Jak zabezpieczyć stronę WordPress – 10 kroków, które wdrażam u każdego klienta
Od 2012 roku zajmuję się bezpieczeństwem stron na WordPressie i większość włamań, które sprzątałem, miała banalną przyczynę. Nie potrzebujesz zespołu specjalistów, żeby zamknąć najczęstsze drogi ataku – potrzebujesz konsekwencji. Oto 10 kroków, od których zaczynam pracę z każdą stroną.
Podstawy, bez których nic nie zadziała
- 1. Aktualizacje – rdzeń, wtyczki, motywy i PHP. Znane luki w nieaktualnych wtyczkach to przyczyna większości włamań.
- 2. Usunięcie zbędnych dodatków – nieużywane wtyczki i motywy kasuję całkowicie. Wyłączona wtyczka nadal leży na serwerze.
- 3. Silne hasła i 2FA – dla każdego konta administratora logowanie dwuskładnikowe. To najtańsza ochrona przed przejęciem konta.
- 4. Kopie zapasowe poza serwerem – automatyczne, z kilkoma wersjami wstecz i przetestowanym odtwarzaniem.
Utwardzenie instalacji
- 5. Ograniczenie prób logowania – blokada IP po kilku nieudanych próbach odcina ataki brute-force.
- 6. Zasada minimalnych uprawnień – redaktor nie potrzebuje roli administratora, a dawny podwykonawca nie powinien mieć aktywnego konta.
- 7. Wyłączenie edycji plików z kokpitu –
DISALLOW_FILE_EDITw wp-config.php sprawia, że przejęte konto nie pozwala od razu wstrzyknąć kodu. - 8. Reguły w .htaccess – blokada PHP w katalogu uploads, ochrona wp-config.php, wyłączenie listowania katalogów. Szczegóły opisałem w osobnym wpisie.
Bezpieczeństwo to nie jednorazowa usługa, tylko proces. Strona zabezpieczona rok temu i od tamtej pory nieruszana znów jest łatwym celem.
Warstwa ochrony i nadzoru
- 9. Firewall aplikacyjny (WAF) – na poziomie serwera, usługi typu CDN lub wtyczki. Filtruje złośliwe żądania, zanim trafią do WordPressa.
- 10. Monitoring – dostępności strony, zmian w plikach i ważności certyfikatu SSL. O problemie dowiadujesz się ode mnie, a nie od klienta.
Hosting też ma znaczenie
Na tanim hostingu współdzielonym jedna zainfekowana strona sąsiada może być problemem dla wszystkich na koncie. Izolacja kont, aktualne PHP, automatyczne kopie i wsparcie, które reaguje w godzinach, a nie w dniach – to cechy, na które warto zwrócić uwagę bardziej niż na cenę.
Jeżeli nie wiesz, w jakim stanie jest Twoja strona, zacznij od przeglądu: wersje oprogramowania, lista wtyczek, konta użytkowników, kopie zapasowe. Już taki przegląd zwykle pokazuje, co trzeba poprawić w pierwszej kolejności.
Najczęstsze pytania
Od czego zacząć zabezpieczanie WordPressa?
Od trzech rzeczy: aktualizacji (rdzeń, wtyczki, motyw i PHP), silnych haseł z logowaniem dwuskładnikowym (2FA) oraz kopii zapasowej przechowywanej poza serwerem. To one zamykają większość popularnych dróg ataku.
Czy darmowy WordPress jest bezpieczny?
Sam rdzeń WordPressa jest dobrze utrzymywany i bezpieczny. Problemy prawie zawsze wynikają z nieaktualnych wtyczek, słabych haseł i słabego hostingu – bezpieczeństwo to kwestia regularnej opieki, a nie ceny systemu.
Jak często robić kopię zapasową strony?
Sklep i aktywny blog – najlepiej codziennie, mniejsze strony – przynajmniej raz w tygodniu, a zawsze przed aktualizacją. Kopia powinna być przechowywana poza serwerem i co jakiś czas testowana, czy da się z niej odtworzyć stronę.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
