Unduhan CMS Gratis: Dapatkan dengan Aman, Hindari Malware

Infeksi situs terburuk yang pernah saya bersihkan bukan datang dari peretas. Itu datang dari file ZIP. Seorang pemilik toko kecil mengambil tema WordPress 'premium' dari situs yang menjanjikan tema berbayar secara gratis, dan sebelas bulan kemudian halaman checkout mulai mencuri nomor kartu. CMS-nya sendiri bersih. Pembungkus di sekitar unduhan tidak. Unduhan CMS gratis memang benar-benar gratis dan benar-benar aman, tetapi hanya jika berasal dari tempat yang tepat dan Anda menghabiskan dua menit untuk memastikannya. Berikut cara saya melakukan keduanya.

Asal unduhan CMS gratis yang aman

Setiap CMS gratis yang sah memiliki tepat satu rumah kanonik, dan itu tidak pernah berupa situs dengan 'unduhan gratis' dalam namanya. Domain sendiri proyek, melalui HTTPS, adalah aturan lengkapnya. Semua yang lain, situs aggregator, 'portal unduhan CMS,' cermin forum, adalah upload ulang dari asal yang tidak dikenal dengan tambahan tidak dikenal yang dimasukkan.

• WordPress: wordpress.org saja. Bukan 'wp-free-downloads,' bukan tautan posting blog, bukan torrent.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, melalui halaman rilis atau Composer.
• Grav, Pico, Bludit, WonderCMS: situs resmi proyek atau halaman rilis GitHub-nya.
• Tema dan plugin: direktori resmi di situs CMS sendiri, atau toko sendiri pengembang.
• Composer, npm, atau paket dari distro Anda juga baik-baik saja, mereka mengambil dari sumber kanonik yang sama dengan checksum yang dilampirkan.

Satu tanda yang saya percaya: situs proyek asli sedikit membosankan. Halaman unduhan yang berteriak dengan tiga tombol 'DOWNLOAD SEKARANG' yang berkedip adalah iklan adware, dan dua dari tombol tersebut milik orang lain sama sekali. Kebiasaan baik lainnya: ketik domain sendiri atau gunakan bookmark yang Anda buat setelah memverifikasinya sekali, daripada mengklik hasil pencarian pertama. Malvertising, iklan berbayar yang menyamar sebagai halaman unduhan resmi, adalah saluran distribusi nyata, dan halaman palsu sering duduk di atas yang asli dalam hasil pencarian.

Build nulled: sisi gelap unduhan gratis

'Nulled' berarti tema premium bajakan, plugin, atau ekstensi CMS dengan pemeriksaan lisensinya dihilangkan. Seseorang membeli plugin $59, menghapus kode aktivasi, dan menyerahkannya tanpa biaya. Tanyakan pertanyaan yang jelas: mengapa orang asing menghabiskan uang sehingga Anda bisa mendapatkan sesuatu secara gratis? Karena muatan adalah produknya. Bundel diam-diam menambahkan tautan balik tersembunyi untuk jaringan spam SEO, backdoor admin untuk nanti, atau injector yang aktif berbulan-bulan setelah instalasi, jauh setelah Anda berhenti mengasosiasikannya dengan unduhan itu.

Toko WooCommerce klien menjalankan plugin slider nulled selama hampir setahun tanpa masalah visible. Kemudian card skimmer diaktifkan sesuai jadwal. Pembersihan, forensik, reset kata sandi paksa, sengketa penyedia pembayaran, menelan biaya sekitar empat puluh kali lipat dari harga lisensi plugin. Unduhan gratis, pendidikan mahal.

• Tanda bahaya: situs yang menawarkan tema atau plugin premium '100% gratis, berlisensi GPL, dicek virus.'
• Tanda bahaya: ZIP yang nama folder internalnya tidak cocok dengan struktur rilis resmi.
• Tanda bahaya: installer yang meminta Anda menonaktifkan antivirus 'untuk kompatibilitas.'
• Tanda bahaya: apapun yang dijelaskan sebagai 'pra-aktifkan' atau 'tanpa lisensi.'
• Tanda bahaya: tautan unduhan yang dirutekan melalui shortener URL, file locker, atau halaman hitung mundur.

Apa yang dilakukan infeksi sebenarnya dengan situs Anda? Sebagian besar mereka menyewakannya. Jaringan spam membeli tautan yang disuntikkan ribuan demi menopang peringkat pil dan casino. Operator botnet menambahkan server Anda ke pool DDoS mereka. Tim skimmer menunggu secara khusus untuk toko, karena halaman checkout adalah tempat nomor kartu berada. Blog lima halaman kecil Anda tidak di bawah perhatian mereka; itu adalah komoditas dengan harga pasar beberapa dolar, dan infeksinya sepenuhnya otomatis.

Yang perlu diperiksa sebelum menjalankan unduhan CMS gratis

Tiga puluh detik pekerjaan rumah sebelum Anda mengekstrak apapun menghemat akhir pekan kemudian. Daftar periksa pra-instalasi saya, secara berurutan:

1. Domain cocok dengan situs resmi proyek, huruf demi huruf. Waspadai karakter yang ditukar seperti 'wordprress.'
2. Nomor versi yang Anda dapatkan ada di catatan rilis resmi proyek atau changelog.
3. Proyek masih hidup: commit, rilis, atau posting keamanan dalam dua belas bulan terakhir.
4. Checksum atau tanda tangan dipublikasikan bersama file, hash SHA-256, tanda tangan GPG, atau keduanya.
5. Arsip berisi file lisensi yang mengatakan apa yang Anda harapkan: GPL, MIT, atau serupa.
6. Tidak ada yang di forum atau pelacak masalah proyek sendiri yang memperingatkan tentang rilis saat ini.

Memverifikasi file yang Anda unduh

Checksum terdengar nerd dan memakan waktu sepuluh detik. Di Windows, buka terminal di folder unduhan dan jalankan: certutil -hashfile filename.zip SHA256. Di macOS: shasum -a 256 filename.zip. Di Linux: sha256sum filename.zip. Bandingkan output dengan hash di halaman unduhan resmi, karakter demi karakter. Cocok berarti file persis seperti yang dipublikasikan proyek. Tidak cocok berarti hapus dan unduh ulang dari sumber, jangan investigasi lebih lanjut, jangan 'tetap coba.'

Dua pemeriksaan murah lagi. Pertama, masukkan ZIP ke pemindai multi-mesin seperti VirusTotal sebelum membukanya. Kedua, lirik daftar file: CMS core seharusnya PHP, template, dan aset. File.exe acak, blob base64 yang dikaburkan yang dimasukkan ke folder tema, atau file yang dinamai seperti 'license-keygen.php' adalah isyarat Anda untuk pergi.

Menginstal di hosting nyata tanpa merusak

Sebagian besar instalasi yang gagal karena hal membosankan, bukan malware. Periksa versi PHP yang diperlukan CMS terhadap apa yang benar-benar dijalankan host Anda, host senang menetapkan default ke yang sangat lawas. Buat database baru dengan pengguna dan kata sandi kuatnya sendiri, dan jangan pernah menggunakan satu pengguna database di beberapa situs; pelanggaran di satu tempat kemudian miliki semuanya. Ubah awalan tabel database dari default selama instalasi, pilih nama pengguna admin yang bukan 'admin,' dan simpan kredensial di manajer kata sandi, bukan sticky note.

Setelah installer selesai: hapus direktori instalasi jika meninggalkan satu, setel folder ke 755 dan file ke 644, dan konfirmasi situs dimuat melalui HTTPS sebelum Anda menyentuh yang lain. Jika CMS menawarkannya, pindahkan file konfigurasi di atas root web.

Sebuah kata tentang installer satu klik seperti Softaculous, yang dibundel sebagian besar shared host: mereka adalah jalan tengah yang sah. Mereka mengambil rilis dari sumber resmi, menangani pembuatan database, dan menetapkan izin yang masuk akal, cukup baik untuk kebanyakan orang, dan jauh lebih aman daripada portal unduhan acak. kompromi adalah kontrol: Anda mendapatkan versi yang dikemas host, kadang-kadang satu atau dua rilis di belakang. Untuk instalasi pertama, ambil kenyamanan. Untuk apapun yang menghasilkan pendapatan, pelajari rute manual akhirnya sehingga Anda tahu persis apa yang ada di server Anda.

Setelah unduhan CMS gratis: jam pertama penyiapan

1. Perbarui semuanya segera, core mungkin beberapa versi minor di belakang rilis patch saat ini.
2. Hapus konten default, posting contoh, dan tema serta plugin bawaan yang tidak digunakan. Kode mati adalah permukaan serangan.
3. Siapkan backup otomatis di hari pertama, ke tempat lain di luar server yang sama.
4. Paksa HTTPS dan alihkan setiap permintaan HTTP.
5. Aktifkan perlindungan login: dua faktor di mana ditawarkan, pembatasan tarif di mana tidak.
6. Tulis jalur pemulihan Anda, bagaimana Anda akan memulihkan situs ini dari ketiadaan, selagi masih segar.

Dan pintasan yang layak diketahui: jika alasan Anda ingin mengunduh CMS gratis adalah untuk menjalankan situs yang dipulihkan dari Wayback Machine, Anda bisa melewati unduhan sepenuhnya. Restorix deploy menyertakan CMS single-file gratis di /webarchive-cms.php, pengeditan konten, pencarian-dan-penggantian, dan manajer file, dengan safe mode aktif secara default dan kata sandi admin yang dihasilkan secara acak per situs. Tidak ada installer, tidak ada database, tidak ada yang diambil dari mana pun, yang menghindari seluruh artikel ini. Alur restore ada di tutorial.