ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
kopia zapasowa
Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia.
TAB. 1Nazwaobie formy
| Po angielsku | backup |
|---|---|
| Po polsku | kopia zapasowa |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | backup · kopia bezpieczeństwa · kopia danych |
| Odmiana | ta kopia zapasowa, tej kopii zapasowej, l.mn. kopie zapasowe; zapożyczenie: ten backup, tego backupu, na backupie, l.mn. backupy (bez apostrofu); czas. zbackupować, imiesł. zbackupowany |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | wymiennie „backup / backupu / backupy / na backupie”, „kopia zapasowa” i „kopia bezpieczeństwa”; pochodna „zbackupowany system” (niebezpiecznik, zaufanatrzeciastrona) |
|---|---|
| Urząd i ustawa | „kopia zapasowa / kopie zapasowe” — wyłącznie, zapożyczenie nie pada ani razu (cert.pl) |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „Kopia zapasowa i migawki, czyli przepis na backup idealny (tytuł). Temat kopii bezpieczeństwa danych, czyli tzw. backupu, poruszaliśmy już wielokrotnie.” | niebezpiecznik.pl |
| PL (EN) | „Backupy trzeba robić dobrze. (...) Przed skutkami ransomware mają nas chronić kopie zapasowe” | niebezpiecznik.pl |
| PL | „Upewnić się, że posiadane kopie zapasowe są odizolowane i nie ucierpią w przypadku ataku na resztę infrastruktury.” | cert.pl |
| PL | „w przypadku aplikacji WWW sprawdzamy, czy pod znanymi ścieżkami nie są dostępne kopie zapasowe” | cert.pl |
| EN | „Grupy ransomware, przed którym nie uchronią żadne backupy (tytuł). (...) „mamy backupy i możecie nam skoczyć”” | zaufanatrzeciastrona.pl |
TAB. 4Obok w tej dziedzinie6
| HSTS (HTTP Strict Transport Security) | HTTP Strict Transport Security (HSTS) | Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki. |
| klucze bezpieczeństwa i sole | WordPress security keys and salts | Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego. |
| koniec wsparcia dla wersji PHP | PHP end-of-life | Moment, w którym dana wersja PHP przestaje otrzymywać poprawki bezpieczeństwa od twórców języka — po nim środowisko hostingowe strony pozostaje podatne niezależnie od tego, jak aktualny jest sam WordPress. Każde wydanie PHP ma dwie fazy: 2 lata aktywnego wsparcia (poprawki błędów i bezpieczeństwa) i kolejne 2 lata wyłącznie poprawek krytycznych podatności; łącznie ok. 4 lata od premiery. |
| limit prób logowania | login lockout | Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont). |
| mixed content | mixed content | Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie. |
| ModSecurity | ModSecurity | Otwartoźródłowy WAF działający jako moduł serwera WWW (Apache, Nginx, LiteSpeed), który filtruje żądania HTTP według reguł (np. OWASP Core Rule Set lub reguł hostingu). Na hostingu współdzielonym to on najczęściej stoi za nagłym błędem 403 przy zapisie wpisu w WordPressie — rozwiązaniem jest wyjątek dla konkretnej reguły (ID z logu), a nie wyłączenie ochrony. |
TAB. 5