pour non à but lucratif).

Le problème avec l'hébergement mutualisé est que:

1. Vous dépendez de tous les sites Web qui maintiennent leur code à jour. Il est possible qu'un autre compte soit compromis, ce qui permet à un attaquant d'accéder à votre partie du serveur Web. Il y a plusieurs façons d'accomplir cela, en particulier si un panneau de contrôle comme Direct Admin est installé.

2. Lorsque j'achète un espace Web sur le même serveur, en tant que pirate informatique sur Je pourrais simplement (dans votre cas) télécharger un shell Web PHP et (éventuellement) accéder à tous les sites Web situés sur ce serveur. Cela est même possible si les autorisations de fichiers sont correctement configurées.

La solution n'est pas d'utiliser l'hébergement Web partagé.

Je vous suggère d'acheter un VPS. Un bon VPS (6 Go de RAM - disques SSD) peut être acheté pour 7 $ par mois. Je pourrais vous donner le lien si vous le souhaitez, mais je ne veux pas en faire la publicité ici. De cette façon, vous contrôlez mieux ce qui se passe.

Passer à un système de page statique. J'avais aussi WordPress - mais après avoir été piraté 2 fois par "l'armée syrienne libre" (dans un effort pour promouvoir leur situation ...) j'en ai eu marre de Wordpress et j'ai utilisé Nikola .

Simple et facile - Pages Web statiques .... pas de comptes / ports / vulnérabilités SQL etc.

Il y en a d'autres (Forks du même) - cherchez aussi Pelican.

Digital Ocean propose des machines virtuelles dédiées pour aussi peu que 5 $ / mois. Cela serait comparable à un serveur dédié en termes de comparaison de la solution à VPS.

Le problème sera le plus souvent votre solution logicielle utilisée dans la diffusion réelle du contenu, cependant. Le durcissement des fichiers de configuration de la suite choisie n'est pas trivial, sauf si vous avez de l'expérience avec ce genre de choses.

Le renforcement du serveur en tant que sujet général est énorme, mais si vous avez délimité un ensemble particulier de programmes que vous souhaitez utiliser, Google et ServerFault.SE auront probablement de nombreux conseils sur la façon de les verrouiller. .

Ou comme WoJ le suggère, vous pouvez utiliser une solution d'hébergement plus pré-construite.

En règle générale, ce n'est pas l ' hébergeur qui est piraté, c'est votre site. Si vous avez un site sûr, un simple VPS peut vous protéger.

En supposant que vous n’avez pas besoin que votre contenu réponde différemment aux différents visiteurs, un générateur de site statique fonctionnera pour vous. En règle générale, ils sont un peu comme wordpress en ce sens que vous écrivez votre propre contenu personnalisé et qu'il est transformé en site à thème, mais c'est différent en ce que le générateur vit sur votre ordinateur (pas sur le serveur Web) et la seule chose sur le serveur est HTML statique.

Il n'y a donc rien à pirater. Ce n'est pas vivant. Le serveur ne peut rien faire . C'est juste du contenu.

Si vous voulez mettre cela sur votre propre VPS, vous pouvez en obtenir un chez Linode ou Digital Ocean, ou si vous vous sentez courageux, AWS ou Google Compute. Le serveur de niveau le plus bas à tous ces endroits coûte environ 5 $ / mois, ce qui est suffisant pour vos besoins.

Vous pouvez même héberger un tel site sur Pages Github sans aucun frais. .

Si vous avez déjà de l'expérience avec Wordpress, pourquoi ne pas simplement utiliser le cloud wordpress.com. Espérons qu'ils s'occuperont de l'administration du système, y compris de la sécurité. Il vous suffit de garder le mot de passe en sécurité et d'exporter / sauvegarder régulièrement vos publications. Vous êtes bien sûr à la merci de l'entreprise, - mon blog a été bloqué une fois, mais j'ai réussi à les convaincre de l'ouvrir à nouveau. De plus, tous les plugins dont vous avez besoin ne sont peut-être pas là. Il pourrait également y avoir des problèmes de confidentialité, la question du nom de domaine de votre organisation à but non lucratif et des publicités que wordpress.com pourrait mettre sur votre page d'accueil.

Il y a beaucoup de bons conseils dans les réponses. Cependant, le conseil le plus important est peut-être de n'utiliser qu'une société d'hébergement ayant une bonne réputation. Ne basez pas votre décision sur le coût et optez pour un site à budget basé uniquement sur ces critères.

La réalité est que la gestion d'une société d'hébergement implique des frais de maintenance considérables. Pour réaliser des bénéfices suffisants, des réductions doivent être effectuées quelque part. Malheureusement, ces réductions sont souvent appliquées aux processus de gestion des risques, car il n'y a pas de relation 1 pour 1 évidente entre les dépenses et les recettes. Le résultat est que la sécurité en souffre souvent.

Les grandes organisations où la reutaiton est considérée comme un aspect important de leur rentabilité dépenseront probablement plus dans ces domaines. Ils ont également l'avantage de pouvoir profiter d'économies d'échelle. Si vous n'êtes pas en mesure de gérer vous-même les risques de sécurité, vous devez vous fier à votre hébergeur.

Plusieurs réponses suggèrent d'utiliser un site statique plutôt que wordpress. Un site statique peut aider, mais bien sûr, si le serveur est compromis, cela fait peu de différence. Cependant, les frameworks dynamiques mal entretenus qui ne sont pas mis à jour seront toujours plus risqués qu'un site statique avec la même sécurité d'hébergement.

Wordpress est une solution à haut risque. Il est activement ciblé et il existe un certain nombre de faiblesses dans le système de plugins. Même si vous gardez les plugins à jour, il n'y a aucune garantie. Cette semaine seulement, il y a eu un rapport sur un plugin populaire qui présente des failles de sécurité importantes qui ont été délibérément ajoutées par le nouveau responsable du plugin (c'est un problème courant avec les architectures de plugin - les plugins chrome souffrent du même problème. Vous êtes conscient de la sécurité, vous vérifiez donc les références, la réputation et les rapports des utilisateurs pour un plug-in. Tout semble bon et le développeur a une bonne réputation, alors vous l'installez. Plus tard, le développeur passe à autre chose - soit en vendant le plug-in, soit en le remettant il est confié à une personne qui n'est peut-être pas aussi éthique. Il n'y a aucun mécanisme pour vous alerter de cette modification. Le nouveau propriétaire pose problème et la mise à jour contient un code malveillant. Vous appliquez la mise à jour (ou peut-être que la mise à jour est appliquée automatiquement). game over ).

Si vous ne pouvez pas simplement utiliser un site statique, envisagez peut-être d'utiliser autre chose que wordpress qui n'est pas aussi activement ciblé. ce ne sera pas pratique car cela signifie probablement apprendre un nouveau cadre, mais peut fournir une protection supplémentaire.

L'autre chose à considérer sérieusement, surtout si le budget est tout simplement insuffisant, est de revendre votre réputation de site Web à but non lucratif. Il y a un coût associé à la présence sur le Web. Si l'organisation à but non lucratif ne peut pas se permettre le coût d'un site suffisamment sécurisé, soit elle doit accepter le risque d'être piratée, soit elle doit réduire sa présence sur le Web à quelque chose qu'elle est prête à financer. En général, il existe peu de solutions de sécurité `` bon marché '' - vous en avez pour votre argent (vous pouvez payer trop cher - en particulier avec certains des marchands d'huile de serpent attirés par l'espace de sécurité lucratif, mais si vous faites vos recherches, recherchez de bonnes références. / arbitres, rappelez-vous qu'il n'y a pas de déjeuner gratuit et si cela semble trop beau pour être vrai, ce n'est probablement pas le cas, bla bla bla, vous serez généralement OK).

Tout d'abord, je dois noter que je ne suis pas d'accord avec la prémisse d'être vulnérable simplement pour être sur un hôte partagé. Si votre compte d'hébergement partagé est compromis par un autre utilisateur, c'est parce que soit:

• La société d'hébergement n'a pas correctement isolé les utilisateurs
• L'utilisateur a fait quelque chose de stupide (comme ayant 777 fichiers)

Avec un VPS, l'isolation est fournie par une couche différente, ce qui est plus difficile à surmonter. Et encore plus avec un serveur dédié. Donc, je ne suis pas d'accord avec la réponse que Bluehost vous a donnée.

Cependant , si le compromis provient de votre compte (par exemple, un plugin wordpress vulnérable), alors cela n'aura certainement pas d'importance. option d'hébergement que vous utilisez.

Certes, votre fichier logo-small.png semble avoir été téléchargé via votre application.

En ce qui concerne la détection des compromis, je recommande de garder le fichier en version control.It est facile de créer un script qui rsynchronise votre site Web et s'engage par exemple. un dépôt git.

Cela sert de sauvegarde et met également en évidence très clairement les différences lorsque les fichiers sont modifiés.

Plusieurs réponses préconisent l'utilisation de fichiers statiques. Si les fichiers ne changent pas à distance, et en supposant que vous êtes le seul à changer les pages Web (ou qu'elles sont modifiées sur le même ordinateur "maître") un simple rsync -avz --delete website / the-server : reviendrait à la version "propre", si un tel compromis devait survenir. Vous pouvez même synchroniser automatiquement de cette façon "au cas où", bien que si le site Web est en quelque sorte vulnérable, la restauration automatique à partir d'une sauvegarde, bien que rapide, ne soit pas une vraie solution.

Sécurité de l'ordinateur personnel

Selon le formulaire de commentaire AL, la vulnérabilité peut n'avoir rien à voir avec votre site Web ou l'hébergement, mais plus à faire avec des mots de passe volés à partir d'un ordinateur d'administration de site Web compromis ou similaire ou peut-être que l'attaquant a le contrôle d'un compte administratif qui n'a pas été réinitialisé depuis le nettoyage initial.

Abandon de WordPress vs mise à niveau vers un meilleur hôte

S'éloigner de WordPress peut aider, mais trouver un hébergeur avec de meilleures pratiques de sécurité peut être une solution plus efficace.

Je m'occupe d'une cinquantaine de sites Web construit avec un CMS similaire à WordPress et je suis très consciencieux d'appliquer régulièrement des mises à jour. Les sites hébergés sur des hôtes de bonne qualité (par exemple, SiteGround) sont rarement piratés. SiteGround met régulièrement à jour son pare-feu d'application Web pour bloquer les vulnérabilités WordPress, Joomla et autres les plus courantes, bien que vous deviez toujours mettre à jour rapidement votre CMS et tout module complémentaire tiers à mesure que des mises à jour sont publiées.

Hébergement partagé vs VPS

Passer à un VPS peut réduire le risque de contamination d'autres comptes sur le même serveur, mais la sécurité d'un VPS repose sur les compétences de la personne ou des personnes qui le maintiennent, juste le identique à l'hébergement partagé.

Un compte d'hébergement partagé sur un serveur bien entretenu est moins susceptible d'être piraté qu'un VPS mal entretenu.

Précautions de sécurité Common Sense

Quoi que vous fassiez, rien sur le Web n'est jamais sécurisé à 100%. Vous pouvez minimiser le risque de perte de données en exécutant des sauvegardes régulières, en copiant les sauvegardes hors site et en testant régulièrement les sauvegardes.

Découvrez d'autres précautions de sécurité de bon sens telles que:

• appliquer régulièrement des mises à jour
• maintenir la version PHP à jour,
• choisir des logiciels uniquement auprès de développeurs établis et de confiance
• minimiser le nombre de modules complémentaires lorsque cela est possible
• minimiser le nombre de comptes administratifs
• mettre en œuvre un pare-feu d'application Web pour protéger le site Web et / ou activer un réseau de diffusion de contenu (CDN) qui comprend un pare-feu d'application Web

En conclusion

Je dirais que la solution la plus rentable dans votre cas où vous avez un client soucieux de son budget est une solution d'hébergement partagé avec un fournisseur d'hébergement de bonne qualité.