וורדפרס 2.8.5 בעברית יצאה. השדרוג מומלץ לכל המשתמשים.

בעקבות פרסומים רבים בימים האחרונים על התקפה חמורה מהרגיל שמנצלת פרצה בגרסאות ישנות של וורדרפס, פרסמתי פוסט בנושא בבלוג הרשמי של וורדפרס בעברית, עם תזכורת בולטת לשדרוג כל התקנה של וורדפרס לגרסה העדכנית ביותר.

בהמשך לאותו הפוסט, אלו כמה הבהרות משלי בנוגע לאבטחה של וורדפרס ואבטחה בכלל.

1. כל מוצר תוכנה, בכל גרסה ובכל סדר גודל, כולל תקלות שתוקפים יכולים לנצל כדי להשתלט עליו, ולעיתים אף להשתלט דרכו על המערכת בה הוא פועל. וורדפרס, כמו כל מוצר תוכנה אחר, כוללת תקלות מסוג זה, שתוקפים יכולים לנצל כדי להשתלט על הבלוג שלכם, או להשתלט לגמרי על השרת עליו הוא פועל.

כשהמפתחים של מוצר תוכנה מזהים תקלה כזו, נעשים כל המאמצים האפשריים לתקן אותה, ולשחרר גרסה עדכנית שכוללת את התיקון ומאפשרת למשתמשים להתגונן מפני התקפות שמנצלות את התקלה. לדוגמה, במקרה של וורדפרס, ארבעת הגרסאות האחרונות (עם מספרי גרסה תלת ספרתיים: 2.8.4, 2.8.3 וכו') כללו תיקונים לתקלות שהיוו פרצות אבטחה. כמעט כל גרסה של וורדפרס ששוחררה בעבר כללה גם כן תיקונים לפרצות אבטחה.

ככלל, בכל רגע נתון, הגרסה הבטוחה היחידה של וורדפרס היא הגרסה העדכנית ביותר. במילים אחרות, כדי לפשט את העניינים ולחסוך בזמן, אם אתם משתמשים בכל גרסה אחרת מלבד הגרסה האחרונה של וורדפרס, הבלוג שלכם פרוץ, ואתם התוקפים שפרצו אותו.

עם זאת, אין פירוש הדבר שהגרסה העדכנית ביותר של וורדפרס היא בהכרח בטוחה. כמו כל תוכנה אחרת, גם בגרסה העדכנית ביותר של וורדפרס תתגלנה בסופו של דבר תקלות שמהוות פרצות אבטחה, ואלו תתוקנה בגרסה הבאה.

כלומר, כמעט כל גרסה של וורדפרס ששוחררה אי פעם כללה, מלבד התיקונים, גם תקלות חדשות. במילים אחרות, הגרסה הבטוחה ביותר של וורדפרס היא למעשה הגרסה הבאה. אבל גרסה זו לא שוחררה עדיין, וברגע שתשוחרר כבר לא תהיה הגרסה הבטוחה ביותר.

אין מוצר תוכנה בטוח לגמרי, ואין תוכנה שמוגנת לגמרי מפני התקפות. אבל כדי לשמור על הבלוג שלכם בטוח, עליכם לכל הפחות להתגונן מפני כל המתקפות המוכרות. הדרך היחידה לעשות זאת היא להשתמש בגרסה העדכנית ביותר של וורדפרס. לכן, הגרסה האחרונה בכל רגע נתון היא לא רק הגרסה הבטוחה ביותר של וורדפרס, היא הגרסה הבטוחה היחידה של וורדפרס.

2. המקור המוסמך היחיד למידע רשמי על וורדפרס הוא האתר שבכתובת wordpress.org. המקור המוסמך היחיד למידע רשמי על וורדפרס בעברית הוא האתר שבכתובת he.wordpress.org. בשם הפשטות ולמען החסכון בזמן, אם הורדתם את וורדפרס מכל מקור אחר, הבלוג שלכם פרוץ. אם הסתמכתם על המלצה או מילאתם הוראות שהגיעו מכל מקור אחר, הבלוג שלכם פרוץ.

אלו כתובות קצרות שאפשר לזכור בקלות ולהקליד ידנית בשורת הכתובות בלי שגיאות כתיב. בדרך זו אתם מגינים על עצמכם מפני גרסאות זדוניות של וורדפרס ומפני מתקפות משולבות שכוללות מתקפות פישינג – כמו וורדפרסז 2.6.4, שהופצה על ידי שתילת קישור זדוני בממשק הניהול תוך ניצול פרצה בגרסאות ישנות של וורדפרס.

המלצות דחופות להתקנה של גרסה עדכנית שכוללות הודעות של מתקפות חמורות, כמו ההמלצות לשדרוג של וורדפרס שנפוצו בימים האחרונים באימיילים, בבלוגים, בטוויטר בפייסבוק או בכל מקום אחר, הן חסרות אחריות ויש להתעלם מהן. לא בגלל שהן לא מבוססות או לא נכונות – קביעות כאלה יש לבחון באופן נקודתי – אלא בגלל ששדרוג והתקנה של עדכוני אבטחה היא לא פעולה שיש לבצע כתגובה לאיום, אלא כטיפול מונע, עוד לפני שהאיום קיים.

כהרחבה לנקודה זו, כל המלצה שלא לשדרג את וורדפרס לגרסה העדכנית ביותר, מכל סיבה שהיא, היא חסרת אחריות ויש להתעלם ממנה.

3. שדרוג התקנה של וורדפרס היא לא בהכרח משימה פשוטה – במקרים מסויימים תתכנה בעיות תאימות עם ערכת העיצוב או עם תוספים שפועלים בבלוג, עם ההתקנה של PHP או MySQL, עם תוכנות אחרות שפועלות על השרת, או עם גורמים אחרים.

כפועל יוצא מכך, ניהול בלוג עצמאי בוורדפרס היא לא בהכרח משימה פשוטה. עצמאות כרוכה תמיד במידה מסוימת של אחריות. אם אתם לא חושבים שתוכלו לעמוד בעדכונים שוטפים של התקנה של וורדפרס, העזרו באתרי בלוגים כמו Wordpress.com או בלוגלי כדי להוציא מידיכם את האחריות על האבטחה של הבלוג שלכם, וכדי להתגונן מפני ספאם, גניבת זהות או גניבת רכוש, רצח אופי, סחיטה, ניצול, או כל נזק אחר שעלול להגרם כתוצאה מהשתלטות על הבלוג שלכם, על חבילת האחסון או השרת שלכם, או על המחשב האישי שלכם.

אם אתם אומרים שאתם לא סומכים על וורדפרס, אתם בעצם אומרים שאתם לא סומכים על עצמכם.

וורדפרס 2.8.4 בעברית כוללת עדכוני אבטחה ומומלץ לעדכן אליה מכל גרסה קודמת של וורדפרס. וורדפרס בעברית.

וורדפרס 2.8.3 בעברית כוללת עדכוני אבטחה דחופים ומומלץ לעדכן אליה בהקדם. וורדפרס בעברית.

לגמרי במקרה גיליתי שדרימהוסט מאפשרים לעשות התקנה אוטומטית של וורדפרס בעברית באמצעות פיצ'ר שנקרא One-Click Installs. ייתכן שמדובר בחדשות ישנות, אבל אני לא ידעתי שזה אפשרי עד עכשיו.

ההתקנה האוטומטית פועלת בשני מצבים – מצב קל ומצב מתקדם.

במצב הקל, אין גישה לקבצים של הבלוג ואפשר להשתמש רק בפונקציות הפנימיות של וורדפרס, אבל כל התחזוקה מבוצעת אוטומטית – כולל שדרוגים אוטומטיים וגיבוי.

במצב המתקדם, דרימהוסט רק מתקינים את הבלוג וכל שאר היבטי התפעול שלו זהים להתקנה רגילה – אפשר לגשת לקבצים, אבל צריך לשדרג ולגבות ידנית.

בשילוב עם האפשרות להתקין ערכות עיצוב ותוספים ישירות מתוך ממשק הניהול של וורדפרס, המצב הקל הוא פתרון אידיאלי להתקנה ושימוש בוורדפרס בעברית. אני מתכוון להעביר בהדרגה את הניהול של כל הבלוגים שלי לכלי הזה, מכיוון שאין לי יותר שום צורך בגישה ישירה לקבצים של וורדפרס.

כדי להתקין את וורדפרס בעברית בדרימהוסט, לחצו על הקישור One-Click Installs מהרשימה בצד ימין למעלה (אם אתם כבר מחוברים לממשק הניהול, אפשר פשוט ללחוץ על הקישור הנ"ל), לחצו על Install new website software – Easy Mode, והזינו את פרטי ההתקנה – שם הבלוג, כתובת האימייל שלכם, והדומיין. לחצו על Install it for me now!‎ כדי לבצע את ההתקנה.

אחרי ההתקנה, לחצו על Modify / remove previously installed software (easy)‎, אתרו את הבלוג שהתקנתם ברשימה, ולחצו על Change Settings. במסך הבא, בחרו מהרשימה את Hebrew.

אם יצרתם דומיין חדש, סביר להניח שיהיה עיכוב קצר בין ההתקנה עד לתחילת הפעולה שלו.

עם ובלי קשר לגילוי הזה, אפשר להשתמש בקופון RANH כדי לקבל הנחה של 50 דולר באחסון בדרימהוסט.

למה אף ספקית אחסון מקומית לא מציעה התקנה אוטומטית של וורדפרס בעברית? מה אני/אנחנו יכולים לעשות כדי לקדם את זה?

כמה נקודות לגבי הפוסט של תומר כהן על הפיצול של וורדפרס/וורדפרס בעברית:

• אמנם אין לי עמוד ארכיון מסודר בבלוג, אבל יש תיבת חיפוש. זו ההתייחסות הראשונה לוורדפרס בעברית. היו כמה פוסטים גם לפני זה, שכנראה מחקתי או איבדתי במהלך הדרך.
• לדעתי דווקא כן קישרתי לתרגום של תומר כהן כשפרסמתי לראשונה את התרגום שלי ובעוד מספר מקומות אחרים, אם כי כולם למרבה הצער כבר לא קיימים.
• התרגום שלי לא מבוסס על התרגום של תומר, ומעולם לא טענתי שהתרגום שלי היה ראשון.
• ברור שאני חושב שיש לתרגום שלי יתרונות על התרגום של תומר – אחרת לא הייתי טורח לעשות אותו.
• מה זה אומר "תמיכה מסודרת בעברית בגרסה הרגילה של התוכנה"? במה היא פחות או יותר מסודרת מהתמיכה שקיימת באנגלית?

עד כאן הפרטים הקטנים.

עדכון 2007-11-29 10:47 על הסיקור השטחי והמיותר של בוריס-בולטיאנסקי לדיון הזה, אפילו מבלי להתייחס לשגיאות העובדתיות: לפני שמתחילים לכתוב, מקובל קודם ללמוד לקרוא, ואחרי שקבעת שאין זה מקומך לקבוע מי טועה ומי צודק, עדיף היה לעצור ולא לקבוע מי צודק ומי טועה. ולא, זה לא יהיה מיותר להזכיר שוב את הקישורים הפנימיים המכוערים של וואלה.

(המשך…)