et rigtigt tjek af det, en angriber kigger på først: certifikatet, viderestillingen, sikkerhedsheaderne, hvad serveren røber, og hvad wordpress lader stå åbent. ingen tilmelding og ingen rapport, der udgiver sig for rådgivning.
certifikat og https: er certifikatet gyldigt, hvor længe endnu, og viderestiller http faktisk til https.
sikkerhedsheadere: hsts, content-security-policy, x-frame-options, x-content-type-options, referrer-policy, permissions-policy.
hvad serveren røber: server- og x-powered-by-headere, der forærer en angriber de præcise softwareversioner.
åbne wordpress-flader: synlig version, åben xmlrpc.php, læsbar readme.html, offentlig brugerliste.
mixed content: http://-filer på en https-side — hængelåsen lyver, og browseren blokerer dele af sitet.
php der ikke længere rettes: versionen bag sitet, og om den overhovedet får sikkerhedsrettelser endnu.
de fleste sites bliver ikke udvalgt — de bliver fundet af en bot, der prøver tusindvis af adresser i minuttet og leder efter præcis disse signaler. en gammel version, et åbent endpoint, en manglende header. rettelsen er kedelig og billig; oprydningen bagefter er ingen af delene.