WordPress standardowe hasło oraz login „admin” zwiększają ryzyko przejęcia panelu przez automatyczne ataki brute-force. Hasło zmienisz w profilu użytkownika, a loginu nie da się edytować bezpośrednio – trzeba utworzyć nowe konto administratora i bezpiecznie usunąć stare.
Dlaczego standardowe dane logowania są zagrożeniem?
Boty próbujące włamać się do WordPressa zaczynają zwykle od popularnych loginów, takich jak „admin”, „user” czy nazwa marki, a następnie testują często używane hasła. Atak brute-force polega na automatycznym sprawdzaniu wielu kombinacji loginów i haseł. Im bardziej przewidywalne dane, tym większa szansa na uzyskanie dostępu do wp-admin.
Po pierwszym logowaniu zmień hasło na unikalne i nieużywane w innych serwisach. Hasło do panelu WordPress nie jest tym samym co hasło użytkownika bazy danych MySQL zapisane w pliku wp-config.php. Zmiana jednego nie zmienia drugiego.
Jak zmienić hasło w panelu WordPress?
Ta metoda wymaga dostępu do panelu albo pomocy innego użytkownika z uprawnieniami administratora. Zmiana obejmuje hasło konkretnego konta, na przykład głównego administratora.
- Zaloguj się do panelu administracyjnego WordPress.
- W menu po lewej stronie wybierz Użytkownicy, a następnie otwórz konto, którego hasło chcesz zmienić.
- Przewiń profil do sekcji dotyczącej nowego hasła i kliknij Generuj hasło. Możesz użyć propozycji WordPressa albo wpisać własne, długie i unikalne hasło.
- Zapisz zmianę przyciskiem Zaktualizuj profil.
Po zapisaniu wyloguj się i sprawdź logowanie nowym hasłem. Nie zapisuj danych w pliku tekstowym ani nie przesyłaj ich zwykłą wiadomością. Menedżer haseł jest bezpieczniejszym miejscem do ich przechowywania.
Jak zmienić login „admin” w WordPressie?
WordPress nie pozwala zmienić nazwy użytkownika bezpośrednio w standardowym profilu. Najbezpieczniejsza procedura polega na utworzeniu nowego konta z innym loginem, przetestowaniu go, a dopiero potem usunięciu starego.
- W panelu przejdź do Użytkownicy i wybierz Dodaj nowego.
- Wpisz nową nazwę użytkownika, adres e-mail oraz silne hasło.
- W polu roli wybierz Administrator, aby konto miało uprawnienia potrzebne do zarządzania witryną.
- Wyloguj się z obecnego konta i zaloguj przy użyciu nowego loginu.
- Wróć do listy użytkowników, otwórz stare konto i wybierz Usuń.
- Przy usuwaniu przypisz wpisy oraz strony starego użytkownika do nowego konta.
Nie usuwaj starego administratora przed sprawdzeniem nowego konta. Jeżeli przy kasowaniu użytkownika nie przypiszesz jego treści innemu autorowi, WordPress może usunąć te treści zamiast zachować je na stronie. Przed zmianami administracyjnymi wykonaj kopię zapasową plików i bazy danych.
Co zrobić, gdy nie masz dostępu do panelu?
Na stronie logowania do wp-admin kliknij Nie pamiętasz hasła?, a następnie podaj login lub adres e-mail przypisany do konta. WordPress wyśle wiadomość z jednorazowym odnośnikiem do ustawienia nowego hasła. Sprawdź także folder spamu. Jeśli wiadomość nie przychodzi, problem może dotyczyć konfiguracji wysyłki poczty na serwerze.
Gdy nie masz dostępu do przypisanego adresu e-mail, pozostaje kontakt z innym administratorem albo awaryjna zmiana danych w bazie MySQL przez phpMyAdmin. To metoda dla osób, które rozumieją strukturę instalacji WordPressa. Przed edycją tabel wykonaj pełną kopię zapasową i upewnij się, że pracujesz na właściwej bazie. Błędna zmiana może zablokować logowanie lub spowodować problemy z działaniem strony. Hasło do bazy danych z pliku wp-config.php służy do połączenia z MySQL, a nie do logowania do panelu WordPress.
Jak zwiększyć bezpieczeństwo logowania?
Sama zmiana hasła ogranicza ryzyko, ale nie zastępuje pozostałych zabezpieczeń. Sprawdź, czy na stronie są wdrożone następujące rozwiązania:
- Używaj długiego, unikalnego hasła i nie powtarzaj go w innych usługach.
- Włącz logowanie dwuskładnikowe 2FA, aby oprócz hasła wymagany był kod z aplikacji uwierzytelniającej.
- Nie używaj loginu „admin” ani innych łatwych do odgadnięcia nazw użytkownika.
- Korzystaj z HTTPS, aby szyfrować dane przesyłane między przeglądarką a serwerem.
- Ograniczaj liczbę nieudanych prób logowania i monitoruj podejrzane zdarzenia.
- Aktualizuj WordPress, motywy oraz wtyczki i usuwaj nieużywane dodatki.
Na końcu sprawdź, czy nowy administrator może się zalogować, czy treści zostały przypisane do właściwego konta, a reset hasła działa na aktualny adres e-mail. Dopiero wtedy usuń stare dane dostępowe i zachowaj kopię zapasową.
