Zabezpieczenie strony WordPress opiera się na czterech filarach: aktualnym oprogramowaniu, kontroli dostępu, ograniczeniu tego, co można wykonać na serwerze, oraz kopiach zapasowych trzymanych poza hostingiem. Największą część włamań umożliwiają nieaktualne wtyczki i motywy, dlatego aktualizacje mają pierwszeństwo przed wszystkim innym. Kolejne warstwy to dwuskładnikowe logowanie, ograniczenie prób logowania, blokada edytora plików w panelu i blokada wykonywania PHP w katalogach na pliki. Monitoring sum kontrolnych skraca czas wykrycia infekcji z tygodni do godzin, a kopia poza serwerem daje punkt powrotu, gdy mimo wszystko dojdzie do włamania. Wdrożenie całości zajmuje od dwóch do czterech godzin.
Co daje największą różnicę w bezpieczeństwie WordPressa?
Największą różnicę robią aktualizacje, ponieważ zdecydowana większość włamań na strony WordPress wykorzystuje znane podatności w nieaktualnych wtyczkach i motywach. Poprawka jest zwykle dostępna wcześniej niż atak, a serwis pada dlatego, że nikt jej nie zainstalował.
Druga w kolejności jest kontrola dostępu, czyli to, kto i czym loguje się do panelu oraz do serwera. Trzecia to ograniczenie skutków: nawet gdy ktoś wgra plik, blokada wykonywania PHP w katalogach na dane sprawia, że nie da się go uruchomić. Dopiero na czwartym miejscu są narzędzia dodatkowe, takie jak zapory aplikacyjne i skanery. Ta kolejność porządkuje całą listę czynności.
Jak zabezpieczyć stronę WordPress krok po kroku?
Poniżej dziesięć kroków w kolejności od największego wpływu na bezpieczeństwo. Wdrożenie całości zajmuje od dwóch do czterech godzin i nie wymaga płatnych narzędzi.
- Aktualizacje wszystkich komponentówRdzeń, motyw i wtyczki utrzymuj w najnowszych wersjach, a aktualizacje wykonuj po zrobieniu kopii. Włącz automatyczne aktualizacje bezpieczeństwa rdzenia.
- Usunięcie nieużywanych wtyczek i motywówWyłączona wtyczka nadal leży na serwerze i jej pliki da się wywołać bezpośrednio. Kasuj wszystko, czego nie używasz, zamiast tylko dezaktywować.
- Silne hasła i dwuskładnikowe logowanieUstaw unikalne hasła dla kont administratorów i włącz drugi składnik logowania. To zamyka drogę atakom słownikowym na formularz logowania.
- Limit prób logowaniaOgranicz liczbę nieudanych prób z jednego adresu i wprowadź opóźnienie po serii błędów. Ogranicza to automatyczne skanowanie kont.
- Minimalne uprawnienia kontRola administratora tylko dla osób, które faktycznie jej potrzebują, reszta jako redaktor lub autor. Ogranicza to skutki przejęcia pojedynczego konta.
- Blokada wykonywania PHP w uploadsDodaj regułę w pliku .htaccess w katalogu wp-content/uploads, która blokuje uruchamianie skryptów. Neutralizuje to shelle wgrane przez formularz.
- Wyłączenie edytora plików w paneluDodaj do wp-config.php stałą DISALLOW_FILE_EDIT, żeby przejęte konto administratora nie mogło modyfikować kodu motywu z poziomu przeglądarki.
- Poprawne uprawnienia plikówUstaw 644 dla plików, 755 dla katalogów i 600 dla wp-config.php. Zapisywalne katalogi ogranicz do tych, które faktycznie tego wymagają.
- Kopie zapasowe poza serweremWykonuj kopie plików i bazy co najmniej raz w tygodniu i trzymaj je poza hostingiem, z historią obejmującą minimum 30 dni.
- Monitoring zmian w plikachPorównuj sumy kontrolne plików rdzenia i ustaw powiadomienia o nowych plikach PHP. Skraca to czas wykrycia infekcji z tygodni do godzin.
Część z tych kroków wykonuje się raz, a część wymaga regularnego powtarzania.
Co trzeba robić regularnie po wdrożeniu zabezpieczeń?
Regularnej uwagi wymagają trzy rzeczy: aktualizacje, kopie zapasowe i przegląd kont. Aktualizacje sprawdza się co najmniej raz w tygodniu, ponieważ czas między ujawnieniem podatności a pierwszymi automatycznymi próbami jej wykorzystania liczy się w dniach.
Kopie zapasowe wymagają nie tylko wykonywania, ale też testowego przywrócenia raz na kwartał, bo kopia, której nikt nie odtworzył, jest tylko założeniem. Przegląd kont polega na sprawdzeniu listy użytkowników z uprawnieniami administratora i usunięciu tych, które nie są już potrzebne, zwłaszcza po zakończeniu współpracy z wykonawcą strony. Do tego dochodzi cotygodniowy rzut oka na raport problemów bezpieczeństwa w Search Console.
Realistyczne minimum: jeśli nie masz czasu na wszystko, wybierz aktualizacje raz w tygodniu i kopię zapasową poza serwerem. Same te dwie czynności ograniczają zarówno prawdopodobieństwo włamania, jak i jego koszt.
Zabezpieczenie własnymi siłami a abonament opiekuńczy - co wybrać?
Własnymi siłami opłaca się prowadzić stronę wizytówkę z kilkoma wtyczkami, a abonament sprawdza się przy sklepach i serwisach, w których przestój kosztuje. Poniżej różnice, które przesądzają o wyborze.
Własnymi siłami
Nie generuje stałego kosztu, a przy prostym serwisie sprowadza się do kilkunastu minut tygodniowo. Ryzyko polega na tym, że aktualizacje odkłada się w czasie, a o zaległościach przypomina dopiero włamanie.
Abonament opiekuńczy
Obejmuje aktualizacje, kopie poza serwerem i monitoring zmian w plikach, a koszt jest stały i przewidywalny. Ma sens, gdy strona sprzedaje, bo koszt jednego dnia przestoju bywa wyższy niż roczna opłata.
Zabezpieczenia mają jednak sens tylko wtedy, gdy serwis jest czysty w momencie ich wdrażania.
Co zrobić, gdy strona jest już zainfekowana?
Zabezpieczanie zainfekowanego serwisu nie ma sensu, dopóki w plikach zostaje kod atakującego, bo utrwala się wtedy stan po włamaniu. Kolejność jest zawsze taka sama: najpierw czyszczenie, potem zabezpieczenia.
Czyszczenie serwisu przed wdrożeniem zabezpieczeń
Pełny przebieg prac opisuje instrukcja jak usunąć wirusa ze strony internetowej, od kopii powłamaniowej po zgłoszenie do Google. Dopiero po jej przejściu wdrożenie blokad i haseł daje realny efekt. W przeciwnym razie zabezpieczasz serwis razem z furtką, którą zostawił atakujący.
Sprawdzenie, czy nie została ukryta furtka
Najczęstszym powodem powrotu infekcji po wdrożeniu zabezpieczeń jest backdoor w WordPress pominięty przy czyszczeniu. Furtka działa niezależnie od haseł i od aktualizacji, więc żadne z tych zabezpieczeń jej nie zamyka. Sprawdzenie sześciu typowych kryjówek zajmuje kilkanaście minut.
Czy warto zabezpieczać stronę, która nigdy nie była zaatakowana?
Tak, ponieważ ataki na WordPressa są w większości automatyczne i nie wybierają celów według wielkości serwisu. Boty skanują zakresy adresów i próbują znanych podatności niezależnie od tego, czy strona ma dziesięciu, czy dziesięć tysięcy odwiedzających.
Czy zabezpieczenia wpływają na szybkość strony?
Nie, czynności z tej listy nie obciążają serwera w zauważalny sposób, bo są to zmiany w konfiguracji i uprawnieniach. Wyjątkiem bywają rozbudowane wtyczki bezpieczeństwa skanujące pliki w czasie rzeczywistym, które warto ustawiać na godziny nocne.
Czym zabezpieczenie strony nie jest
Zabezpieczenie nie jest gwarancją, że włamanie się nie powtórzy, bo nowe podatności pojawiają się w komponentach, które dziś są aktualne. Nie jest też jednorazową czynnością: bez regularnych aktualizacji cała lista traci wartość po kilku miesiącach. Nie zastępuje wreszcie kopii zapasowej, która pozostaje jedynym rozwiązaniem działającym wtedy, gdy pozostałe warstwy zawiodą.
Najczęstsze pytania o zabezpieczenie WordPressa
Czy sama wtyczka bezpieczeństwa wystarczy do zabezpieczenia strony?
Nie, wtyczka obsługuje część zadań, ale nie zaktualizuje za Ciebie podatnego komponentu ani nie wykona kopii poza serwerem. Traktuj ją jako jedną z warstw, a nie jako całe zabezpieczenie.
Czy zmiana adresu logowania zwiększa bezpieczeństwo?
Tak, ale nieznacznie, bo ogranicza jedynie automatyczne próby logowania pod standardowym adresem. Znacznie większą różnicę robi dwuskładnikowe logowanie i limit nieudanych prób.
Czy kopie zapasowe u dostawcy hostingu wystarczą?
Nie, kopie trzymane na tym samym serwerze bywają zaszyfrowane razem z serwisem albo nadpisane wersją już zainfekowaną. Bezpieczniejszym rozwiązaniem jest dodatkowa kopia poza infrastrukturą hostingu.
Czy aktualizacje mogą zepsuć stronę?
Tak, zdarza się to przy motywach mocno modyfikowanych i przy starych wtyczkach bez wsparcia. Ryzyko ogranicza wykonanie kopii przed aktualizacją oraz testowanie zmian na kopii serwisu.
Czy zabezpieczenia trzeba wdrażać po wyczyszczeniu włamania?
Tak, bo adres wyczyszczonej domeny zostaje na listach botów skanujących podatności i wraca do nich regularnie. Bez zamknięcia luki ponowne włamanie jest kwestią tygodni.
Wolisz oddać to komuś, kto robi to codziennie?
Jeśli strona została już zaatakowana, samo zabezpieczenie nie wystarczy, bo w serwisie zostaje kod atakującego. Usuwamy włam za 600 zł netto i wdrażamy przy okazji zabezpieczenia z tej listy, żeby infekcja nie wróciła po kilku dniach.
Diagnoza jest bezpłatna. Płatność następuje po wyczyszczeniu strony, na podstawie faktury VAT.
- Realizacja do 24 godzin
- Pliki, baza danych i backdoory
- Zgłoszenie do Google Search Console
- Ponowne czyszczenie gratis przez 30 dni