Spis treści
Dlaczego bezpieczeństwo WordPressa jest tak ważne?
WordPress to najpopularniejszy system zarządzania treścią na świecie, co czyni go również najczęstszym celem ataków hakerskich. Zautomatyzowane boty i skanery stale przeszukują Internet w poszukiwaniu podatnych witryn, dlatego nawet niewielki blog czy lokalna strona firmowa mogą stać się ofiarą włamania. Skuteczna ochrona WordPressa nie wymaga specjalistycznej wiedzy — wystarczy wdrożyć zestaw sprawdzonych praktyk.
Aktualizacje to podstawa bezpieczeństwa
Jednym z najważniejszych kroków jest regularne aktualizowanie:
- WordPressa (rdzenia),
- wtyczek,
- motywów.
Nieaktualne komponenty często zawierają znane luki, które są publicznie udokumentowane i wykorzystywane przez boty. Warto też usuwać nieużywane motywy i wtyczki, ponieważ mogą również stanowić wektor ataku.
Silne hasła i unikalne nazwy użytkowników
- Stosuj złożone, unikalne hasła dla każdego użytkownika,
- Unikaj oczywistych loginów (np. „admin”),
- Zmień domyślny adres logowania (np. z
/wp-login.phpna inny).
Do zarządzania hasłami warto używać menedżera haseł, np. Bitwarden lub 1Password.
Zabezpieczenie formularza logowania
Formularz logowania to pierwsze miejsce ataków typu brute-force. Warto:
- Ograniczyć liczbę prób logowania (np. wtyczką Limit Login Attempts),
- Dodać CAPTCHA lub reCAPTCHA,
- Włączyć dwuskładnikowe uwierzytelnianie (2FA).
Wtyczki takie jak WP 2FA czy Wordfence oferują tę funkcjonalność w prosty sposób.
Korzystaj z renomowanych wtyczek bezpieczeństwa
Wtyczki zabezpieczające to dodatkowa warstwa ochrony. Do najpopularniejszych należą:
- Wordfence Security – skanowanie plików, zapora sieciowa, logi logowania,
- iThemes Security – kompleksowy zestaw narzędzi do ochrony strony,
- Sucuri Security – monitorowanie zmian i reagowanie na zagrożenia.
Po zainstalowaniu warto skonfigurować powiadomienia e-mail o wykrytych zagrożeniach.
Zmień domyślny prefiks bazy danych
Domyślny prefiks wp_ jest znany i często wykorzystywany w atakach SQL Injection. Można go zmienić podczas instalacji lub później (ręcznie lub za pomocą wtyczki np. Brozzme DB Prefix).
Ustaw odpowiednie uprawnienia plików i katalogów
Złe uprawnienia plików mogą umożliwić nieautoryzowany dostęp. Zalecane ustawienia to:
- Pliki:
644 - Katalogi:
755 - Plik
wp-config.php:600lub440
Warto także zablokować dostęp do katalogu wp-includes i pliku xmlrpc.php, jeśli nie są używane.
Korzystaj z certyfikatu SSL
SSL nie tylko zabezpiecza przesyłane dane, ale również wpływa pozytywnie na SEO. W dhosting oferujemy darmowe certyfikaty SSL od Let’s Encrypt.
Regularne kopie zapasowe
Nawet najlepiej zabezpieczona strona może paść ofiarą ataku. Dlatego warto mieć plan B – automatyczne kopie zapasowe:
- Zewnętrzne (np. Dropbox, Google Drive),
- Codzienne lub tygodniowe,
- Tworzone przez wtyczki takie jak UpdraftPlus, Duplicator czy All-in-One WP Migration.
Monitoruj aktywność i zmiany
Logowanie działań użytkowników oraz monitorowanie zmian plików pozwala szybko wykryć podejrzane działania. Do tego celu świetnie sprawdzają się narzędzia takie jak WP Activity Log czy Simple History.
