Bezpieczeństwo WordPressa sprawdza się etapami: najpierw wykonaj kopię plików i bazy danych, następnie skontroluj aktualizacje, konta oraz konfigurację, a na końcu uruchom skanery. Automatyczne narzędzia pomagają wykrywać znane podatności, ale nie zastępują ręcznej oceny ustawień i działania strony.
Dlaczego bezpieczeństwo WordPressa wymaga regularnych testów?
Nawet mała strona firmowa może być celem automatycznych botów szukających przestarzałych wersji WordPressa, wtyczek, motywów lub słabych danych logowania. Po każdej aktualizacji, zmianie konfiguracji albo instalacji nowego rozszerzenia zmienia się też powierzchnia ataku.
Dlatego test bezpieczeństwa nie powinien być jednorazowym działaniem. Krótki audyt warto wykonywać regularnie, a dokładniejszy – po większych zmianach. Skanery wykrywają znane problemy techniczne, lecz zwykle nie oceniają błędów logiki biznesowej, nieprawidłowych uprawnień w niestandardowej wtyczce ani luk w autorskim kodzie.
Przygotuj kopię zapasową przed testem
Przed skanowaniem i zmianami w konfiguracji wykonaj pełny backup. Powinien obejmować pliki strony oraz bazę danych, ponieważ dopiero oba elementy pozwalają odtworzyć kompletną instalację WordPressa. Kopię przechowuj poza serwerem, na przykład w bezpiecznej chmurze lub na lokalnym nośniku.
Jeśli planujesz aktualizacje, zmianę reguł serwera albo testowanie wtyczki zabezpieczającej, użyj środowiska staging. Jest to oddzielna kopia strony, na której możesz sprawdzić działanie zmian bez wpływu na wersję produkcyjną. Po teście zweryfikuj formularze, logowanie, integracje, a w sklepie także koszyk i płatności.
Ostrzeżenie: niektóre reguły firewalla lub wtyczki ochronne mogą zablokować panel administracyjny, wywołać konflikt albo ograniczyć dostęp do plików. Nie edytuj bez kopii zapasowej plików .htaccess ani wp-config.php. Błąd składni może spowodować niedostępność strony.
Wykonaj podstawowy audyt WordPressa
Na początku sprawdź elementy, które najczęściej pozostają zaniedbane. Ta część audytu nie wymaga specjalistycznych narzędzi:
- WordPress i PHP – sprawdź wersję WordPressa w sekcji „Kokpit → Aktualizacje”, a wersję PHP w „Narzędzia → Stan witryny → Informacje → Serwer”. Aktualizuj oba komponenty zgodnie z wymaganiami hostingu, motywu i wtyczek.
- Wtyczki i motywy – usuń nieużywane rozszerzenia oraz motywy, zamiast pozostawiać je tylko dezaktywowane. Każdy dodatkowy, nieaktualizowany komponent może zwiększać ryzyko.
- Konta i hasła – sprawdź listę użytkowników, usuń niepotrzebne konta administratorów i nadaj pozostałym osobom tylko wymagane role. Hasła powinny być długie, unikalne i przechowywane w menedżerze haseł.
- Logowanie do panelu – włącz uwierzytelnianie dwuskładnikowe, ogranicz liczbę prób logowania i monitoruj nietypową aktywność. Ograniczenie dostępu do
/wp-admin/według adresu IP wymaga ostrożnej konfiguracji. - HTTPS i formularze – sprawdź, czy strona korzysta z ważnego certyfikatu SSL, a formularze przesyłają dane przez szyfrowane połączenie.
Użyj narzędzi do skanowania
Wybierz narzędzie zależnie od tego, czego chcesz szukać. Wynik skanowania traktuj jako wskazówkę do dalszej weryfikacji, a nie jako gwarancję bezpieczeństwa:
| Narzędzie | Co sprawdza | Poziom zaawansowania |
|---|---|---|
| WPScan | Znane podatności WordPressa, wtyczek i motywów oraz część informacji o instalacji | Średni i zaawansowany |
| VirusTotal | Pliki lub adresy URL pod kątem sygnałów złośliwego oprogramowania i podejrzanej aktywności | Podstawowy |
| Security Headers Scan | Obecność i konfigurację nagłówków HTTP, takich jak CSP, HSTS czy X-Content-Type-Options | Podstawowy i średni |
WPScan jest narzędziem wiersza poleceń, dlatego przy jego użyciu trzeba rozumieć zakres testu i respektować zasady hostingu. Skanuj wyłącznie własną stronę albo środowisko, do którego masz wyraźne uprawnienia. Nie uruchamiaj agresywnych testów na stronie produkcyjnej bez przygotowania i kopii zapasowej.
Sprawdź kod źródłowy i konfigurację
Ręczna kontrola pozwala zauważyć informacje, których sam skaner może nie ocenić. Otwórz stronę w przeglądarce, wybierz wyświetlenie kodu źródłowego i wyszukaj frazę generator lub parametr ver=. Jeśli kod ujawnia wersję WordPressa, nie oznacza to automatycznie włamania, ale ułatwia atakującemu rozpoznanie instalacji.
Sprawdź też, czy publicznie dostępny jest plik readme.html. Jeżeli nie jest potrzebny, usuń go po wykonaniu kopii. Przy bardziej szczegółowej kontroli przejrzyj:
- czy kod źródłowy nie zawiera kluczy API, haseł, tokenów ani danych dostępowych,
- czy katalogi i pliki nie są otwierane w trybie listowania zawartości,
- czy plik
wp-config.phpnie jest dostępny z poziomu przeglądarki, - czy wtyczki i motywy nie pozostawiają plików kopii, logów lub archiwów w katalogu publicznym.
Zmiany w .htaccess i wp-config.php wykonuj tylko po zapisaniu oryginalnej wersji i upewnieniu się, że wiesz, jaki będzie skutek. W przypadku wątpliwości poproś o pomoc administratora hostingu. Dotyczy to także wyłączania XML-RPC, blokowania edycji plików czy ograniczania dostępu do panelu.
Co zrobić po wykryciu luk?
Postępuj w uporządkowanej kolejności, aby nie utracić dostępu do strony ani danych:
- Potwierdź, czego dotyczy alert, i sprawdź, czy wskazana wersja komponentu rzeczywiście jest zainstalowana.
- Wykonaj lub zweryfikuj backup, a następnie zaktualizuj WordPress, PHP, wtyczki i motywy z zaufanych źródeł.
- Zmień hasła administratorów oraz klucze dostępowe, jeśli istnieje podejrzenie ich ujawnienia.
- Włącz firewall aplikacyjny, na przykład rozwiązanie typu Wordfence, i skonfiguruj powiadomienia o próbach logowania oraz zmianach plików.
- Jeśli strona nadal zachowuje się podejrzanie, wykryto malware albo nie potrafisz samodzielnie odtworzyć backupu, skontaktuj się z hostingiem lub specjalistą.
Najprostszy model pracy wygląda więc tak: backup, audyt podstawowy, skanowanie, ręczna weryfikacja i naprawa. Powtarzany po aktualizacjach oraz większych zmianach daje znacznie lepszą ochronę niż pojedynczy test wykonany raz w roku.
