Co to jest FTP i czym różni się od SFTP oraz FTPS?

FTP to protokół służący do przesyłania plików pomiędzy komputerami połączonymi siecią. Przez wiele lat był jednym z podstawowych sposobów publikowania stron internetowych, przesyłania plików na hosting oraz zarządzania zawartością serwerów.

Skrót FTP pochodzi od angielskiego określenia File Transfer Protocol, czyli protokół transferu plików.

Choć klasyczne FTP nadal jest obsługiwane przez część serwerów i programów, obecnie znacznie częściej powinno się korzystać z bezpieczniejszych rozwiązań, przede wszystkim SFTP lub FTPS.

Ich nazwy są podobne, ale nie oznaczają tego samego protokołu.

Co to jest FTP?

FTP jest protokołem komunikacyjnym określającym sposób przesyłania plików pomiędzy klientem a serwerem.

Klientem może być na przykład program zainstalowany na komputerze, natomiast serwerem maszyna, na której znajduje się strona internetowa.

Za pomocą FTP można między innymi:

• wysyłać pliki na serwer,
• pobierać pliki z serwera,
• tworzyć katalogi,
• usuwać pliki,
• zmieniać nazwy plików i katalogów,
• przenosić pliki pomiędzy katalogami,
• przeglądać strukturę katalogów,
• w niektórych przypadkach zmieniać uprawnienia plików.

FTP nie jest więc dyskiem sieciowym w klasycznym znaczeniu. Jest sposobem komunikacji pozwalającym klientowi wykonywać określone operacje na plikach znajdujących się na serwerze.

Jak działa FTP?

Do połączenia FTP potrzebne są zazwyczaj cztery podstawowe informacje:

• adres serwera,
• nazwa użytkownika,
• hasło,
• port.

Po uruchomieniu programu obsługującego FTP użytkownik podaje dane dostępowe, a program nawiązuje połączenie z serwerem.

Po poprawnym zalogowaniu można zobaczyć katalogi i pliki, do których dane konto posiada uprawnienia.

W typowym programie FTP interfejs jest podzielony na dwie części.

Po jednej stronie widoczne są pliki znajdujące się na komputerze użytkownika, a po drugiej pliki znajdujące się na serwerze.

Przesłanie pliku może więc wyglądać podobnie do kopiowania go pomiędzy katalogami na komputerze.

FTP działa na zasadzie klient-serwer

FTP wykorzystuje architekturę klient-serwer.

Klient FTP jest programem, z którego korzysta użytkownik.

Serwer FTP jest usługą działającą na serwerze i oczekującą na połączenia klientów.

Klient wysyła polecenia, a serwer je wykonuje, jeżeli użytkownik posiada odpowiednie uprawnienia.

Przykładowo klient może wysłać polecenie pobrania pliku, utworzenia katalogu albo przesłania nowej wersji pliku na serwer.

Do czego używa się FTP?

FTP był przez lata powszechnie wykorzystywany przede wszystkim przy stronach internetowych.

Przed rozpowszechnieniem systemów CMS administrator przygotowywał pliki strony lokalnie, a następnie przesyłał je na hosting właśnie przez FTP.

Protokół nadal może być wykorzystywany między innymi do:

• publikowania plików stron internetowych,
• przesyłania dużych zbiorów danych,
• tworzenia kopii plików,
• migracji stron pomiędzy serwerami,
• przesyłania plików do systemów zewnętrznych,
• obsługi starszych aplikacji,
• wymiany plików pomiędzy przedsiębiorstwami.

W przypadku współczesnych stron internetowych część tych zastosowań jest nadal aktualna, ale sam klasyczny protokół FTP coraz częściej zastępuje się bezpieczniejszym SFTP.

FTP przy stronie internetowej

Dostęp do plików serwera bywa potrzebny podczas administracji stroną internetową.

Przykładowo może być konieczny przy:

• usuwaniu awarii,
• migracji strony,
• ręcznej zmianie plików,
• przywracaniu kopii zapasowej,
• analizie podejrzanych plików,
• wyłączaniu uszkodzonej wtyczki,
• wdrażaniu indywidualnych rozwiązań.

Nie oznacza to jednak, że każdą zmianę na stronie należy wykonywać przez FTP.

W wielu przypadkach istnieją bezpieczniejsze i bardziej kontrolowane sposoby wdrażania zmian.

FTP w WordPressie

WordPress posiada własny panel administracyjny, dlatego do codziennej edycji treści dostęp FTP zazwyczaj nie jest potrzebny.

Może jednak okazać się niezwykle przydatny podczas awarii.

Przykładowo wadliwa wtyczka może spowodować błąd uniemożliwiający wejście do panelu WordPressa.

Jeżeli dostęp do plików nadal działa, można odnaleźć katalog problematycznej wtyczki i zmienić jego nazwę. WordPress przestanie wtedy ładować rozszerzenie, co może umożliwić odzyskanie dostępu do strony.

Podobnie można reagować na błędy motywów, uszkodzone pliki czy niektóre problemy po aktualizacjach.

FTP w WooCommerce

W przypadku sklepu WooCommerce dostęp do plików serwera może być jeszcze ważniejszy, ponieważ awaria sklepu może bezpośrednio zatrzymać sprzedaż.

Może być wykorzystywany podczas:

• diagnozowania konfliktów wtyczek,
• wdrażania modyfikacji technicznych,
• analizy logów,
• migracji sklepu,
• naprawy błędów po aktualizacji,
• przywracania plików z kopii zapasowej.

Przy pracy nad stronami i sklepami internetowymi traktuję jednak dostęp do plików jako jedno z narzędzi administracyjnych, a nie podstawowy sposób wykonywania każdej zmiany.

Co to jest klient FTP?

Klient FTP to program pozwalający połączyć komputer użytkownika z serwerem obsługującym określony protokół transferu plików.

Po wpisaniu danych dostępowych klient nawiązuje połączenie i umożliwia wykonywanie operacji na plikach.

Dobry klient może obsługiwać nie tylko FTP, ale również SFTP i FTPS.

Dlatego samo określenie „program FTP” nie oznacza jeszcze, że połączenie rzeczywiście wykorzystuje klasyczne FTP.

Jakie dane są potrzebne do połączenia?

Administrator hostingu lub serwera zazwyczaj przekazuje:

• nazwę hosta,
• login,
• hasło,
• informację o protokole,
• numer portu.

Host może mieć formę nazwy domenowej albo adresu IP.

Bardzo ważne jest prawidłowe wybranie rodzaju połączenia. Dane przygotowane dla SFTP nie muszą działać w klasycznym FTP, nawet jeżeli login i hasło wyglądają identycznie.

Jaki port wykorzystuje FTP?

Klasyczne FTP standardowo wykorzystuje port 21 do połączenia sterującego.

Sam transfer danych może jednak odbywać się przez dodatkowe połączenia.

To jedna z cech odróżniających FTP od prostszych protokołów korzystających zazwyczaj z jednego połączenia sieciowego.

SFTP standardowo korzysta natomiast z portu 22, ponieważ działa w ramach SSH.

Numery portów mogą zostać zmienione przez administratora serwera, dlatego wartości 21 i 22 należy traktować jako standardowe ustawienia, a nie regułę obowiązującą każdy serwer.

Połączenie sterujące i połączenie danych

FTP wykorzystuje osobne kanały do komunikacji sterującej i przesyłania danych.

Połączenie sterujące służy do przesyłania poleceń, na przykład informacji o logowaniu lub żądania wyświetlenia katalogu.

Osobne połączenie jest wykorzystywane do transferu danych.

Taka konstrukcja pochodzi z czasów, kiedy projektowano pierwsze wersje protokołu FTP.

We współczesnych sieciach może jednak powodować dodatkowe problemy związane z firewallami, routerami i translacją adresów NAT.

Tryb aktywny i pasywny FTP

FTP może działać w trybie aktywnym lub pasywnym.

Różnica dotyczy sposobu nawiązywania połączenia służącego do przesyłania danych.

Tryb aktywny

W trybie aktywnym serwer inicjuje połączenie danych w kierunku klienta.

Współczesne routery, firewalle i NAT mogą blokować takie połączenia przychodzące.

Dlatego tryb aktywny bywa problematyczny w typowych sieciach domowych i firmowych.

Tryb pasywny

W trybie pasywnym to klient inicjuje również połączenie służące do transferu danych.

Jest to zazwyczaj znacznie łatwiejsze do obsłużenia przez współczesne firewalle.

Dlatego większość klientów FTP domyślnie wykorzystuje obecnie tryb pasywny.

Dlaczego klasyczne FTP nie jest bezpieczne?

Największym problemem klasycznego FTP jest brak szyfrowania.

Informacje przesyłane pomiędzy klientem a serwerem mogą być przesyłane w postaci umożliwiającej ich odczytanie osobie posiadającej dostęp do odpowiedniego fragmentu komunikacji sieciowej.

Dotyczy to również danych logowania.

W klasycznym FTP mogą więc zostać przechwycone:

• login,
• hasło,
• nazwy plików,
• zawartość przesyłanych danych.

Właśnie dlatego nie powinno się dziś wykorzystywać nieszyfrowanego FTP do przesyłania poufnych danych, jeżeli istnieje możliwość użycia bezpieczniejszego protokołu.

Czym jest SFTP?

SFTP to bezpieczny protokół przesyłania plików działający w ramach SSH.

Jego nazwa jest rozwijana jako SSH File Transfer Protocol.

Mimo podobieństwa nazw SFTP nie jest zabezpieczoną wersją klasycznego FTP.

To odrębny protokół.

Komunikacja jest szyfrowana, dzięki czemu osoby postronne nie powinny być w stanie odczytać loginu, hasła ani przesyłanych plików.

SFTP może wykorzystywać uwierzytelnianie hasłem albo kluczami SSH.

FTP a SFTP

Najważniejsza różnica dotyczy bezpieczeństwa.

Klasyczne FTP nie szyfruje komunikacji.

SFTP korzysta z szyfrowanego kanału SSH.

Różni się również architektura obu protokołów.

FTP używa osobnych połączeń sterujących i transferowych.

SFTP komunikuje się przez jedno szyfrowane połączenie.

To ułatwia również konfigurację firewalli.

Jeżeli serwer udostępnia SFTP, w zdecydowanej większości typowych zastosowań wybrałbym właśnie tę metodę zamiast klasycznego FTP.

Czy SFTP oznacza Secure FTP?

Często można spotkać rozwinięcie SFTP jako Secure FTP, ale jest ono technicznie nieprecyzyjne.

SFTP jest protokołem transferu plików działającym przez SSH i nie stanowi rozszerzenia klasycznego FTP.

To ważne, ponieważ SFTP i FTP nie są ze sobą bezpośrednio kompatybilne.

Serwer obsługujący FTP nie musi automatycznie obsługiwać SFTP.

Czym jest FTPS?

FTPS jest klasycznym protokołem FTP rozszerzonym o szyfrowanie TLS.

Można więc powiedzieć, że w przeciwieństwie do SFTP rzeczywiście bazuje na FTP.

TLS to technologia wykorzystywana również między innymi do zabezpieczania połączeń HTTPS.

Dzięki niej dane logowania i przesyłane pliki mogą być chronione przed łatwym podsłuchem.

SFTP a FTPS

SFTP i FTPS rozwiązują podobny problem, ale robią to w zupełnie inny sposób.

SFTP działa na bazie SSH.

FTPS jest FTP rozszerzonym o szyfrowanie TLS.

W praktyce oznacza to między innymi inną konfigurację serwera, inne porty oraz inne mechanizmy uwierzytelnienia.

Nie należy więc wybierać opcji SFTP i FTPS zamiennie w programie tylko dlatego, że obie są bezpieczniejsze od FTP.

FTPS explicit i implicit

FTPS może działać w dwóch głównych wariantach.

Explicit FTPS

Połączenie rozpoczyna się w sposób charakterystyczny dla FTP, a następnie klient żąda przejścia na szyfrowanie TLS.

Jest to obecnie częściej spotykany wariant.

Implicit FTPS

Szyfrowanie jest wymagane od początku połączenia.

Historycznie rozwiązanie wykorzystywało inny port niż standardowe FTP.

W praktyce przy konfiguracji należy zawsze korzystać z parametrów podanych przez administratora serwera.

FTP, SFTP czy FTPS?

Jeżeli mam do wyboru nieszyfrowane FTP oraz SFTP, wybieram SFTP.

FTPS również może zapewniać bezpieczne połączenie i nadal jest stosowany w wielu środowiskach biznesowych.

W uproszczeniu można przyjąć:

• FTP jest protokołem starszym i nieszyfrowanym,
• SFTP korzysta z SSH i zapewnia szyfrowanie,
• FTPS wykorzystuje FTP zabezpieczone za pomocą TLS.

Nie zawsze można samodzielnie wybrać protokół. Decyduje o tym konfiguracja serwera i systemu, z którym trzeba się połączyć.

Co to jest SSH?

SSH to protokół umożliwiający bezpieczną, szyfrowaną komunikację z serwerem.

Nazwa pochodzi od Secure Shell.

SSH jest często wykorzystywany do zdalnego zarządzania serwerami za pomocą terminala.

SFTP działa właśnie w ramach infrastruktury SSH.

To dlatego dane dostępowe SFTP bywają powiązane z kontem SSH.

Hasło czy klucz SSH?

SFTP może umożliwiać logowanie przy użyciu klasycznej nazwy użytkownika i hasła.

Bezpieczniejszym i bardzo wygodnym rozwiązaniem w środowiskach technicznych może być uwierzytelnianie kluczem SSH.

Tworzona jest wtedy para kluczy:

• klucz prywatny,
• klucz publiczny.

Klucz publiczny umieszcza się na serwerze, natomiast prywatny pozostaje po stronie użytkownika.

Serwer może dzięki kryptografii zweryfikować, że klient posiada właściwy klucz prywatny, bez przesyłania tego klucza przez sieć.

Dlaczego klucza prywatnego nie wolno udostępniać?

Klucz prywatny jest odpowiednikiem bardzo silnego sekretu umożliwiającego potwierdzenie tożsamości.

Jeżeli dostanie się w ręce osoby nieuprawnionej, może zostać wykorzystany do uzyskania dostępu do serwera, jeżeli nie zastosowano dodatkowych zabezpieczeń.

Dlatego klucza prywatnego nie należy:

• wysyłać przypadkowym osobom,
• umieszczać publicznie,
• dodawać do publicznych repozytoriów,
• przechowywać bez kontroli dostępu.

Sam plik klucza może być dodatkowo zabezpieczony hasłem.

Konto FTP a konto administratora hostingu

Dostęp FTP lub SFTP nie zawsze oznacza dostęp do całego panelu hostingowego.

Hosting może pozwalać utworzyć oddzielne konto mające dostęp wyłącznie do określonego katalogu.

Jest to znacznie lepsze rozwiązanie niż przekazywanie wykonawcy głównego loginu do całego hostingu, jeżeli pełny dostęp nie jest potrzebny.

W praktyce warto stosować zasadę najmniejszych uprawnień.

Użytkownik powinien otrzymać tylko taki zakres dostępu, jaki jest rzeczywiście niezbędny do wykonania określonego zadania.

Osobne konto dla wykonawcy

Jeżeli zewnętrzna osoba potrzebuje dostępu do plików strony, dobrym rozwiązaniem jest utworzenie osobnego konta.

Ma to kilka zalet:

• nie trzeba udostępniać głównego hasła,
• konto może mieć ograniczony dostęp,
• można je usunąć po zakończeniu pracy,
• łatwiej kontrolować aktywne dostępy.

Po zakończeniu współpracy warto takie konto usunąć albo wyłączyć.

Pozostawianie przez lata nieużywanych kont jest niepotrzebnym zwiększaniem powierzchni ataku.

FTP a bezpieczeństwo strony

Przejęcie dostępu do plików strony może mieć bardzo poważne skutki.

Atakujący może próbować:

• zmienić pliki strony,
• dodać złośliwy kod,
• umieścić fałszywe podstrony,
• podmienić pliki JavaScript,
• wykraść dane konfiguracyjne,
• utworzyć mechanizm umożliwiający późniejszy powrót na serwer.

Dlatego loginów i haseł do FTP lub SFTP nie powinno się traktować jak mało istotnych danych technicznych.

Są to dane dające często bezpośredni dostęp do kluczowych elementów strony internetowej.

Dlaczego nie warto wysyłać hasła zwykłym e-mailem?

Przekazywanie kompletu danych logowania w jednej niezabezpieczonej wiadomości zwiększa ryzyko ich ujawnienia.

Jeżeli wiadomość zostanie przejęta albo skrzynka pocztowa zostanie naruszona, atakujący otrzymuje jednocześnie adres serwera, login i hasło.

Bezpieczniej jest wykorzystywać kontrolowane metody udostępniania dostępów, menedżery haseł lub osobne konta o ograniczonych uprawnieniach.

Czy można ograniczyć dostęp FTP?

Tak. Zależnie od hostingu lub konfiguracji serwera można ograniczyć konto między innymi do konkretnego katalogu.

Przykładowo konto może mieć dostęp wyłącznie do plików jednej strony internetowej, bez możliwości przeglądania innych serwisów znajdujących się na tym samym serwerze.

To szczególnie ważne na hostingach, gdzie jedno konto obsługuje wiele domen.

Uprawnienia plików i katalogów

System operacyjny serwera kontroluje, kto może odczytywać, zapisywać i wykonywać określone pliki.

Uprawnienia są ważnym elementem bezpieczeństwa strony internetowej.

Zbyt szerokie prawa zapisu mogą umożliwić modyfikowanie plików procesom lub użytkownikom, którzy nie powinni mieć takiej możliwości.

Zbyt restrykcyjne uprawnienia mogą natomiast spowodować problemy z działaniem strony.

Nie warto więc zmieniać praw dostępu przypadkowo tylko dlatego, że konkretna wartość została znaleziona w internetowym poradniku.

Czy FTP służy do edycji plików?

FTP sam w sobie jest protokołem przesyłania plików.

Nie jest edytorem kodu.

Niektóre programy potrafią jednak pobrać plik do tymczasowej lokalizacji, otworzyć go w edytorze, a po zapisaniu automatycznie przesłać zmienioną wersję na serwer.

Może to wyglądać jak bezpośrednia edycja pliku na serwerze, ale technicznie nadal wykonywany jest transfer.

Dlaczego bezpośrednia edycja produkcji bywa ryzykowna?

Zmiana pliku na działającej stronie bez kopii i bez możliwości szybkiego wycofania modyfikacji może spowodować awarię widoczną natychmiast dla użytkowników.

Jedna pomyłka składniowa może wystarczyć, aby część strony przestała działać.

Przy poważniejszych pracach lepiej korzystać z procesu umożliwiającego:

• wykonanie kopii,
• przetestowanie zmiany,
• kontrolowane wdrożenie,
• szybkie przywrócenie poprzedniej wersji.

W projektach stron internetowych dobieram sposób wdrażania zmian do skali i ryzyka konkretnego rozwiązania. Sam dostęp do plików jest tylko jednym z elementów całego procesu. Więcej o obszarze realizacji serwisów opisuję w ofercie tworzenia stron internetowych.

FTP a kopia zapasowa

Dostęp do plików umożliwia pobranie ich na komputer, ale samo skopiowanie katalogu strony nie zawsze tworzy kompletną kopię zapasową.

Wiele współczesnych systemów wykorzystuje bazę danych.

Dotyczy to między innymi WordPressa i WooCommerce.

Pełna kopia takiej strony powinna więc zazwyczaj obejmować:

• pliki,
• bazę danych,
• w razie potrzeby dodatkowe elementy konfiguracji serwera.

Pobranie samych plików przez FTP nie zabezpiecza informacji znajdujących się wyłącznie w bazie danych.

FTP a baza danych

FTP służy do obsługi plików, a nie do zarządzania bazą danych.

Nie można więc przy jego pomocy bezpośrednio przeglądać tabel MySQL czy wykonywać zapytań SQL.

Do pracy z bazą wykorzystywane są inne narzędzia i protokoły.

To ważne szczególnie podczas migracji strony, ponieważ przeniesienie samych plików WordPressa nie wystarcza do odtworzenia działającego serwisu.

FTP a menedżer plików w hostingu

Wiele paneli hostingowych posiada przeglądarkowy menedżer plików.

Pozwala on wykonywać część operacji podobnych do programu FTP:

• wysyłać pliki,
• pobierać je,
• usuwać,
• zmieniać nazwy,
• edytować zawartość.

Dla pojedynczej drobnej zmiany menedżer plików może być wygodniejszy niż konfigurowanie osobnego programu.

Przy pracy z dużą liczbą plików dedykowany klient SFTP jest jednak zazwyczaj wygodniejszy.

FTP a Git

FTP i Git służą do zupełnie innych celów.

FTP przesyła pliki.

Git jest systemem kontroli wersji pozwalającym śledzić historię zmian w kodzie.

W profesjonalnym procesie wdrożeniowym kod może być przechowywany w Git, a następnie automatycznie lub ręcznie wdrażany na serwer.

Takie podejście umożliwia znacznie lepszą kontrolę zmian niż przypadkowe nadpisywanie plików bez historii wersji.

FTP a automatyzacja

Protokoły przesyłania plików są nadal wykorzystywane w automatycznych procesach wymiany danych.

Przykładowo jeden system może regularnie umieszczać na serwerze plik CSV, który następnie jest pobierany przez drugi system.

Takie rozwiązania można spotkać między innymi przy:

• integracjach hurtowni,
• importach produktów,
• przekazywaniu raportów,
• systemach księgowych,
• wymianie danych B2B.

Jeżeli projektuję lub analizuję taki proces, sprawdzam nie tylko sam transfer pliku, ale również bezpieczeństwo połączenia, obsługę błędów, harmonogram oraz to, co dzieje się w przypadku otrzymania niepełnych albo nieprawidłowych danych.

Czy SFTP może służyć do automatycznej wymiany danych?

Tak.

SFTP jest bardzo często wykorzystywane do automatycznej wymiany plików pomiędzy systemami.

Skrypt lub aplikacja może połączyć się z serwerem, pobrać określony plik, przetworzyć go, a następnie wykonać kolejne operacje.

Przy automatyzacji szczególnie wygodne może być uwierzytelnianie kluczami SSH, ponieważ nie wymaga przechowywania klasycznego hasła w taki sam sposób jak zwykłe logowanie.

Najczęstsze błędy podczas połączenia FTP lub SFTP

Nieprawidłowy protokół

Użytkownik otrzymuje dane SFTP, ale próbuje połączyć się za pomocą FTP.

Login i hasło mogą być poprawne, ale połączenie mimo to się nie powiedzie.

Zły port

FTP i SFTP standardowo korzystają z innych portów.

Nieprawidłowa wartość może uniemożliwić połączenie.

Nieprawidłowy host

Adres serwera FTP lub SFTP nie zawsze jest identyczny z adresem strony internetowej.

Należy korzystać z danych podanych przez hosting lub administratora.

Firewall

Połączenie może być blokowane po stronie komputera, sieci, routera albo serwera.

Limit prób logowania

Wiele serwerów blokuje adres IP po dużej liczbie błędnych prób logowania.

W takim przypadku nawet poprawne dane mogą chwilowo przestać działać.

Nieprawidłowe uprawnienia

Użytkownik może poprawnie się zalogować, ale nie mieć prawa zapisywania plików w konkretnym katalogu.

Brak miejsca na serwerze

Transfer może się nie udać również wtedy, gdy konto hostingowe wykorzystało dostępne miejsce.

Co oznacza błąd połączenia z serwerem?

Sam komunikat o braku połączenia nie wystarcza do określenia przyczyny.

Problem może wystąpić na różnych etapach:

1. odnajdywanie adresu serwera,
2. łączenie z portem,
3. negocjowanie szyfrowania,
4. uwierzytelnianie,
5. otwieranie katalogu,
6. transfer danych.

Dlatego podczas diagnozy warto sprawdzić komunikaty klienta, zamiast wielokrotnie wpisywać to samo hasło.

Czy FTP może być blokowane przez hosting?

Tak.

Administrator może całkowicie wyłączyć klasyczny FTP i pozostawić wyłącznie SFTP.

Może również ograniczać dostęp do określonych adresów IP albo blokować konto po wykryciu podejrzanych prób logowania.

Z punktu widzenia bezpieczeństwa wyłączenie niepotrzebnych usług jest dobrą praktyką.

Czy warto zapisywać hasło FTP w programie?

Zależy to od sposobu przechowywania danych przez konkretny program oraz bezpieczeństwa komputera.

Zapisane dane dostępowe mogą być wygodne, ale jednocześnie stanowią cel dla złośliwego oprogramowania.

Jeżeli komputer zostanie zainfekowany, zapisane loginy i hasła do serwerów mogą zostać wykradzione.

Dlatego bezpieczeństwo dostępu do serwera zależy również od bezpieczeństwa urządzenia użytkownika.

Malware kradnący dane FTP

W przeszłości jednym z popularnych sposobów infekowania stron internetowych było wykradanie zapisanych danych FTP z komputerów administratorów.

Złośliwe oprogramowanie uzyskiwało login oraz hasło zapisane w programie, a następnie automatycznie łączyło się z serwerem i modyfikowało pliki strony.

Pokazuje to, że nawet dobrze zabezpieczony serwer nie wystarczy, jeżeli urządzenie posiadające dane dostępowe jest przejęte.

Czy zmiana hasła wystarczy po przejęciu FTP?

Zmiana hasła jest ważna, ale może nie wystarczyć.

Jeżeli osoba nieuprawniona miała możliwość modyfikowania plików, trzeba sprawdzić, czy nie pozostawiła na serwerze złośliwego kodu.

W przypadku podejrzenia przejęcia warto przeanalizować między innymi:

• zmodyfikowane pliki,
• nietypowe pliki PHP,
• konta użytkowników,
• harmonogramy zadań,
• bazę danych,
• klucze API,
• pozostałe dostępy administracyjne.

Sama zmiana hasła zamyka określoną drogę dostępu, ale nie usuwa automatycznie zmian, które wcześniej zostały wykonane.

Jak bezpiecznie przekazywać dostęp do strony?

Jeżeli dostęp jest potrzebny osobie wykonującej określone prace, najlepiej nie przekazywać wszystkich głównych danych do infrastruktury.

Lepszym rozwiązaniem jest:

1. utworzenie osobnego konta,
2. nadanie minimalnych wymaganych uprawnień,
3. wybranie szyfrowanego protokołu,
4. bezpieczne przekazanie danych,
5. usunięcie konta po zakończeniu pracy, jeżeli nie będzie już potrzebne.

Taka organizacja znacznie ułatwia kontrolowanie, kto posiada dostęp do serwera.

Czy FTP jest nadal potrzebne?

Sam mechanizm przesyłania plików pomiędzy komputerem a serwerem nadal jest bardzo potrzebny.

Zmienił się natomiast sposób, w jaki powinno się go realizować.

Klasyczne nieszyfrowane FTP jest rozwiązaniem historycznym i w nowych konfiguracjach zazwyczaj nie ma powodu, aby wybierać je zamiast bezpieczniejszego SFTP lub FTPS.

Określenie „dostęp FTP” nadal bywa jednak używane potocznie jako ogólna nazwa dostępu do plików serwera, nawet kiedy faktyczne połączenie odbywa się przez SFTP.

Czy FTP ma wpływ na SEO?

Sam protokół FTP nie wpływa bezpośrednio na pozycję strony w Google.

Może jednak umożliwiać wykonanie zmian technicznych mających wpływ na SEO.

Za pomocą dostępu do plików można na przykład modyfikować konfigurację serwera, pliki odpowiedzialne za przekierowania lub inne elementy techniczne strony.

Nie należy jednak utożsamiać samego FTP z narzędziem SEO.

W przypadku problemów z indeksowaniem czy wydajnością analizuję cały mechanizm działania serwisu, a nie tylko jego pliki. Więcej o tym obszarze opisuję w ofercie SEO technicznego.

FTP a plik .htaccess

Na serwerach wykorzystujących Apache dostęp do plików może umożliwić edycję pliku .htaccess.

Plik ten może sterować między innymi:

• przekierowaniami,
• regułami dostępu,
• obsługą adresów URL,
• niektórymi ustawieniami bezpieczeństwa,
• elementami konfiguracji cache.

Błąd w jego zawartości może spowodować niedostępność strony.

Dlatego przed większą zmianą warto zachować poprawną wersję pliku.

FTP a plik wp-config.php

W przypadku WordPressa jednym z najważniejszych plików jest wp-config.php.

Zawiera konfigurację potrzebną WordPressowi do działania, w tym informacje dotyczące połączenia z bazą danych.

Dostęp do plików strony może więc oznaczać dostęp również do poufnych informacji technicznych.

To kolejny powód, dla którego konta FTP i SFTP powinny być traktowane jako wrażliwe dane administracyjne.

Jak sprawdzić, czy korzystam z FTP czy SFTP?

Najprościej sprawdzić ustawienia połączenia w używanym programie albo dokumentację hostingu.

Warto zwrócić uwagę na:

• nazwę wybranego protokołu,
• port,
• informację o SSH lub TLS,
• komunikaty klienta podczas łączenia.

Sam fakt, że używany program nazywany jest klientem FTP, nie oznacza, że połączenie jest nieszyfrowane.

Współczesne programy mogą obsługiwać kilka różnych protokołów.

Co wybrać przy nowej stronie internetowej?

Jeżeli konfiguruję dostęp do współczesnego serwera i dostępne jest SFTP, preferuję właśnie to rozwiązanie.

Zapewnia szyfrowanie i dobrze współpracuje z typową infrastrukturą serwerową opartą na SSH.

Jeżeli środowisko wymaga FTPS, również można uzyskać szyfrowane połączenie.

Klasyczne FTP warto pozostawić przede wszystkim dla sytuacji, w których trzeba obsłużyć starszy system i nie istnieje możliwość zastosowania bezpieczniejszego protokołu.

Najważniejsze zasady korzystania z dostępu do plików

• korzystaj z SFTP lub FTPS zamiast nieszyfrowanego FTP, jeżeli jest to możliwe,
• nie udostępniaj głównego konta, jeśli wystarczy konto ograniczone,
• stosuj silne i unikalne dane logowania,
• nie pozostawiaj nieużywanych kont,
• nie przechowuj danych dostępowych w przypadkowych miejscach,
• wykonuj kopię przed ryzykowną zmianą,
• nie edytuj produkcji bez możliwości cofnięcia zmian,
• zabezpieczaj również komputer, z którego łączysz się z serwerem.

FTP, SFTP i FTPS w skrócie

FTP to klasyczny protokół transferu plików, który sam w sobie nie zapewnia szyfrowania.

SFTP jest osobnym protokołem działającym przez SSH i szyfrującym komunikację.

FTPS wykorzystuje mechanizmy klasycznego FTP, ale dodaje do niego zabezpieczenie TLS.

Podobne nazwy powodują wiele nieporozumień, dlatego podczas konfiguracji zawsze warto sprawdzić, jakiego protokołu rzeczywiście wymaga serwer.

FTP, czyli File Transfer Protocol, jest jednym z najstarszych i najbardziej rozpoznawalnych sposobów przesyłania plików pomiędzy komputerem a serwerem.

Przez lata był standardowym narzędziem przy publikowaniu i administracji stronami internetowymi.

Klasyczne FTP posiada jednak istotną wadę: nie szyfruje komunikacji. Login, hasło oraz przesyłane dane mogą być więc znacznie łatwiej przechwycone niż przy wykorzystaniu współczesnych zabezpieczonych protokołów.

Dlatego w nowych wdrożeniach znacznie lepszym wyborem jest zazwyczaj SFTP albo, jeżeli wymaga tego konkretne środowisko, FTPS.

SFTP i FTPS nie są tym samym. SFTP działa przez SSH, natomiast FTPS jest rozszerzeniem FTP wykorzystującym szyfrowanie TLS.

Dostęp do plików serwera nadal pozostaje ważnym narzędziem podczas migracji, diagnozowania awarii, administracji WordPressem, pracy ze sklepami WooCommerce i integracji pomiędzy systemami.

Najważniejsze jest jednak nie samo posiadanie dostępu, lecz sposób jego zabezpieczenia. Osobne konta, minimalne uprawnienia, szyfrowany protokół, kontrola aktywnych dostępów i możliwość cofnięcia zmian znacząco zmniejszają ryzyko problemów.