Monitoring WordPress i WooCommerce — co dokładnie sprawdzamy

WordPress jest wykrywany automatycznie — nie trzeba instalować wtyczki ani podawać danych logowania. Obok monitoringu dostępności MonitorWWW.com sprawdza to, co w WordPressie najczęściej prowadzi do włamania: nieaktualny rdzeń, znane podatności i pliki, które nie powinny być publiczne.

Wersja i znane podatności

• Wersja rdzenia — porównywana z najnowszym wydaniem WordPressa.
• Podatności (CVE) — zainstalowana wersja jest sprawdzana w bazie znanych luk bezpieczeństwa; nową lukę zgłaszamy alertem. Bazę można też przejrzeć publicznie w naszej bazie podatności WordPress.
• Widoczność wersji — znacznik generator, readme.html i license.txt.

Bezpieczeństwo instalacji

• xmlrpc.php — czy jest dostępny z zewnątrz.
• wp-config.php i jego kopie — pliki .bak, .old i ~.
• Lista użytkowników — wyliczanie loginów przez adresy autorów i REST API.
• Tryb debugowania — komunikaty błędów na stronie i publiczny wp-content/debug.log.
• wp-cron.php — czy można go wywoływać z zewnątrz.
• Tryb konserwacji — pozostawiony plik .maintenance po nieudanej aktualizacji.

Środowisko i WooCommerce

• Motyw, kreator stron i wykryte wtyczki — odczytane z kodu strony.
• WooCommerce — wykrycie sklepu i porównanie jego wersji z najnowszym wydaniem.
• Ciasteczka — flagi Secure, HttpOnly i SameSite.

Jak często

Dostępność sprawdzamy co kilka minut, a sondy bezpieczeństwa kilka razy na dobę, z losowymi przerwami między zapytaniami. Baza podatności odświeża się niezależnie, więc alert o nowej luce przychodzi także wtedy, gdy na stronie nic się nie zmieniło.

Alerty

E-mail, SMS lub Telegram: awaria, wygasający certyfikat i domena, wykryte malware oraz nowa znana podatność w zainstalowanej wersji WordPressa. Pozostałe znaleziska są w panelu razem z instrukcją naprawy dla Apache i Nginx.

Co sprawdzamy na każdej stronie, niezależnie od platformy

• Dostępność i czas odpowiedzi — kod HTTP, czas ładowania, przekierowania, tryb konserwacji.
• Certyfikat SSL i domena — ważność certyfikatu i termin wygaśnięcia domeny, z alertem przed terminem.
• DNS — rekordy SPF, DMARC, MX i CAA.
• Nagłówki bezpieczeństwa — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy oraz flagi ciasteczek.
• Pliki, których nie powinno być widać — .env, .git, phpMyAdmin, kopie zapasowe, listowanie katalogów.
• Malware i błędy PHP — podejrzany kod i komunikaty błędów w treści strony.
• Czarne listy — czy domena trafiła na listę stron niebezpiecznych.
• Zmiany treści — opcjonalne słowo kluczowe, które musi być na stronie.