Ukrywanie informacji o WordPressie utrudnia botom i konkurencji rozpoznanie używanej technologii, ale nie zastępuje aktualizacji systemu, wtyczek ani motywów. Najbezpieczniej połączyć maskowanie wersji i ścieżek z ochroną logowania oraz regularnymi kopiami zapasowymi.
Techniczne maskowanie struktury WordPressa
WordPress może ujawniać wersję systemu w kodzie HTML, nagłówkach HTTP oraz charakterystycznych ścieżkach plików. Nie zapewnia to atakującemu dostępu do witryny, ale ułatwia dobór narzędzi do rozpoznanej konfiguracji. Przed zmianami wykonaj kopię zapasową plików i bazy danych.
Usuń wersję WordPressa z kodu strony
Plik functions.php znajduje się w aktywnym motywie. Dodaj do niego poniższy fragment, najlepiej w motywie potomnym, aby aktualizacja motywu nadrzędnego nie usunęła zmiany:
// Usuwa metatag generatora z sekcji <head>.
remove_action( 'wp_head', 'wp_generator' );Ten kod usuwa informację o wersji z metatagu generatora. Nie musi jednak usunąć wszystkich śladów wersji z nagłówków serwera ani z adresów plików, dlatego warto sprawdzić kod źródłowy i konfigurację hostingu.
Zablokuj publiczne listowanie katalogów
Plik .htaccess jest używany głównie na serwerach Apache. Umieszczenie reguły w głównym katalogu instalacji WordPressa wyłącza listowanie zawartości katalogów:
# Wyłącza wyświetlanie listy plików w katalogach.
Options -IndexesNie blokuj całego katalogu /wp-content/, ponieważ znajdują się w nim zasoby potrzebne stronie, między innymi arkusze stylów, skrypty, obrazy oraz pliki motywów i wtyczek. Wyłączenie indeksowania katalogu nie oznacza, że pliki staną się niewidoczne. Publicznie dostępny adres konkretnego pliku nadal może działać.
Podstawowa procedura edycji pliku wygląda tak:
- Utwórz kopię – pobierz bieżący plik
.htaccessi zapisz go poza serwerem. - Otwórz plik – użyj menedżera plików hostingu albo klienta FTP.
- Dodaj regułę – wstaw
Options -Indexespoza blokiem automatycznie zarządzanym przez WordPress. - Sprawdź witrynę – otwórz stronę, panel administracyjny i kilka podstron.
Plik robots.txt może zawierać dyrektywę Disallow: /wp-content/, ale nie jest to zabezpieczenie. Roboty nie muszą stosować się do jego treści, a reguła może utrudnić indeksowanie zasobów potrzebnych wyszukiwarce. Traktuj ją jako wskazówkę, nie jako blokadę dostępu.
Wtyczki jako ułatwienie
Ręczna edycja plików daje większą kontrolę, ale wymaga znajomości konfiguracji serwera. Wtyczki automatyzują zmianę ścieżek i usuwanie części typowych oznaczeń WordPressa. Ich instalacja zwiększa jednak liczbę komponentów, które również trzeba aktualizować.
| Wtyczka | Główne zastosowanie | Poziom trudności |
|---|---|---|
| Hide My WP Ghost | Maskowanie struktury katalogów oraz adresów plików motywów i wtyczek | Średni |
| WP Hide & Security Enhancer | Modyfikowanie ścieżek WordPressa i ukrywanie typowych oznaczeń systemu | Średni |
| WPS Hide Login | Zmiana adresu strony logowania | Niski |
Po instalacji wtyczki sprawdź stronę w trybie prywatnym przeglądarki, formularze, pliki CSS i JavaScript oraz możliwość logowania. Zbyt szeroka zmiana ścieżek może powodować konflikty z motywem, pamięcią podręczną albo innymi dodatkami.
Ochrona punktów krytycznych
Samo ukrycie adresu logowania nie zabezpiecza konta. Zmiana adresu ogranicza liczbę automatycznych prób, ale nie zastępuje silnego hasła ani dodatkowego uwierzytelniania:
- WPS Hide Login pozwala ustawić niestandardowy adres logowania zamiast korzystania wyłącznie z
/wp-adminlub/wp-login.php. - 2FA wymaga dodatkowego kodu podczas logowania, więc przejęte hasło nie wystarcza do wejścia do panelu.
- Limit Login Attempts Reloaded ogranicza liczbę nieudanych prób i pomaga utrudnić ataki typu brute force.
- Unikalne hasła dla kont administratorów ograniczają skutki wycieku danych z innego serwisu.
Po zmianie adresu logowania zapisz nową ścieżkę w bezpiecznym miejscu. Nie usuwaj bez sprawdzenia mechanizmu, który zapewnia dostęp administratorom, ponieważ błędna konfiguracja może zablokować także właściciela witryny.
O czym pamiętać po wdrożeniu zmian?
Maskowanie technologii to security through obscurity, czyli dodatkowa warstwa utrudniająca rozpoznanie witryny. Nie chroni przed wykorzystaniem znanej luki w nieaktualnej wersji WordPressa, motywu lub wtyczki. Aktualizacje, kopie zapasowe, silne hasła i 2FA mają wyższy priorytet.
Uwaga: błędna składnia w .htaccess może wywołać błąd 500 i unieruchomić stronę. Jeśli po edycji witryna przestanie działać, przywróć kopię pliku. Gdy nie masz dostępu do serwera lub nie potrafisz zlokalizować błędu, poproś administratora hostingu o pomoc.
