Bezpieczeństwo WordPressa. Jak zabezpieczyć stronę krok po kroku?

WordPress napędza ogromną część internetu i właśnie dlatego jest ulubionym celem automatycznych ataków. Boty codziennie skanują strony w poszukiwaniu znanych luk we wtyczkach, próbują zgadywać hasła i szukają zapomnianych plików na serwerze. Dobra wiadomość: większość włamań da się uniknąć kilkoma prostymi nawykami.

Poniżej znajdziesz praktyczną listę zabezpieczeń, od najważniejszych do tych, które są miłym dodatkiem, oraz plan działania na wypadek, gdyby strona już została zainfekowana.

Skąd biorą się włamania na strony WordPress?

Sam rdzeń WordPressa jest dobrze utrzymywany i szybko łatany. Zdecydowana większość zgłaszanych podatności dotyczy wtyczek i motywów. Typowe scenariusze ataków to:

• wykorzystanie znanej luki w nieaktualnej wtyczce,
• zgadywanie haseł (brute force) i logowanie danymi wykradzionymi z innych serwisów,
• zainstalowanie „darmowej” wersji płatnej wtyczki z ukrytym złośliwym kodem,
• przejęcie słabo zabezpieczonego hostingu albo innej strony na tym samym koncie.

Jeśli dopiero poznajesz system, zacznij od wpisu WordPress - co to jest, a potem wróć do tej listy.

Jak zabezpieczyć WordPressa? Najważniejsze kroki

1. Aktualizuj rdzeń, motyw i wtyczki

To najskuteczniejsze zabezpieczenie. Większość ataków wykorzystuje luki, dla których poprawka jest już dostępna. Drobne wydania WordPressa, w tym poprawki bezpieczeństwa, domyślnie instalują się automatycznie. Dla wtyczek i motywów możesz włączyć automatyczne aktualizacje w panelu. Przy sklepach i rozbudowanych serwisach aktualizuj najpierw na kopii testowej. Sprawdzaj też wersję PHP na serwerze, bo nieobsługiwane wersje nie dostają już łatek.

2. Ogranicz wtyczki do sprawdzonych

• instaluj tylko to, czego naprawdę używasz, i usuwaj (nie tylko wyłączaj) zbędne wtyczki i motywy,
• sprawdzaj datę ostatniej aktualizacji, liczbę instalacji i reakcje autora na zgłoszenia,
• nigdy nie instaluj płatnych wtyczek z nieoficjalnych źródeł („nulled”), to jedna z najczęstszych dróg infekcji,
• unikaj wtyczek porzuconych przez autora.

3. Silne hasła i uwierzytelnianie dwuskładnikowe (2FA)

Każde konto z rolą administratora lub redaktora powinno mieć długie, unikalne hasło i 2FA, np. przez aplikację uwierzytelniającą. Obsłużysz to wtyczką bezpieczeństwa lub dedykowaną wtyczką do 2FA. Nadawaj role według potrzeb: autor tekstów nie potrzebuje uprawnień administratora. O tym, jak tworzyć i przechowywać hasła, piszemy w poradniku o silnych hasłach.

4. Ogranicz próby logowania

Limit nieudanych logowań i blokada adresów IP po kilku próbach skutecznie zatrzymują ataki brute force. Formularze logowania, rejestracji i kontaktu warto dodatkowo chronić przed botami, np. przez reCAPTCHA lub podobne rozwiązanie.

5. Kopie zapasowe poza serwerem

Kopia zapasowa to Twój plan B. Dobra kopia:

• obejmuje pliki i bazę danych,
• wykonuje się automatycznie, codziennie lub przy każdej zmianie w sklepie,
• jest przechowywana poza serwerem strony, np. w chmurze, bo kopia na zainfekowanym serwerze może być bezużyteczna,
• ma kilka wersji wstecz, bo infekcję często zauważa się po kilku dniach,
• jest przetestowana, czyli wiesz, że da się z niej odtworzyć stronę.

6. Zapora aplikacyjna (WAF)

WAF filtruje ruch, zanim dotrze do WordPressa: blokuje znane wzorce ataków, złośliwe boty i próby wykorzystania luk. Może działać jako wtyczka (np. Wordfence), na poziomie serwera u hostingodawcy albo w chmurze przed stroną (np. Cloudflare). Rozwiązanie chmurowe dodatkowo odciąża serwer.

Jakie ustawienia techniczne warto zmienić?

Uprawnienia plików

Standardowo katalogi mają uprawnienia 755, a pliki 644. Plik wp-config.php, w którym są dane do bazy, warto ograniczyć bardziej, np. do 640 lub 600, jeśli pozwala na to konfiguracja serwera. Nigdy nie ustawiaj 777, nawet „na chwilę”.

Wyłączenie edycji plików w panelu

Dodaj do wp-config.php linię define( 'DISALLOW_FILE_EDIT', true );. Wtedy nawet po przejęciu konta administratora atakujący nie wklei kodu przez edytor motywów i wtyczek.

XML-RPC

Plik xmlrpc.php służy do zdalnej komunikacji z WordPressem. Dziś większość funkcji korzysta z REST API, a XML-RPC bywa wykorzystywany do masowego zgadywania haseł. Jeśli nie używasz aplikacji mobilnej WordPressa w starym trybie ani wtyczek, które go wymagają (np. niektórych funkcji Jetpacka), zablokuj dostęp do xmlrpc.php na poziomie serwera lub wtyczką bezpieczeństwa.

Zmiana adresu logowania

Przeniesienie /wp-admin/ i /wp-login.php pod inny adres zmniejsza liczbę automatycznych prób logowania. Trzeba jednak uczciwie powiedzieć, że to security through obscurity, czyli ukrywanie, a nie zabezpieczanie. Pomaga odciążyć serwer i oczyścić logi, ale nie zastąpi 2FA, limitu logowań i aktualizacji.

HTTPS i hosting

Certyfikat SSL to dziś standard: szyfruje połączenie, w tym hasła wpisywane w formularzu logowania, a przeglądarki oznaczają strony bez HTTPS jako niezabezpieczone. Dobry hosting to izolacja kont, aktualne PHP, kopie po stronie serwera i reakcja na incydenty. Jak go wybrać, opisujemy w poradniku jak wybrać hosting.

Jak często sprawdzać bezpieczeństwo strony?

Zabezpieczenia działają tylko wtedy, gdy ktoś regularnie je kontroluje. Prosty harmonogram dla strony firmowej może wyglądać tak:

Warto też włączyć powiadomienia e-mail z wtyczki bezpieczeństwa o nowych kontach administratorów i zmianach w plikach rdzenia. Dzięki temu dowiesz się o problemie w ciągu godzin, a nie tygodni.

Kto powinien się tym zajmować?

Na małej stronie te zadania może wykonywać właściciel, o ile ma na to czas i pamięta o nich co tydzień. W praktyce to właśnie systematyczność zawodzi najczęściej: aktualizacje czekają miesiącami, a kopii zapasowych nikt nie testuje. Dlatego przy stronach, które zarabiają (sklepy, serwisy z rezerwacjami, strony generujące zapytania), opłaca się powierzyć opiekę osobie lub firmie, która robi to regularnie i reaguje na incydenty.

Co zrobić po włamaniu na stronę?

Objawy to m.in. przekierowania na obce strony, nowe konta administratorów, nieznane pliki, spam w wynikach Google albo ostrzeżenie w Search Console. Działaj według planu:

1. Odetnij dostęp: włącz tryb konserwacji, zmień hasła do WordPressa, hostingu, FTP/SFTP i bazy danych, wygeneruj nowe klucze (salts) w wp-config.php, co wyloguje wszystkich.
2. Sprawdź użytkowników: usuń nieznane konta, zwłaszcza administratorów.
3. Ustal przyczynę: przejrzyj logi serwera i listę wtyczek, sprawdź, która miała znaną lukę.
4. Oczyść stronę: przywróć kopię sprzed infekcji albo podmień rdzeń, motyw i wtyczki na czyste wersje z oficjalnych źródeł, przeskanuj pliki i bazę.
5. Załataj lukę: zaktualizuj wszystko i usuń podatną wtyczkę, inaczej atak się powtórzy.
6. Zgłoś weryfikację: jeśli Google oznaczył stronę, po oczyszczeniu poproś o sprawdzenie w raporcie Problemy dotyczące bezpieczeństwa w Search Console.
7. Oceń wyciek danych: jeśli strona przetwarza dane osobowe (np. sklep), sprawdź obowiązki wynikające z RODO, w tym ewentualne zgłoszenie naruszenia.

Potrzebujesz pomocy z bezpieczeństwem WordPressa?

Przy tworzeniu stron WordPress od początku wdrażamy zabezpieczenia: 2FA, WAF, kopie poza serwerem i bezpieczną konfigurację. W ramach opieki nad stroną regularnie aktualizujemy wtyczki i robimy kopie zapasowe, a po włamaniu pomagamy oczyścić stronę i zamknąć lukę. Napisz, a sprawdzimy, jak zabezpieczona jest Twoja strona.