ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
koniec wsparcia dla wersji PHP
Moment, w którym dana wersja PHP przestaje otrzymywać poprawki bezpieczeństwa od twórców języka — po nim środowisko hostingowe strony pozostaje podatne niezależnie od tego, jak aktualny jest sam WordPress. Każde wydanie PHP ma dwie fazy: 2 lata aktywnego wsparcia (poprawki błędów i bezpieczeństwa) i kolejne 2 lata wyłącznie poprawek krytycznych podatności; łącznie ok. 4 lata od premiery.
TAB. 1Nazwapo polsku
| Po angielsku | PHP end-of-life |
|---|---|
| Po polsku | koniec wsparcia dla wersji PHP |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | wycofana wersja PHP · przestarzała wersja PHP · PHP EOL |
| Odmiana | ten koniec wsparcia, tego końca wsparcia, po końcu wsparcia; wariant czasownikowy: „wsparcie się skończyło", „wersja wyszła ze wsparcia". Skrót nieodmienny: „ten EOL, po EOL". „PHP" zawsze nieodmienne („w PHP 7.4", nie „w PHP-ie"). |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „Microsoft kończy wsparcie dla Windows XP", „brak nowych aktualizacji bezpieczeństwa" — polska peryfraza zamiast „end-of-life" |
|---|---|
| Urząd i ustawa | cert.pl opisowo: „aktualna wersja oprogramowania serwera"; terminu „end-of-life"/„EOL" brak |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Microsoft kończy wsparcie dla Windows XP […] oznacza to brak nowych aktualizacji bezpieczeństwa” | sekurak.pl |
| PL | „Należy utrzymywać […] aktualną wersję oprogramowania serwera.” | wiedza.cert.pl |
| EN | „Active Support: 2 years from the initial stable release; Security Support: 2 additional years for critical security issues only” | php.net |
TAB. 4Obok w tej dziedzinie6
| hosting współdzielony | shared hosting | Hosting, w którym wiele kont klientów działa na jednym serwerze i dzieli jego zasoby (CPU, RAM, adres IP). Bezpieczeństwo zależy od izolacji kont (np. CloudLinux/CageFS, osobni użytkownicy systemowi): przy słabej izolacji infekcja jednej strony może przejść na sąsiednie, a zasobożerny sąsiad spowalnia pozostałe. |
| HSTS (HTTP Strict Transport Security) | HTTP Strict Transport Security (HSTS) | Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki. |
| klucze bezpieczeństwa i sole | WordPress security keys and salts | Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego. |
| kopia zapasowa | backup | Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia. |
| limit prób logowania | login lockout | Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont). |
| mixed content | mixed content | Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie. |