Monitorizarea integrității fișierelor: cum detectezi modificările neautorizate

Un site WordPress compromis nu îți semnalează mereu intrusul printr-o pagină spartă sau printr-un mesaj de eroare. De multe ori, atacatorul modifică discret un singur fișier și așteaptă în tăcere, colectând date sau împrăștiind spam. Exact aici intervine monitorizarea integrității fișierelor în WordPress: un mecanism care compară starea actuală a fișierelor cu o referință de încredere și te avertizează în clipa în care ceva se schimbă fără acordul tău.

Ideea e simplă, dar surprinzător de puternică. Fișierele WordPress oficiale — nucleul, temele și pluginurile din depozitul oficial — au un conținut cunoscut și verificabil. Dacă un singur octet se modifică pe neașteptate, ai un motiv concret de îngrijorare, nu doar o bănuială.

Ce înseamnă, de fapt, integritatea fișierelor

Integritatea unui fișier înseamnă că el este identic cu versiunea în care ai încredere: nu a fost modificat, injectat sau înlocuit. Pentru a verifica asta fără să citești manual mii de linii de cod, se folosește o „amprentă” criptografică numită hash (de exemplu SHA-256).

Un hash este un șir scurt, generat matematic din întreg conținutul fișierului. Schimbă o singură virgulă și hash-ul rezultat devine complet diferit. Practic, compari amprentele de azi cu cele de referință: dacă nu se potrivesc, fișierul s-a schimbat, iar tu afli imediat.

Cum funcționează monitorizarea integrității fișierelor în WordPress

Procesul are câțiva pași clari și repetabili. Întâi construiești o referință de încredere (un „baseline”) cu amprentele fișierelor curate. Apoi, la intervale regulate, sistemul recalculează amprentele și le compară cu baseline-ul salvat.

Un detaliu important pentru WordPress: proiectul oficial publică sume de control pentru fiecare versiune, așa că un scaner poate verifica nucleul octet cu octet față de sursa reală. Pentru temele și pluginurile din depozitul oficial, comparația se face cu versiunea publicată corespunzătoare, ceea ce elimină multe alarme false.

Când apare o diferență, primești o alertă cu fișierul afectat și tipul modificării: adăugat, șters sau modificat. Nu orice alertă înseamnă atac — o actualizare legitimă schimbă și ea fișiere — dar fiecare alertă merită o explicație clară.

Ce fișiere merită urmărite cu prioritate

Nu toate fișierele au aceeași greutate. Câteva zone sunt ținte preferate ale atacatorilor și trebuie supravegheate cu atenție sporită:

• wp-config.php — conține datele de conectare la baza de date și cheile de securitate.
• .htaccess — redirecturile injectate aici trimit vizitatorii pe site-uri malițioase.
• index.php din rădăcină și din teme — loc frecvent pentru cod inserat pe ascuns.
• Fișierele din wp-includes și wp-admin — nu ar trebui să se schimbe decât la actualizări.
• Directorul de uploads — nu ar trebui să conțină niciodată fișiere .php.

Un fișier PHP nou apărut în folderul de imagini este aproape întotdeauna un semnal de alarmă. În mod legitim, acolo stau doar poze și documente, nu cod executabil.

Semne că o modificare este neautorizată

Diferența dintre o schimbare normală și una suspectă ține de context. O actualizare pe care ai pornit-o tu explică modificările din nucleu sau plugin. În schimb, ridică serios semne de întrebare atunci când:

• fișiere de sistem se schimbă fără nicio actualizare recentă;
• apar fișiere cu nume ciudate (de tip wp-x1.php) sau puternic ofuscate;
• data modificării nu se potrivește cu nimic din ce ai făcut tu;
• codul conține funcții precum eval(), base64_decode() sau gzinflate() în locuri nefirești.

Cum reacționezi când primești o alertă

Viteza contează enorm. Cu cât detectezi mai repede, cu atât limitezi daunele și costurile de curățare. Un flux sănătos arată așa: confirmi dacă modificarea corespunde unei acțiuni legitime, izolezi site-ul dacă e nevoie, compari fișierul suspect cu versiunea oficială și îl restaurezi dintr-o copie curată.

Monitorizarea integrității nu funcționează singură. Ea este o piesă dintr-o strategie mai amplă de securitate WordPress, alături de backupuri, actualizări la timp și un firewall bine configurat. Dacă nu ești sigur unde stai, un audit gratuit îți arată exact ce fișiere și ce configurări au nevoie de atenție.

Regulile oficiale de întărire a securității recomandă, de altfel, verificarea periodică a integrității instalării — vezi ghidul de hardening WordPress.

Concluzie: liniște prin verificare, nu prin speranță

Monitorizarea integrității fișierelor îți transformă securitatea dintr-o presupunere într-o certitudine măsurabilă. Nu mai speri că nimeni nu ți-a atins site-ul; știi, pentru că orice modificare lasă o urmă pe care o poți vedea. Configurează un baseline, verifică periodic amprentele și tratează fiecare alertă ca pe o întrebare la care meriți un răspuns clar. Așa prinzi problema cât e mică — nu după ce Google îți marchează site-ul ca nesigur.

Citește și: Site-ul WordPress redirecționează spre spam: cauze și rezolvare.