@harrasteblogi JUURI NYT
--:--

Tilaa uutiskirje

Saat tuoreimmat 10 uusinta artikkelia kerran viikossa sähköpostiisi.

Tilaa uutiskirje

Kuinka testata WordPressin tietoturvaa itse

17.10.2025 | Artikkeleita, IT, Kotisivut, Nettisivut, Tietoturva, Verkkokauppa, Verkkokehitys, Verkkosivut, Verkkotyökalu, WordPress

wp-json voi paljastaa enemmän kuin arvaat
Facebook X WhatsApp

Kuinka testata WordPressin tietoturvaa itseWordPress on maailman käytetyin julkaisujärjestelmä, mutta samalla se on myös yksi yleisimmistä kyberhyökkäysten kohteista. Tietoturvan testaaminen ei ole pelkästään suurten yritysten vastuulla – jokaisen sivuston omistajan kannattaa säännöllisesti arvioida oman sivustonsa suojaustaso. Onneksi monia tarkistuksia voi tehdä itse ilman syvää teknistä osaamista.

Tiivistelmä ✕
1. Päivitykset ja versiotarkistus

Tietoturvatesti alkaa aina perusasioista: onko WordPressin, teemojen ja lisäosien versiot ajan tasalla?...

2. Testaa käyttäjätunnusten näkyvyys

Moni ei tiedä, että WordPress voi paljastaa käyttäjien käyttäjätunnukset REST API:n tai kirjoittajalinkkien kautta. Tämä on hyökkääjälle arvokas tieto, sillä se on puolet kirjautumisesta....

3. Tarkista salasanan vahvuus

Tietoturvatestiin kuuluu myös kirjautumisen suojaus. Kokeile itse luoda uusi käyttäjä tai vaihtaa salasana ja katso, varoittaako WordPress heikoista salasanoista....

4. Skannaa sivusto tietoturvatyökaluilla

Useita työkaluja voi käyttää itse ilman ohjelmointiosaamista. Tässä kolme suosittua vaihtoehtoa:...

5. Testaa kirjautumissivun suojaus

WordPressin oletuskirjautumissivu (/wp-login.php) on hyökkäysten yleinen kohde. Testaa, onko sivu altis brute force -yrityksille....

6. Testaa tiedostojen muokkaus ja pääsyoikeudet

WordPressin hallinnasta löytyy kohta Ulkoasu → Tiedoston muokkain, jonka kautta hyökkääjä voisi muokata teematiedostoja, jos pääsee adminiksi. Tämä tulisi poistaa käytöstä kokonaan....

7. Testaa SSL-sertifikaatti ja HTTPS-yhteys

Avaa selaimessa sivustosi ja varmista, että osoite alkaa https:// ja selaimen osoitepalkissa näkyy lukko....

8. Tarkista tietoturvalokit

Lokitiedot kertovat paljon siitä, mitä sivustolla tapahtuu. Testaa, tallentaako palvelimesi lokit ja näkyvätkö niissä epäilyttävät kirjautumiset tai 404-virheet....

9. Testaa varmuuskopiot ja palautus

Tietoturva ei ole täydellinen ilman palautussuunnitelmaa. Tee testi:...

10. Tarkista piilotetut tietovuodot

Viimeiseksi kannattaa tarkistaa, onko sivusto indeksoinut tiedostoja, joita ei pitäisi näkyä....

Yhteenveto

WordPressin tietoturvan testaaminen ei vaadi ammattilaista – se vaatii huolellisuutta ja säännöllisiä tarkistuksia....

Tässä artikkelissa käymme läpi, miten voit testata WordPressin tietoturvaa itse vaihe vaiheelta, käyttäen turvallisia ja luotettavia menetelmiä.

1. Päivitykset ja versiotarkistus

Tietoturvatesti alkaa aina perusasioista: onko WordPressin, teemojen ja lisäosien versiot ajan tasalla?

Hyökkääjät etsivät sivustoja, joissa on vanhentuneita versioita, koska niissä on usein tunnettuja haavoittuvuuksia.

Tarkista seuraavat asiat:

  • WordPress-versio: Käy kohdassa Ohjausnäkymä → Päivitykset ja varmista, että käytät uusinta versiota.

  • Lisäosat ja teemat: Poista kaikki, joita et enää käytä, ja päivitä loput.

  • Automaattiset päivitykset: Ota käyttöön automaattiset tietoturvapäivitykset, esimerkiksi lisäämällä define('WP_AUTO_UPDATE_CORE', true); wp-config.php-tiedostoon.

Voit myös tarkistaa, näkyykö WordPressin versio julkisesti sivustosi lähdekoodissa. Avaa sivun lähdekoodi (Ctrl+U) ja etsi rivi meta name="generator" content="WordPress X.X". Jos löydät sen, piilota se lisäämällä tämä koodi functions.php-tiedostoon:

remove_action('wp_head', 'wp_generator');

2. Testaa käyttäjätunnusten näkyvyys

Moni ei tiedä, että WordPress voi paljastaa käyttäjien käyttäjätunnukset REST API:n tai kirjoittajalinkkien kautta. Tämä on hyökkääjälle arvokas tieto, sillä se on puolet kirjautumisesta.

Tee testi:

  1. Mene osoitteeseen https://sinunsivusto.fi/wp-json/wp/v2/users

  2. Jos näet listan käyttäjiä ja tunnuksia, rajapinta on liian avoin.

Voit estää tämän lisäämällä functions.php-tiedostoon seuraavan suodattimen:

add_filter('rest_endpoints', function($endpoints) {
if (isset($endpoints['/wp/v2/users'])) {
unset($endpoints['/wp/v2/users']);
}
return $endpoints;
});

Tämä piilottaa käyttäjälistauksen REST API -rajapinnasta.

3. Tarkista salasanan vahvuus

Tietoturvatestiin kuuluu myös kirjautumisen suojaus. Kokeile itse luoda uusi käyttäjä tai vaihtaa salasana ja katso, varoittaako WordPress heikoista salasanoista.

Käytä salasanoja, jotka sisältävät:

  • vähintään 12 merkkiä

  • isoja ja pieniä kirjaimia

  • numeroita ja erikoismerkkejä

  • ei mitään todellista sanaa tai nimeä

Voit vahvistaa käytäntöä lisäämällä koodin, joka pakottaa vahvat salasanat kaikille:

add_action('user_profile_update_errors', function($errors, $update, $user) {
if (isset($_POST['pass1']) && !wp_check_password_strength($_POST['pass1'])) {
$errors->add('weak_password', __('Salasana on liian heikko. Käytä vahvempaa.'));
}
}, 10, 3);

4. Skannaa sivusto tietoturvatyökaluilla

Useita työkaluja voi käyttää itse ilman ohjelmointiosaamista. Tässä kolme suosittua vaihtoehtoa:

  • WPScan (https://wpscan.com)
    Käytä komentoriviltä tai selaimesta tarkistaaksesi, löytyykö sivustostasi tunnettuja haavoittuvuuksia.
    Esim. wpscan --url https://sinunsivusto.fi

  • Wordfence Security
    WordPress-lisäosa, joka skannaa haitalliset tiedostot, epäilyttävät linkit ja tunkeutumisyritykset.

  • Sucuri onlineCheck
    Verkkopohjainen skanneri, joka tunnistaa haittaohjelmat ja mustat listat.

Kun suoritat nämä testit, tarkista erityisesti:

  • Löytyykö vanhentuneita lisäosia

  • Onko sivusto listattu mustilla listoilla (Google Safe Browsing, Norton, McAfee)

  • Löytyykö tuntemattomia tiedostoja wp-content-hakemistosta

5. Testaa kirjautumissivun suojaus

WordPressin oletuskirjautumissivu (/wp-login.php) on hyökkäysten yleinen kohde. Testaa, onko sivu altis brute force -yrityksille.

Voit tehdä sen itse seuraavasti:

  • Yritä kirjautua sisään useita kertoja väärillä tunnuksilla. Jos saat rajattomasti yrityksiä, sivusto ei rajoita kirjautumisia.

  • Asenna lisäosa kuten Limit Login Attempts Reloaded tai käytä Wordfencea rajoittamaan yrityksiä ja estämään IP-osoitteita.

Lisäksi voit vaihtaa kirjautumissivun osoitteen esimerkiksi lisäosalla WPS Hide Login, jolloin bottihyökkäykset eivät löydä sitä helposti.

6. Testaa tiedostojen muokkaus ja pääsyoikeudet

WordPressin hallinnasta löytyy kohta Ulkoasu → Tiedoston muokkain, jonka kautta hyökkääjä voisi muokata teematiedostoja, jos pääsee adminiksi. Tämä tulisi poistaa käytöstä kokonaan.

Lisää wp-config.php-tiedostoon:

define('DISALLOW_FILE_EDIT', true);

Tämän lisäksi testaa tiedostojen oikeudet. FTP:llä tai File Managerilla tarkista, että:

  • wp-config.php on vähintään 600

  • wp-content/uploads on 755

  • Ei ole ylimääräisiä test.php tai info.php -tiedostoja juurihakemistossa

7. Testaa SSL-sertifikaatti ja HTTPS-yhteys

Avaa selaimessa sivustosi ja varmista, että osoite alkaa https:// ja selaimen osoitepalkissa näkyy lukko.

Jos ei näy, hanki SSL-sertifikaatti (esim. Let’s Encrypt) ja pakota HTTPS lisäämällä .htaccess-tiedostoon:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Voit myös tarkistaa SSL:n kunnon palvelulla https://www.ssllabs.com/ssltest/.

8. Tarkista tietoturvalokit

Lokitiedot kertovat paljon siitä, mitä sivustolla tapahtuu. Testaa, tallentaako palvelimesi lokit ja näkyvätkö niissä epäilyttävät kirjautumiset tai 404-virheet.

Hyvä käytäntö on asentaa Activity Log tai WP Security Audit Log, jotka näyttävät:

  • kuka kirjautui ja milloin

  • mitä tiedostoja muokattiin

  • mitä lisäosia asennettiin

Jos huomaat tuntemattomia toimia, vaihda salasanat ja tarkista sivuston tiedostot.

9. Testaa varmuuskopiot ja palautus

Tietoturva ei ole täydellinen ilman palautussuunnitelmaa. Tee testi:

  • Palauta varmuuskopio testipalvelimelle tai aliverkkotunnukseen.

  • Varmista, että tiedostot ja tietokanta toimivat.

Jos varmuuskopio ei avaudu tai on liian vanha, varmuuskopiointiratkaisu ei toimi luotettavasti. Hyviä vaihtoehtoja ovat UpdraftPlus, VaultPress tai palvelintason varmuuskopiot.

10. Tarkista piilotetut tietovuodot

Viimeiseksi kannattaa tarkistaa, onko sivusto indeksoinut tiedostoja, joita ei pitäisi näkyä.

Kokeile hakukoneessa:

online:sinunsivusto.fi wp-content/uploads
online:sinunsivusto.fi wp-json

Jos löydät yksityisiä tiedostoja (esim. varmuuskopioita, lomaketietoja, logeja), siirrä ne palvelimen ulkopuolelle tai suojaa .htaccess-tiedostolla.

Yhteenveto

WordPressin tietoturvan testaaminen ei vaadi ammattilaista – se vaatii huolellisuutta ja säännöllisiä tarkistuksia.

Käymällä läpi nämä kymmenen vaihetta:

  1. Päivitysten tarkistus

  2. Käyttäjätunnusten suojaus

  3. Salasanojen vahvuus

  4. Tietoturvaskannaus

  5. Kirjautumissivun suojaus

  6. Tiedostojen oikeudet

  7. SSL-tarkistus

  8. Lokiseuranta

  9. Varmuuskopiointi

  10. Piilotettujen tietojen tarkistus

– voit varmistaa, että WordPress-sivustosi kestää hyökkäyksiä ja pysyy turvallisena myös tulevaisuudessa.

📚 Aiheeseen liittyvät artikkelit

8 artikkelia
Facebook X WhatsApp
🍪

🛡️ Evästeet

Moderni tietosuojakeskus ja evästehallinta.
harrasteblogi.online · Versio 60000.0.0

Mitä evästeet ovat?

Evästeiden yleinen määritelmä

Evästeet ovat pieniä tekstitiedostoja, jotka verkkosivustot tallentavat käyttäjän laitteelle, kuten tietokoneelle, tabletille tai älypuhelimelle, verkkoselaimen välityksellä. Niiden tarkoituksena on helpottaa verkkosivustojen käyttöä, parantaa käyttäjäkokemusta sekä mahdollistaa sivuston tekninen toiminta. Evästeet ovat olennainen osa nykyaikaisia verkkopalveluja, sillä niiden avulla sivustot voivat tunnistaa käyttäjän ja muistaa hänen asetuksensa eri vierailukertojen välillä.

Miten evästeet toimivat?

Kun käyttäjä vierailee verkkosivustolla ensimmäistä kertaa, sivusto voi tallentaa selaimeen evästeen. Seuraavilla käyntikerroilla selain lähettää evästeen takaisin sivustolle, jolloin sivusto tunnistaa käyttäjän tai hänen aiemmat valintansa. Tämän ansiosta esimerkiksi kirjautumistiedot, kieliasetukset tai ostoskorin sisältö voidaan säilyttää käyttäjän seuraavaa vierailua varten.

Välttämättömät evästeet

Välttämättömät evästeet ovat tarpeen verkkosivuston perustoimintojen mahdollistamiseksi. Niiden avulla käyttäjä voi esimerkiksi kirjautua palveluun, käyttää suojattuja alueita tai lisätä tuotteita ostoskoriin. Ilman näitä evästeitä verkkosivusto ei välttämättä toimi tarkoitetulla tavalla.

Toiminnalliset evästeet

Toiminnalliset evästeet parantavat käyttökokemusta muistamalla käyttäjän valintoja ja asetuksia. Tällaisia voivat olla esimerkiksi kielivalinnat, sijaintiin liittyvät asetukset tai muut henkilökohtaiset mieltymykset. Näiden evästeiden avulla verkkosivusto voi tarjota käyttäjälle yksilöllisemmän ja sujuvamman käyttökokemuksen.

Analytiikkaevästeet

Analytiikkaevästeiden avulla kerätään tietoa verkkosivuston käytöstä. Ne auttavat sivuston ylläpitäjää ymmärtämään, miten kävijät käyttävät palvelua, mitkä sivut ovat suosituimpia ja miten sivuston toimivuutta voidaan kehittää. Kerätty tieto on yleensä koottua eikä sitä käytetä yksittäisten käyttäjien tunnistamiseen.

Markkinointi- ja kohdennusevästeet

Markkinointievästeitä käytetään käyttäjän kiinnostuksen kohteisiin perustuvan mainonnan näyttämiseen. Ne voivat seurata käyttäjän toimintaa eri verkkosivustoilla ja auttaa tarjoamaan sisältöä sekä mainoksia, jotka vastaavat paremmin käyttäjän tarpeita ja kiinnostuksen kohteita. Näitä evästeitä voivat asettaa myös kolmannet osapuolet, kuten mainosverkostot tai sosiaalisen median palvelut.

Evästeiden hallinta

Käyttäjällä on mahdollisuus hallita evästeiden käyttöä. Useimmat verkkoselaimet tarjoavat asetuksia, joiden avulla evästeitä voidaan hyväksyä, rajoittaa tai poistaa kokonaan. Lisäksi monet verkkosivustot tarjoavat evästeasetuksia, joiden kautta käyttäjä voi valita, mitä evästekategorioita hän haluaa hyväksyä.

Yksityisyys ja tietosuoja

Evästeiden käytössä on tärkeää huomioida käyttäjän yksityisyys ja henkilötietojen suoja. Verkkosivustojen tulee kertoa avoimesti evästeiden käytöstä sekä tarvittaessa pyytää käyttäjän suostumus ennen muiden kuin välttämättömien evästeiden tallentamista. Näin varmistetaan läpinäkyvä ja luotettava verkkopalvelun käyttö.

Välttämättömät evästeet ovat verkkosivuston toiminnan kannalta olennaisia evästeitä, jotka mahdollistavat sivuston perustoiminnot ja turvallisen käytön. Ilman näitä evästeitä verkkosivusto ei pysty toimimaan asianmukaisesti, eikä käyttäjä välttämättä voi hyödyntää kaikkia palvelun ominaisuuksia.

Näitä evästeitä käytetään esimerkiksi käyttäjän istunnon ylläpitämiseen, kirjautumisen hallintaan, tietoturvan varmistamiseen sekä lomakkeiden ja ostoskorien toiminnan mahdollistamiseen. Välttämättömät evästeet auttavat myös tunnistamaan käyttäjän saman istunnon aikana, jotta sivuston eri osat toimivat saumattomasti.

Koska välttämättömät evästeet ovat tarpeellisia verkkosivuston teknisen toiminnan kannalta, niitä ei yleensä voida poistaa käytöstä verkkosivuston evästeasetuksista. Käyttäjä voi kuitenkin estää evästeiden tallentamisen selaimen asetuksista, mutta tämä saattaa heikentää sivuston toimivuutta tai estää joidenkin palveluiden käytön kokonaan.

Välttämättömiä evästeitä ei käytetä markkinointitarkoituksiin, eikä niiden avulla yleensä seurata käyttäjän toimintaa eri verkkosivustojen välillä. Niiden ensisijaisena tarkoituksena on varmistaa verkkopalvelun turvallinen, luotettava ja tehokas toiminta käyttäjän hyväksi.

Analytiikkaevästeitä käytetään verkkosivuston käytön mittaamiseen ja analysointiin. Niiden avulla kerätään tietoa esimerkiksi kävijämääristä, suosituimmista sivuista, sivustolla vietetystä ajasta sekä siitä, miten käyttäjät liikkuvat verkkosivuston eri osioiden välillä. Kerättyjen tietojen avulla verkkosivuston ylläpitäjä voi arvioida palvelun toimivuutta ja kehittää sitä vastaamaan paremmin käyttäjien tarpeita.

Analytiikkaevästeiden keräämä tieto on yleensä koottua ja anonymisoitua, eikä sitä käytetä yksittäisen käyttäjän tunnistamiseen ilman erillistä perustetta. Tietojen avulla voidaan esimerkiksi tunnistaa teknisiä ongelmia, parantaa sivuston käytettävyyttä sekä seurata uusien ominaisuuksien toimivuutta.

Verkkosivustot voivat käyttää analytiikkapalveluita, kuten Google Analyticsia tai vastaavia työkaluja, jotka hyödyntävät evästeitä kävijätilastojen muodostamiseen. Näiden palveluiden avulla saadaan arvokasta tietoa sivuston suorituskyvystä ja käyttäjäkokemuksesta.

Analytiikkaevästeiden käyttö perustuu yleensä käyttäjän antamaan suostumukseen. Käyttäjä voi hyväksyä tai hylätä analytiikkaevästeet evästeasetuksissa sekä muuttaa valintojaan myöhemmin. Analytiikkaevästeiden estäminen ei yleensä vaikuta verkkosivuston perustoimintoihin, mutta se voi rajoittaa sivuston ylläpitäjän mahdollisuuksia kehittää palvelua käyttäjien tarpeiden mukaisesti.

Markkinointievästeitä käytetään käyttäjälle näytettävän sisällön ja mainonnan kohdentamiseen. Näiden evästeiden avulla voidaan kerätä tietoa käyttäjän kiinnostuksen kohteista, verkkosivuston käytöstä sekä vuorovaikutuksesta eri verkkopalveluiden kanssa. Tavoitteena on tarjota käyttäjälle mahdollisimman relevantteja mainoksia ja markkinointiviestejä.

Markkinointievästeet voivat seurata käyttäjän toimintaa useilla verkkosivustoilla ja luoda tietoa käyttäjän kiinnostuksen kohteista. Tämän tiedon perusteella käyttäjälle voidaan näyttää hänen oletettuihin mieltymyksiinsä perustuvaa mainontaa esimerkiksi verkkosivustoilla, sosiaalisen median palveluissa tai hakukoneissa.

Näitä evästeitä voivat asettaa sekä verkkosivuston omistaja että kolmannet osapuolet, kuten mainosverkostot, analytiikkapalvelut tai sosiaalisen median alustat. Kolmannen osapuolen evästeiden avulla voidaan myös mitata markkinointikampanjoiden tehokkuutta ja seurata, kuinka käyttäjät reagoivat mainoksiin.

Markkinointievästeiden käyttö edellyttää yleensä käyttäjän nimenomaista suostumusta. Käyttäjä voi hyväksyä tai hylätä markkinointievästeet evästeasetusten kautta sekä muuttaa valintojaan milloin tahansa. Markkinointievästeiden estäminen ei vaikuta verkkosivuston perustoimintoihin, mutta se voi vähentää käyttäjälle näytettävän mainonnan yksilöllisyyttä ja osuvuutta.

Verkkosivusto sitoutuu käsittelemään evästeiden avulla kerättyjä tietoja voimassa olevan tietosuojalainsäädännön mukaisesti sekä huolehtimaan siitä, että käyttäjälle annetaan riittävät tiedot evästeiden käytöstä ja niiden tarkoituksista.

Verkkosivuston evästeiden käyttöön sovelletaan voimassa olevaa tietosuoja- ja yksityisyydensuojalainsäädäntöä. Tärkeimpiä säädöksiä ovat Euroopan unionin yleinen tietosuoja-asetus (GDPR), sähköisen viestinnän tietosuojasääntelyyn perustuva ePrivacy-lainsäädäntö sekä Kalifornian kuluttajansuojalaki (CCPA) ja sen täydennykset.

GDPR (General Data Protection Regulation)

GDPR on Euroopan unionin tietosuoja-asetus, joka säätelee henkilötietojen käsittelyä. Mikäli evästeiden avulla kerätty tieto voidaan yhdistää tunnistettuun tai tunnistettavissa olevaan henkilöön, sitä käsitellään henkilötietona. GDPR edellyttää, että henkilötietojen käsittelylle on laillinen peruste, kuten käyttäjän suostumus tai oikeutettu etu. Käyttäjällä on myös oikeus saada tietoa henkilötietojensa käsittelystä sekä käyttää tietosuoja-asetuksen mukaisia oikeuksiaan.

ePrivacy-lainsäädäntö

ePrivacy-sääntely täydentää GDPR:ää ja koskee erityisesti sähköisen viestinnän luottamuksellisuutta sekä evästeiden käyttöä. Sen mukaan verkkosivuston on pääsääntöisesti pyydettävä käyttäjän suostumus ennen muiden kuin välttämättömien evästeiden tallentamista käyttäjän laitteelle. Käyttäjälle on annettava selkeät tiedot evästeiden käyttötarkoituksista sekä mahdollisuus hyväksyä tai hylätä evästeet.

CCPA (California Consumer Privacy Act)

CCPA on Kalifornian osavaltiossa sovellettava tietosuojalaki, joka antaa kuluttajille oikeuden tietää, mitä henkilötietoja heistä kerätään, miten tietoja käytetään ja luovutetaan sekä mahdollisuuden vastustaa henkilötietojen myyntiä tai jakamista tietyissä tilanteissa. CCPA:n piirissä olevien organisaatioiden tulee tarjota käyttäjille läpinäkyvää tietoa tietojen käsittelystä ja mahdollistaa lain mukaisten oikeuksien käyttäminen.

Käyttäjän oikeudet

Sovellettavan lainsäädännön mukaisesti käyttäjällä voi olla oikeus:

  • saada tietoa henkilötietojen käsittelystä;
  • tarkastaa itseään koskevat tiedot;
  • pyytää virheellisten tietojen oikaisemista;
  • pyytää henkilötietojen poistamista tietyissä tilanteissa;
  • rajoittaa henkilötietojen käsittelyä;
  • vastustaa henkilötietojen käsittelyä;
  • peruuttaa aiemmin antamansa suostumus milloin tahansa; sekä
  • tehdä valitus toimivaltaiselle valvontaviranomaiselle.

Verkkosivusto pyrkii varmistamaan, että evästeiden käyttö ja henkilötietojen käsittely tapahtuvat läpinäkyvästi, turvallisesti ja voimassa olevan lainsäädännön mukaisesti.