fbpx
Rubriky Tipy a triky, WordPress: Jak na to

Jak zjistit, co dělali uživatelé na webu a kdo ho rozbil

Na mnoha webech má uživatelská oprávnění administrátora hodně uživatelů, ačkoliv správně by měl být admin jeden, možná dva. K vydání článků nepotřebujete mít práva admina, ten je určen ke správě systému a uživatelů. Ale praxe bývá taková, že admin je kdekdo. Když se na webu něco rozbije, těžko se hledá, co kdo vlastně udělal.

Sledování aktivit je základ zabezpečení

A nejde o trestání, na vině je ostatně ten, kdo práva rozdával, takže zodpovědnost za poučené uživatele je na něm. Spíše je potřeba zjistit, co přesně se stalo, kdy se to stalo a jak to tedy napravit. Samotný WordPress neuchovává žádné záznamy, ze kterých byste mohli např. vyčíst, že před třemi dny uživatel pepa aktualizoval plugin Extra zabezpečení. Naštěstí to ale dokáží pluginy, které je dobré co nejdříve nainstalovat a správně nastavit.

Monitorování uživatelů

Doporučuji a používám Activity Log, který je pak česky v hlavní nabídce přeložen jako Protokol změn. Jeho hlavní výhody jsou, že zaznamenává asi úplně všechno po dostatečně dlouhou dobu a na určité změny dokáže upozornit e-mailem. Důležité je, že umí v záznamech vyhledávat a filtrovat je. Podobně to dělá User Activity Log nebo WP User Activity.

Úpravy týkající se samotného WordPressu ("jádra" systému)
Úpravy týkající se samotného WordPressu („jádra“ systému)

Složitější je Plainview Activity Monitor, který obsahuje poměrně dost dalších funkcí. Trochu supluje statistiky návštěvnosti, protože ukládá informace o zobrazení stránek, což může být trochu na škodu, pokud tu návštěvnost máte velkou (stoupá zatížení databáze). Originální na tomto pluginu je to, že umožňuje vybírat sledované hooky, nabízí jich několik desítek. Taktéž dokáže ignorovat vybrané IP adresy nebo uživatele a ještě hodně dalších věcí. Vzhledem k množství ukládaných dat nezapomeňte v případě odinstalace použít k tomu určenou volbu, aby se data z databáze smazala.

activity-monitor.png Activity monitor má podrobné nástroje pro sledování webu
Activity monitor má podrobné nástroje pro sledování webu

Dříve jsem používal WP Security Audit Log, který mi vyhovoval, než jsem si uvědomil, že neumí záznamy filtrovat. Nejde snadno vypsat aktivity jednoho uživatele, což je opravdu potřeba; plugin jsem tedy přestal používat.

Monitorování chyb webu

Některý z výše uvedených pluginů lze ještě doplnit sledováním logů v iThemes Security, který zvyšuje zabezpečení webu. Zobrazuje taky neplatné adresy, které někdo na webu hledal; většina z nich budou různí průzkumníci, kteří hledají díru do webu, ale občas udělá chybu někdo u vás a můžete tak chybnou adresu opravit. Zobrazené zdrojové IP adresy útočníků můžete umístit na blacklist, aby jim byl přístup na web zcela odepřen.

Další postřehy

Našel jsem na první pohled atraktivní plugin WP Tao, který vypadá skvěle, ale je mi podezřelý – sbírá opravdu hodně informací, vytváří z nich kontext a trochu bych se bál, že s nimi pracuje jinak, než bychom si přáli. Je sice v hlavním úložišti WordPressu, měl by tedy být schválený a bezpečný, ale jeden nikdy neví.
Pokud potřebujete vědět, kdy a odkud se uživatel přihlásil, zkuste Recent Logins. Zobrazuje seznam všech přihlášení, je však nový a má pouze několik instalací, takže asi nebude úplně vyladěný.
Mohl bych pokračovat k pluginům, které se věnují zabezpečení nebo kompletním statistikám. To si ale nechám do jiných článků.

1 komentář u „Jak zjistit, co dělali uživatelé na webu a kdo ho rozbil“

Napsat komentář