Bezpieczeństwo WordPressa opiera się na czterech filarach: aktualizacjach, kopiach zapasowych, ograniczeniu dostępu i minimalizowaniu liczby używanych dodatków. Nie jest to jednorazowa konfiguracja, lecz stały proces. Popularność WordPressa sprawia, że boty automatycznie wyszukują jego typowe słabości, ale regularna administracja wyraźnie zmniejsza ryzyko włamania.
Od czego zacząć zabezpieczanie WordPressa?
Pierwszym krokiem jest aktualizacja wszystkich elementów strony: WordPressa, wtyczek, motywów oraz PHP. Opóźnianie aktualizacji pozostawia znane podatności, które mogą być już wykorzystywane przez automatyczne skrypty. Wersję PHP ustaw na najnowszą wspieraną przez dostawcę hostingu i kompatybilną z używanymi rozszerzeniami.
Przed większą aktualizacją wykonaj kopię zapasową. Backup powinien obejmować zarówno pliki, jak i bazę danych. Same pliki nie zawierają wpisów, stron, ustawień ani kont użytkowników, a sama baza nie pozwala zwykle odtworzyć motywów, wtyczek i multimediów.
Na stronie rozwijanej regularnie najlepiej najpierw przetestować zmiany w środowisku testowym, czyli kopii witryny działającej pod innym adresem. Po sprawdzeniu aktualizacji przenieś je na stronę główną. Taki proces ogranicza ryzyko, że niekompatybilna wersja wtyczki wywoła błędy.
Lista podstawowych działań wygląda następująco:
- Aktualizuj WordPressa, wtyczki i motywy możliwie szybko po wydaniu poprawek.
- Używaj wspieranej wersji PHP.
- Twórz kopie plików i bazy danych przed zmianami.
- Przechowuj przynajmniej jedną kopię poza serwerem strony.
Jak ograniczyć dostęp do panelu?
Zacznij od kont administratorów. Login admin jest złym wyborem, ponieważ atakujący znają go z góry i muszą odgadnąć tylko hasło. Utwórz osobne konto z nieoczywistą nazwą, a publikowanie treści powierzaj użytkownikom z rolą niższą niż administrator, jeśli nie potrzebują pełnych uprawnień.
Każde konto powinno mieć długie, losowe i niepowtarzalne hasło przechowywane w menedżerze haseł. Włącz też 2FA, czyli uwierzytelnianie dwuskładnikowe. Poza hasłem użytkownik musi wtedy potwierdzić logowanie drugim składnikiem, na przykład kodem z aplikacji uwierzytelniającej. Sam wyciek hasła nie wystarcza więc do zalogowania.
Włącz ograniczenie liczby prób logowania i powiadomienia o podejrzanych zdarzeniach. Zmiana adresu logowania może zmniejszyć liczbę automatycznych prób na standardowych ścieżkach, ale nie zastępuje aktualizacji, silnych haseł ani 2FA.
Podczas comiesięcznego przeglądu dostępu sprawdź te elementy:
- Usuń niepotrzebne konta użytkowników.
- Odbierz uprawnienia administratora osobom, które ich nie potrzebują.
- Zweryfikuj, czy 2FA działa dla wszystkich kont uprzywilejowanych.
- Przejrzyj logi logowania i aktywności administracyjnej.
Jak zabezpieczyć pliki konfiguracyjne?
Plik wp-config.php zawiera między innymi dane dostępowe do bazy danych, dlatego nie powinien być dostępny z poziomu przeglądarki. Możesz też wyłączyć edycję plików wtyczek i motywów z panelu, dodając do wp-config.php:
define( 'DISALLOW_FILE_EDIT', true );
Reguły w .htaccess mogą ograniczać dostęp do wybranych plików i katalogów albo blokować wykonywanie skryptów PHP w katalogu uploadów. Ich działanie zależy jednak od konfiguracji serwera. Nie kopiuj reguł bez sprawdzenia, czy hosting korzysta z Apache i czy dana składnia jest obsługiwana.
Uwaga: przed edycją .htaccess, wp-config.php lub innych plików konfiguracyjnych wykonaj pełną kopię zapasową. Błąd składni może spowodować błąd 500 albo zablokować panel. Jeśli po zmianie strona przestaje działać, przywróć poprzednią wersję pliku. W przypadku braku dostępu do serwera skorzystaj z pomocy administratora hostingu.
| Metoda | Trudność wdrożenia | Skuteczność i wpływ na wydajność |
|---|---|---|
| Wtyczka bezpieczeństwa | Niska lub średnia | Może ograniczać brute force i wykrywać zmiany, ale zwiększa liczbę kodu na stronie. |
| Ustawienia serwerowe i pliki konfiguracyjne | Średnia lub wysoka | Dają precyzyjną kontrolę, zwykle bez dużego obciążenia, lecz błąd może wyłączyć stronę. |
| Dobre nawyki administratora | Niska | Wysoka wartość ochronna bez wpływu na szybkość działania witryny. |
Jeżeli hosting oferuje WAF, czyli zaporę aplikacyjną, rozważ jego włączenie. Taka warstwa może filtrować część podejrzanych żądań, zanim dotrą do WordPressa. Nie zastępuje jednak aktualizacji ani kontroli kont.
Jak zarządzać wtyczkami i motywami?
Każda wtyczka i motyw zwiększają powierzchnię ataku. Instaluj rozszerzenia tylko z zaufanych źródeł, sprawdzaj historię aktualizacji i usuń elementy nieużywane. Samo wyłączenie starej wtyczki nie zawsze wystarcza, ponieważ jej pliki nadal pozostają na serwerze.
Wtyczka bezpieczeństwa może pomóc w skanowaniu plików, monitorowaniu logowań, ograniczeniu prób logowania i obsłudze 2FA. Nie jest jednak magiczną tarczą. Takie narzędzie również może zawierać lukę, obciążać serwer albo kolidować z formularzami i płatnościami. Zwykle lepiej wybrać jedno główne rozwiązanie niż instalować kilka dużych „kombajnów”.
Wordfence, Sucuri czy Cloudflare mogą pełnić różne funkcje, ale wybór narzędzia powinien zależeć od konfiguracji strony i hostingu. W przypadku Cloudflare część ochrony działa przed serwerem, między innymi przez WAF. Na zainfekowanej stronie sama instalacja wtyczki nie wystarczy. Najpierw trzeba ustalić źródło problemu, zmienić dane dostępowe i sprawdzić pliki oraz konta.
Co sprawdzać raz w miesiącu?
Stały przegląd pozwala wykryć problemy, zanim wpłyną na działanie strony. Raz w miesiącu wykonaj następujące czynności:
- Sprawdź dostępność aktualizacji WordPressa, PHP, wtyczek i motywów.
- Zweryfikuj, czy ostatnia kopia plików i bazy danych może zostać odtworzona.
- Przejrzyj konta użytkowników, role oraz ostatnie logowania.
- Sprawdź logi aktywności i komunikaty o zmianach w plikach.
- Usuń nieużywane wtyczki, motywy i niepotrzebne uprawnienia.
Warto też zabezpieczyć komputer administratora. Aktualny system, przeglądarka, menedżer haseł i program antywirusowy ograniczają ryzyko przejęcia sesji lub danych logowania. Do połączeń z serwerem używaj SFTP zamiast zwykłego FTP, a haseł nie zapisuj w niezabezpieczonych klientach.
Największą poprawę zwykle przynoszą regularne aktualizacje, działający backup, silna kontrola dostępu i ograniczona liczba dodatków. Dopiero na tych podstawach warto budować ochronę za pomocą reguł serwerowych, WAF-u czy dodatkowego monitoringu.
