WordPress napędza ponad 40% wszystkich stron na świecie, co czyni go naturalnym celem numer jeden dla zautomatyzowanych botów i hakerów. Włamanie na Twoją witrynę rzadko jest celowym atakiem wymierzonym osobiście w Twoją firmę – najczęściej to masowe skanowanie sieci w poszukiwaniu najsłabszych ogniw. Skutki? Podmiana numerów kont, rozsyłanie spamu z Twojej domeny lub całkowita blokada strony przez Google.
Aby nie stać się łatwym celem, musisz zamknąć hakerom przysłowiowe drzwi przed nosem. Oto 5 technicznych fundamentów, które radykalnie podnoszą bezpieczeństwo Twojego WordPressa.
I. Pozbądź się domyślnego loginu i włącz 2FA
Zaskakująco wiele firm wciąż używa loginu admin, administrator lub nazwy swojej domeny. Dla bota próbującego włamać się na Twoją stronę to połowa sukcesu, bo musi odgadnąć już tylko hasło.
- Zmień login: Używaj unikalnych nazw użytkownika. Ważny szczegół: zadbaj o to, aby Twój tajny login do panelu różnił się od publicznego podpisu autora widocznego pod wpisami na blogu!
- Wymuś silne hasła: Hasło typu Firma2026! to stanowczo za mało. Używaj generatorów haseł składających się z kilkunastu losowych znaków.
- Dwuetapowa weryfikacja (2FA): To dziś absolutny standard w bankowości, który warto przenieść na swoją stronę. Logowanie wymaga podania kodu z aplikacji w telefonie (np. Google Authenticator). Nawet jeśli ktoś wykradnie Twoje hasło, nie zaloguje się do panelu bez Twojego smartfona.
II. Zablokuj ataki typu Brute Force (Limitowanie logowań)
Hakerzy nie wpisują haseł ręcznie. Używają skryptów, które potrafią testować tysiące kombinacji loginu i hasła w ciągu minuty (tzw. atak Brute Force). Jeśli Twój WordPress nie ma nałożonych limitów, w końcu ugnie się pod naporem, a przy okazji maksymalnie przeciąży Twój serwer, spowalniając stronę.
Rozwiązaniem jest wdrożenie mechanizmu, który automatycznie blokuje adres IP po 3 lub 5 nieudanych próbach logowania. Bot zostaje odcięty, a Twoja witryna może spokojnie oddychać.
III. Zmień domyślny adres logowania
Każdy, kto choć trochę zna się na WordPressie, wie, że panel administratora znajduje się zazwyczaj pod adresem twojafirma.pl/wp-admin. To tak, jakbyś powiesił na drzwiach sejfu wielką tabliczkę z napisem „Tutaj wpisz kod”. Zmiana tego adresu na niestandardowy (np. twojafirma.pl/moj-panel-dostepu) sprawia, że większość zautomatyzowanych ataków trafia w próżnię, bo boty po prostu nie potrafią znaleźć formularza logowania.
IV. Techniczna higiena: Aktualizacje i bezpieczny serwer
Najlepsze wtyczki zabezpieczające nie pomogą, jeśli fundamenty Twojej strony są dziurawe. Jak pisałem we wpisie Dlaczego stronę na WordPressie trzeba aktualizować?, przestarzałe motywy i wtyczki to najczęstsza przyczyna infekcji. Pamiętaj też o żelaznej zasadzie: jeśli jakiejś wtyczki nie używasz, nie wystarczy jej „wyłączyć” – usuń ją całkowicie z serwera, bo jej pliki wciąż mogą zawierać luki!
Równie ważny jest sam hosting. Dobry serwer (jak wspominany często przeze mnie hosting LH.pl) posiada systemy WAF (Web Application Firewall), które filtrują złośliwy ruch jeszcze zanim dotrze on do Twojej strony. Zapewnia również najnowsze wersje PHP oraz wymusza bezpieczne połączenie szyfrowane (Certyfikat SSL).
V. Prawa autorskie plików i ukrywanie wersji systemu
Domyślnie WordPress dodaje w kodzie strony informację o tym, z jakiej dokładnie wersji systemu korzystasz. Hakerzy uwielbiają te dane – widząc starą wersję, od razu wiedzą, jakich luk użyć do ataku. Profesjonalne zabezpieczenie witryny obejmuje ukrycie tych informacji w nagłówkach strony oraz twarde ustawienie uprawnień na serwerze (tzw. CHMOD) i zablokowanie edycji plików motywu bezpośrednio z poziomu kokpitu WordPressa (reguła DISALLOW_FILE_EDIT w pliku wp-config.php).
Instalacja darmowej wtyczki 'Security’ nie czyni strony kuloodporną. Prawdziwe bezpieczeństwo to wielowarstwowy proces: zaczyna się od porządnego hostingu, przechodzi przez twardą konfigurację plików systemowych, a kończy na regularnych aktualizacjach i codziennych kopiach zapasowych. Zabezpieczenie witryny to nie jest jednorazowe kliknięcie, to cyfrowa tarcza, którą trzeba stale utrzymać.
Wdrażanie tych wszystkich mechanizmów na własną rękę, bez odpowiedniej wiedzy technicznej, może skończyć się zablokowaniem samego siebie i utratą dostępu do panelu (tzw. lock-out).
Jeśli prowadzisz firmę i nie chcesz spędzać godzin na konfiguracji, zostaw to profesjonaliście. W ramach usługi Opieka nad stroną instaluję i konfiguruję zaawansowane systemy bezpieczeństwa (oparte m.in. na niezawodnej zaporze Wordfence), ukrywam wrażliwe dane, monitoruję stronę 24/7 i wykonuję regularne kopie zapasowe. Ty śpisz spokojnie, a ja trzymam hakerów na dystans.
