Bezpieczeństwo WordPress — kopie zapasowe, aktualizacje i checklista

Bezpieczeństwo WordPress opiera się na kilku prostych nawykach: regularnych aktualizacjach rdzenia, wtyczek i motywu, automatycznych kopiach zapasowych przechowywanych poza serwerem, silnych hasłach z logowaniem dwuetapowym, ograniczeniu liczby wtyczek i dobrym hostingu. Najczęściej problemem nie jest sam WordPress, tylko nieaktualne wtyczki, porzucone motywy i słabe hasła. Większość tych ryzyk możesz ograniczyć bez wiedzy programistycznej.

W tym poradniku znajdziesz konkretne zasady dla każdego z tych obszarów, instrukcję na wypadek włamania i checklistę, którą możesz przechodzić co miesiąc.

Dlaczego strony na WordPressie są celem ataków

WordPress jest jednym z najpopularniejszych systemów do tworzenia stron na świecie. Ta popularność ma też drugą stronę: opłaca się pisać automatyczne skrypty, które przeszukują internet w poszukiwaniu stron z konkretną, podatną na atak wersją wtyczki lub słabym hasłem administratora.

To ważne, bo wielu właścicieli małych firm myśli: „moja strona jest za mała, nikt się nią nie zainteresuje”. Ataki rzadko są wymierzone w konkretną firmę. Boty sprawdzają tysiące adresów i wykorzystują każdą stronę, w której znajdą lukę.

Skutki bywają poważne:

• strona przekierowuje odwiedzających na podejrzane serwisy lub wyświetla spam,
• przeglądarki i wyszukiwarka pokazują ostrzeżenie o niebezpiecznej witrynie,
• serwer rozsyła spam, a domena trafia na czarne listy, przez co Twoje maile lądują w spamie u klientów,
• wyciekają dane z formularzy lub zamówień, co może oznaczać obowiązki wynikające z RODO,
• sklep przestaje sprzedawać, a przywrócenie strony zajmuje czas i kosztuje.

Kopie zapasowe — fundament bezpieczeństwa WordPress

Kopia zapasowa nie chroni przed włamaniem, ale sprawia, że włamanie, awaria serwera czy nieudana aktualizacja nie kończą się katastrofą. Dobra kopia obejmuje dwa elementy: pliki strony (motyw, wtyczki, przesłane zdjęcia) oraz bazę danych (treści, ustawienia, zamówienia, użytkownicy).

Sprawdzoną zasadą jest reguła 3-2-1: trzy kopie danych, na dwóch różnych nośnikach lub w dwóch miejscach, z czego jedna poza serwerem, na którym działa strona. Kopia trzymana wyłącznie na tym samym hostingu może zniknąć razem z nim.

Najczęściej pomijany krok to test przywracania. Kopia, której nigdy nie próbowano odtworzyć, daje fałszywe poczucie bezpieczeństwa. Co kilka miesięcy przywróć kopię na kopii roboczej strony i sprawdź, czy wszystko działa.

Aktualizacje bez stresu

Aktualizacje rdzenia WordPress, wtyczek i motywów często zawierają poprawki bezpieczeństwa. Odkładanie ich „na później” to jeden z najczęstszych powodów włamań. Jednocześnie nieprzemyślana aktualizacja potrafi rozłożyć stronę, dlatego warto mieć prosty proces:

1. Zrób kopię zapasową przed każdą większą aktualizacją.
2. Przetestuj na kopii roboczej (stagingu), jeśli Twój hosting ją oferuje — zwłaszcza w przypadku sklepu i dużych wtyczek.
3. Aktualizuj regularnie, a nie raz na pół roku. Kilka drobnych aktualizacji co tydzień lub dwa jest bezpieczniejsze niż kilkanaście naraz.
4. Sprawdź stronę po aktualizacji: formularz kontaktowy, koszyk, płatności, wersję mobilną.
5. Pamiętaj o PHP. Wersja języka PHP na serwerze też się starzeje. Nieaktualne wersje przestają otrzymywać poprawki bezpieczeństwa, a nowsze zwykle działają szybciej.

Drobne aktualizacje bezpieczeństwa rdzenia WordPress mogą instalować się automatycznie. Przy wtyczkach automatyczne aktualizacje warto włączać rozważnie — tam, gdzie wtyczka jest prosta, a jej awaria nie zatrzyma sprzedaży.

Logowanie i konta użytkowników

Panel administracyjny to brama do całej strony. Zadbaj o to, żeby nie dało się jej otworzyć zgadywaniem.

• Silne, unikalne hasła dla każdego konta, przechowywane w menedżerze haseł. To samo hasło do skrzynki pocztowej i do panelu strony to zaproszenie dla włamywacza.
• Logowanie dwuetapowe (2FA) dla wszystkich kont z uprawnieniami administratora i redaktora. Nawet jeśli hasło wycieknie, sam login nie wystarczy.
• Ograniczenie prób logowania — blokada adresu po kilku nieudanych próbach utrudnia automatyczne zgadywanie haseł.
• Brak konta o nazwie „admin” i innych oczywistych loginów.
• Zasada najmniejszych uprawnień. Osoba, która dodaje wpisy na blog, nie potrzebuje roli administratora. Wystarczy rola autora lub redaktora.
• Porządek w kontach. Usuwaj konta byłych pracowników, freelancerów i agencji, z którymi zakończyłeś współpracę. Raz na kwartał przejrzyj listę użytkowników.

Wtyczki i motywy — mniej znaczy bezpieczniej

Każda wtyczka to dodatkowy kod, który może mieć lukę. Nie chodzi o to, żeby nie używać wtyczek, tylko żeby używać ich świadomie.

• Instaluj wtyczki tylko z oficjalnego katalogu WordPress.org albo od sprawdzonych producentów.
• Nigdy nie używaj tzw. pirackich wersji płatnych wtyczek i motywów. Bardzo często zawierają złośliwy kod dodany przez osobę, która je udostępnia.
• Sprawdzaj, kiedy wtyczka była ostatnio aktualizowana. Wtyczka porzucona przez autora to ryzyko na przyszłość.
• Usuwaj nieużywane wtyczki i motywy, a nie tylko je dezaktywuj. Wyłączony kod nadal leży na serwerze.
• Zamiast pięciu wtyczek do drobnych funkcji rozważ jedną sprawdzoną lub prosty kod dopisany przez programistę.

Mniej wtyczek to także szybsza strona, co ma znaczenie dla klientów i dla Google. Więcej na ten temat w artykule o szybkości strony i Core Web Vitals.

Hosting i serwer

Nawet najlepiej skonfigurowany WordPress nie obroni się na słabym serwerze. Wybierając hosting, sprawdź, czy zapewnia:

• certyfikat SSL i pełne działanie strony przez HTTPS,
• możliwość wyboru aktualnej wersji PHP,
• automatyczne kopie zapasowe po stronie serwera (jako dodatek do Twoich własnych, nie zamiast nich),
• zaporę aplikacyjną (WAF) i skanowanie plików w poszukiwaniu złośliwego kodu,
• izolację kont, żeby problem na jednej stronie nie przenosił się na inne,
• wsparcie techniczne, które odpowiada w rozsądnym czasie.

Jak wybrać hosting i domenę dla firmy, opisujemy w osobnym poradniku o domenie i hostingu.

Ustawienia, które warto zmienić

Kilka zmian w konfiguracji dodatkowo utrudnia życie atakującym. Jeśli nie czujesz się pewnie w edycji plików, zleć je osobie technicznej.

• Wyłącz edytor plików w panelu — dopisanie stałej DISALLOW_FILE_EDIT w pliku wp-config.php sprawia, że nawet po przejęciu konta nie da się edytować kodu motywu i wtyczek z poziomu kokpitu.
• Wyłącz XML-RPC, jeśli z niego nie korzystasz (np. nie publikujesz przez zewnętrzne aplikacje). To częsty cel automatycznych prób logowania.
• Ustaw właściwe uprawnienia plików i wyłącz listowanie katalogów na serwerze.
• Wyłącz tryb debugowania na stronie produkcyjnej, żeby komunikaty o błędach nie zdradzały szczegółów konfiguracji.
• Włącz monitoring dostępności, który powiadomi Cię, gdy strona przestanie działać.

Jeśli zastanawiasz się, czy WordPress w ogóle jest dla Ciebie odpowiedni, porównanie z innymi rozwiązaniami znajdziesz w tekście WordPress czy strona pisana od zera.

Co zrobić, gdy strona została zhakowana

Jeśli zauważysz dziwne przekierowania, nowe konta administratorów, nieznane pliki albo ostrzeżenie w przeglądarce, działaj spokojnie i według kolejności:

1. Zmień hasła do panelu WordPress, hostingu, FTP i bazy danych. Włącz logowanie dwuetapowe.
2. Skontaktuj się z hostingiem — często pomoże zlokalizować problem i zabezpieczyć konto.
3. Przywróć czystą kopię zapasową sprzed infekcji, a następnie natychmiast zaktualizuj wszystkie elementy strony.
4. Znajdź przyczynę: podatną wtyczkę, słabe hasło, nieaktualny motyw. Bez tego atak może się powtórzyć.
5. Sprawdź Google Search Console — jeśli Google oznaczył stronę jako niebezpieczną, po oczyszczeniu poproś o ponowną weryfikację.
6. Oceń, czy wyciekły dane osobowe. Jeśli tak, mogą obowiązywać Cię terminy zgłoszenia naruszenia wynikające z RODO — warto skonsultować to z prawnikiem.

Checklista bezpieczeństwa WordPress

Wydrukuj lub zapisz tę listę i przechodź ją regularnie.

Co tydzień lub co dwa tygodnie:

• aktualizacja wtyczek, motywu i rdzenia (po wykonaniu kopii),
• sprawdzenie, czy kopie zapasowe wykonują się automatycznie,
• szybki test formularzy i koszyka po aktualizacjach.

Co miesiąc:

• przegląd i usunięcie nieużywanych wtyczek i motywów,
• sprawdzenie wersji PHP i certyfikatu SSL,
• przegląd powiadomień z Google Search Console i monitoringu.

Co kwartał:

• test przywrócenia kopii zapasowej,
• przegląd kont użytkowników i ich uprawnień,
• zmiana haseł do kont współdzielonych i sprawdzenie, czy 2FA działa u wszystkich administratorów.

Sklep na WooCommerce — o czym pamiętać dodatkowo

Sklep internetowy przetwarza dane klientów, adresy dostaw i informacje o zamówieniach, więc stawka jest wyższa niż przy stronie wizytówce. Do podstawowych zasad dodaj kilka kolejnych.

• Korzystaj z zewnętrznych bramek płatności. Gdy klient płaci na stronie operatora płatności, dane kart nie przechodzą przez Twój serwer, co znacząco ogranicza ryzyko.
• Częstsze kopie bazy danych. Przywrócenie kopii sprzed doby może oznaczać utratę zamówień z całego dnia. Ustal częstotliwość kopii adekwatną do liczby zamówień.
• Ostrożnie z aktualizacjami w szczycie sprzedaży. Duże aktualizacje WooCommerce i wtyczek płatności planuj na okres mniejszego ruchu i zawsze testuj na kopii roboczej.
• Kontrola kont klientów i zamówień. Zwracaj uwagę na nagłe fale rejestracji lub podejrzanych zamówień — mogą świadczyć o automatycznych atakach.
• Ograniczony dostęp dla integracji. Klucze API do systemów magazynowych, kurierskich czy księgowych nadawaj z minimalnymi uprawnieniami i usuwaj te, których już nie używasz.

Podsumowanie: bezpieczeństwo WordPress to regularność

Bezpieczeństwo WordPress nie wymaga drogich narzędzi, tylko konsekwencji: kopii zapasowych poza serwerem, regularnych aktualizacji, dobrych haseł z 2FA, rozsądnego podejścia do wtyczek i solidnego hostingu. Najwięcej kłopotów sprawiają strony, o które nikt nie dba przez miesiące.

Jeśli nie masz czasu pilnować tego samodzielnie, w OVERMEDIA oferujemy serwis IT i opiekę nad stronami od 90 zł/h lub w abonamencie miesięcznym — z kopiami zapasowymi, monitoringiem i audytem bezpieczeństwa. Jako oficjalny partner Hostinger utrzymujemy strony klientów na infrastrukturze tego dostawcy. Napisz do nas — bezpłatną wycenę przygotujemy zazwyczaj w ciągu 24 godzin.

Najczęściej zadawane pytania