Как се ползва FTP и защо да изберете SFTP за файловете на сайта

Как се ползва FTP? Това е протокол за прехвърляне на файлове между Вашия компютър и хостинга, а SFTP върши същото през криптирана връзка. Разликата е съществена: при обикновения FTP данните вървят некриптирани, а при SFTP те минават през защитения канал на SSH. Настройката във FileZilla отнема около десет минути, ако хостингът Ви е дал данни за достъп.

Накратко: - Обикновеният FTP предава данните некриптирано, което позволява на нападател да ги чете или променя (Mozilla Security Blog). - Разширението за защита на FTP с TLS е описано в стандарт от октомври 2005 г. (IETF (RFC Editor)). - SFTP е отделен протокол, който работи като подсистема на SSH2, а не е FTP със защита отгоре (IETF Datatracker). - Firefox премахна FTP във версия 90, а Chrome във версия 95 (The Register).

Какво е FTP и защо вече не е достатъчен

FTP е стар протокол, създаден много преди търсенето на сигурност в мрежата. Дори името на потребителя и паролата преминават по линията в явен вид, ако не добавите защита.

Mozilla посочва като най-големия риск именно това, че FTP предава данните некриптирани и така те могат да бъдат откраднати, подправени или променени (Mozilla Security Blog). Същото издание съобщава, че множество злонамерени кампании са компрометирали FTP сървъри, за да разпространяват зловреден софтуер.

За собственика на малък сайт изводът е практичен. Паролата към файловете на сайта е ключът към всичко: чрез нея някой може да добави скрит код в темата на WordPress. Затова достъпът до хостинга заслужава същата грижа като парола за банка.

Как се ползва FTP и с какво SFTP е различен

Понятията често се бъркат. Съществуват три начина за връзка, а хостингът Ви обикновено поддържа поне два от тях.

Източник: IETF, RFC 4217 и чернова draft-ietf-secsh-filexfer-13 (IETF (RFC Editor), IETF Datatracker)

SFTP не е „FTP плюс буква“. Той е различен протокол и ползва същия криптиран канал като SSH, затова не е нужен отделен сертификат (IETF Datatracker). Черновата изрично допуска, че сървърът вече е проверил кой е клиентът, преди да започне пренос на файлове.

Има и странност, която малцина знаят: документът за SFTP е изтекла чернова, версия 13 от 10 юли 2006 г., без формален статут в IETF (IETF Datatracker). Протоколът се ползва масово, но няма номер на RFC. Това не го прави по-слаб, но обяснява защо в документацията му има няколко несъвместими версии.

FTPS или SFTP, кое да изберете

Ако хостингът предлага и двата, вземете SFTP. Причините са прости: по-малко настройки на защитни стени, една връзка вместо отделни за управление и данни, и вход с ключ вместо парола.

FTPS също е допустим избор. RFC 4217 описва как сесията започва на обичайния порт 21 и клиентът изпраща команда AUTH, за да поиска TLS (IETF (RFC Editor)). Стандартът допуска клиентът да продължи без защита, ако сървърът отхвърли заявката. Затова във FileZilla избирайте „Изисквай изрично FTP през TLS“, а не вариант, при който програмата тихо се връща към обикновен FTP.

Обикновен FTP без никаква защита използвайте само в затворена локална мрежа, и то по изключение.

Настройка на SFTP във FileZilla

FileZilla Client е безплатна програма за Windows, macOS и Linux. Вземете данните от панела на хостинга: адрес на сървъра, потребител и порт за SFTP. Ако не ги намирате, поискайте ги от поддръжката. Преди да започнете, направете резервно копие на сайта, защото грешно изтрит файл не се връща.

1. Отворете FileZilla и изберете Файл (File), после Мениджър на сайтове (Site Manager).
2. Натиснете Нов сайт (New site) и го наименувайте.
3. В полето Протокол (Protocol) изберете SFTP – SSH File Transfer Protocol.
4. Въведете адреса на сървъра в Хост (Host) и порта, който Ви е дал хостингът.
5. В Тип на вписване (Logon Type) изберете Нормално (Normal) и попълнете потребителя и паролата.
6. Натиснете Свързване (Connect).

При първо свързване FileZilla показва ключа на сървъра и пита дали му се доверявате. Сравнете отпечатъка с този в панела на хостинга и едва тогава потвърдете. Това е защитата срещу подмяна на сървъра.

Къде се качват файловете на сайта

Вдясно във FileZilla виждате папките на сървъра, вляво своя компютър. Влачете файловете от лявата към дясната страна. Папката за публикуване на сайта зависи от хостинга. Често се нарича public_html, но проверете в документацията на доставчика, преди да качвате.

За WordPress качвайте само това, което ръчно подменяте: теми, приставки и по изключение конфигурационния файл. Всичко останало се обновява от таблото. Ако местите цял сайт, прочетете ръководството за прехвърляне на сайт на нов хостинг. За по-широки мерки вижте сигурност на WordPress.

Как да проверите, че връзката е криптирана

Погледнете в журнала на връзката в горната част на прозореца на FileZilla. При SFTP там се виждат редове за свързване по SSH и за проверка на ключа на сървъра, а при FTPS ще видите съобщение за TLS. Ако виждате само обикновени команди като USER и PASS без никакво споменаване на TLS или SSH, връзката е обикновен FTP.

Най-честите грешки са три, и всички се поправят лесно: - избран е протокол FTP, а не SFTP, макар хостингът да поддържа второто; - ползвате порт за FTP при протокол SFTP, затова връзката се отказва; - потвърдили сте ключ на сървър, без да сравните отпечатъка.

Добре е да смените паролата за файлов достъп след всяко споделяне с външен разработчик. За избор на вид услуга вижте видовете хостинг, защото част от евтините пакети дават само FTP.

Защо браузърът не е заместител на FTP клиента

Браузърите вече не отварят FTP адреси. Mozilla изключи FTP по подразбиране във Firefox 88 и го премахна изцяло във Firefox 90 (Mozilla Security Blog). Google махна кода за FTP от Chrome във версия 95, като преди това премахна зареждането на документи през FTP в Chrome 72 (The Register).

Като алтернативи се споменават FTPS, SFTP и специализирани програми за пренос (The Register). Затова адрес от рода на ftp:// в браузъра няма да Ви върши работа и FileZilla или подобна програма е правилният инструмент.

Последният полезен факт е срокът: Mozilla съобщава, че потребителите не трябва да правят нищо, за да се приложи промяната, защото тя идва с автоматичното обновяване до Firefox 90 (Mozilla Security Blog). Ако имате стар скрипт или инструкция, която сочи към FTP в браузъра, подменете я още сега с SFTP клиент.