Jak samemu sprawdzić, czy strona WordPress jest bezpieczna – kontrola w 15 minut
Właściciele firm często pytają mnie: „Skąd mam wiedzieć, czy moja strona jest bezpieczna?”. Pełny audyt to praca dla specjalisty, ale podstawową kontrolę zrobisz sam w 15 minut. Jeśli którykolwiek z poniższych punktów wypadnie źle – wiesz, od czego zacząć.
1. Narzędzie „Stan witryny” w kokpicie
WordPress ma wbudowaną diagnostykę: Narzędzia → Stan witryny. Zakładka „Stan” pokazuje krytyczne problemy i zalecenia – m.in. przestarzałą wersję PHP, nieaktywne wtyczki i motywy do usunięcia czy brak HTTPS. Zakładka „Informacje” podaje wersję PHP i bazy danych. Każdy czerwony lub pomarańczowy punkt traktuj jako zadanie do zrobienia.
2. Aktualizacje
Wejdź w Kokpit → Aktualizacje. Jeśli lista oczekujących aktualizacji jest długa, a część czeka od miesięcy – to najpoważniejszy sygnał ostrzegawczy. Większość udanych włamań wykorzystuje luki, które dawno zostały załatane.
3. Wtyczki: nieużywane i porzucone
- Usuń (a nie tylko wyłącz) wtyczki i motywy, których nie używasz.
- Przy każdej wtyczce sprawdź w katalogu WordPress.org datę ostatniej aktualizacji. Brak aktualizacji od ponad roku to powód, by poszukać zamiennika.
- Wtyczki „premium” pobrane z nieoficjalnych źródeł (tzw. nulled) usuń natychmiast – bardzo często zawierają złośliwy kod.
4. Konta użytkowników
W Użytkownicy → Wszyscy użytkownicy odfiltruj rolę „Administrator”. Każde konto, którego nie rozpoznajesz, to alarm. Konta byłych pracowników i podwykonawców usuń albo obniż im uprawnienia. Upewnij się, że administratorzy mają włączone logowanie dwuskładnikowe.
5. Certyfikat SSL
Kłódka w pasku adresu to minimum. Dokładniej sprawdzisz certyfikat bezpłatnym testem SSL Labs (ssllabs.com/ssltest) – ocena A lub A+ oznacza poprawną konfigurację. Zwróć uwagę na datę ważności certyfikatu i na to, czy działa zarówno adres z www, jak i bez.
6. Nagłówki bezpieczeństwa
Wpisz adres strony na securityheaders.com. Serwis oceni nagłówki, które chronią odwiedzających przed m.in. osadzaniem strony w obcych ramkach czy wstrzykiwaniem skryptów. Ocena F nie oznacza włamania, ale pokazuje, że serwer nie korzysta z prostych zabezpieczeń – ich wdrożenie opisałem we wpisie o regułach .htaccess.
Strona może działać i wyglądać normalnie, a mimo to od tygodni wysyłać spam albo przekierowywać część odwiedzających. Dlatego sprawdza się ją od środka, a nie tylko „na oko”.
7. Co widzi Google
- W Google Search Console otwórz sekcję „Bezpieczeństwo i ręczne działania” i raport „Problemy z bezpieczeństwem”.
- Sprawdź stan strony w raporcie Google Bezpieczne przeglądanie (transparencyreport.google.com/safe-browsing/search).
- Wpisz w Google
site:twojadomena.pli przejrzyj wyniki. Podstrony z japońskimi znakami, reklamami leków czy kasyn, których nie tworzyłeś, to typowy ślad włamania (tzw. SEO spam).
8. Co zdradza Twoja strona
Sprawdź w przeglądarce kilka adresów (podmień domenę na swoją):
twojadomena.pl/wp-content/uploads/– jeśli widzisz listę plików, listowanie katalogów jest włączone,twojadomena.pl/readme.html– jeśli się otwiera, zdradza wersję WordPressa,twojadomena.pl/wp-json/wp/v2/users– jeśli widzisz loginy użytkowników, ułatwiasz atak na hasła,twojadomena.pl/xmlrpc.php– jeśli nie używasz aplikacji mobilnej ani Jetpacka, ten plik powinien być zablokowany.
9. Kopie zapasowe
Odpowiedz sobie na trzy pytania: kiedy powstała ostatnia kopia, gdzie jest przechowywana (czy poza serwerem strony?) i czy ktokolwiek kiedykolwiek ją odtworzył. Jeśli na któreś pytanie nie znasz odpowiedzi – to Twój priorytet. Szczegóły w poradniku o zasadzie 3-2-1.
10. Adres e-mail administratora
W Ustawienia → Ogólne sprawdź, czy adres e-mail administracji jest aktualny i czy ktoś go regularnie czyta. Na ten adres WordPress wysyła m.in. powiadomienia o błędach krytycznych i link do trybu odzyskiwania.
Dla zaawansowanych:
Jeśli masz dostęp do SSH, narzędzie WP-CLI pozwala porównać pliki z oficjalnymi sumami kontrolnymi (wp core verify-checksums), a skaner WPScan wskaże znane luki w zainstalowanych wtyczkach i motywach. Wolisz, żeby zrobił to ktoś inny? Możesz też zacząć od naszego testu bezpieczeństwa WordPress – 10 pytań i wynik od razu.
Najczęstsze pytania
Jak samemu sprawdzić, czy strona jest bezpieczna?
Zacznij od darmowych skanerów (np. Sucuri SiteCheck), sprawdź nagłówki na securityheaders.com i SSL na SSL Labs, a potem przejrzyj listę kont administratorów i zainstalowanych wtyczek. To da pierwszy obraz sytuacji.
Czy skaner online wykryje każdą infekcję?
Nie. Skanery zdalne widzą tylko to, co widać z zewnątrz. Część infekcji – ukryte konta czy złośliwy kod w bazie danych – wykryje dopiero przegląd plików i bazy od środka.
Co zrobić, jeśli test wykaże problem?
Nie kasuj niczego pochopnie. Zrób kopię obecnego stanu, a potem usuń infekcję i zamknij lukę – albo zgłoś się po pomoc, zanim zrobisz więcej szkody niż pożytku.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
