Jak zabezpieczyć WordPressa, kompletny poradnik bezpieczeństwa krok po kroku
W skrócie: bezpieczeństwo WordPressa w 90% sprowadza się do kilku nawyków: aktualizuj wszystko, używaj mocnych haseł z 2FA, ograniczaj liczbę wtyczek do zaufanych, rób kopie zapasowe i monitoruj stronę. Większość włamań wykorzystuje znane luki i słabe hasła, a nie genialnych hakerów.
WordPress napędza większość stron w internecie i właśnie dlatego jest masowo skanowany przez boty w poszukiwaniu słabych punktów. To nie powód do paniki: sam WordPress jest bezpieczny i szybko łatany, a zdecydowana większość udanych ataków korzysta z rzeczy, które właściciel mógł łatwo zamknąć. Poniżej kompletny, uporządkowany poradnik.
1. Aktualizuj rdzeń, wtyczki i motywy
To najważniejszy pojedynczy nawyk. Większość udanych ataków wykorzystuje luki, które były już załatane, tylko właściciel nie zainstalował aktualizacji. Rób to regularnie i z asekuracją, żeby nic nie zepsuć, o czym piszemy w jak aktualizować stronę bez psucia. Pamiętaj, że część zagrożeń bywa po stronie serwera, jak krytyczna luka w PHP, której aktualizacja wtyczek nie zamknie.
2. Mocne hasła i dwuskładnikowe logowanie (2FA)
Konto administratora to klucz do całej strony. Używaj długich, unikalnych haseł (pomaga menedżer haseł) i włącz dwuskładnikowe logowanie. Unikaj loginu „admin" i ogranicz liczbę nieudanych prób logowania, żeby utrudnić ataki brute force.
3. Ogranicz liczbę wtyczek i wybieraj zaufane
Każda wtyczka to kod, który może mieć lukę. Im mniej dodatków, tym mniejsza powierzchnia ataku. Instaluj tylko to, czego realnie potrzebujesz, z oficjalnego katalogu lub od sprawdzonych producentów, i usuwaj (nie tylko dezaktywuj) to, czego nie używasz. Uważaj na porzucone wtyczki usunięte z katalogu oraz na falę ataków na wtyczki WordPressa.
4. Nigdy nie instaluj pirackich („nulled") dodatków
Darmowa wersja płatnej wtyczki czy motywu z niepewnego źródła to klasyczna pułapka, bardzo często z ukrytym złośliwym kodem. Oszczędność kilkuset złotych potrafi kosztować całą stronę. Rozwijamy to w pirackie wtyczki, ukryty koszt.
5. Kopie zapasowe gotowe do przywrócenia
Nawet najlepiej zabezpieczona strona potrzebuje planu B. Rób regularne kopie zapasowe, najlepiej w modelu 3-2-1, i raz na jakiś czas sprawdź, czy da się z nich odtworzyć stronę. Kopia, której nie przetestowałeś, to tylko założenie.
6. HTTPS i nagłówki bezpieczeństwa
Cały WordPress powinien działać po HTTPS z ważnym certyfikatem SSL. Dodatkową warstwę dają nagłówki bezpieczeństwa (HSTS, CSP), które utrudniają część ataków w przeglądarce.
7. Ogranicz punkty wejścia
Zamknij to, czego nie używasz. Dobrym przykładem jest XML-RPC w WordPressie, często wykorzystywany do ataków. Pilnuj też katalogu uploadów, w którym nie powinien lądować kod wykonywalny, bo tędy wchodzą webshelle.
8. Monitoring i szybka reakcja
Im wcześniej wykryjesz problem, tym mniejsze straty. Ustaw monitoring strony, który wyłapie niedostępność, nietypowe zmiany i ostrzeżenia. A jeśli mimo wszystko dojdzie do infekcji, działaj według poradnika usuwania infekcji.
Najkrótsza checklista
Jeśli masz zrobić tylko kilka rzeczy, zacznij od tych: włącz automatyczne aktualizacje wtyczek, ustaw mocne hasło z 2FA, usuń nieużywane i pirackie wtyczki, włącz codzienną kopię zapasową i monitoring. To już zamyka większość realnych dróg ataku.
Nie chcesz pilnować tego sam?
Bezpieczeństwo WordPressa to nie jednorazowa akcja, tylko ciągłość: aktualizacje, kopie, monitoring i szybka reakcja. Dokładnie na tym polega opieka nad stroną. Jeśli chcesz mieć spokój i stronę, która jest na bieżąco zabezpieczona, napisz do nas. Zobacz też, na czym polega nasza opieka.