Aby zabezpieczyć stronę WordPress, w pierwszej kolejności wyeliminuj najczęstsze przyczyny włamań — słabe hasło, login „admin” i przestarzałe wtyczki — oraz zadbaj o kopię zapasową na wypadek, gdyby atak mimo wszystko się powiódł. Zdecydowana większość ataków to zautomatyzowane skrypty, które masowo odpytują formularz logowania i szukają znanych luk w starych wersjach oprogramowania — poniższe kroki zatrzymują niemal wszystkie takie próby.
Zacznij od konta administratora:
1. Przejdź do Użytkownicy → Profil, w sekcji „Zarządzanie kontem” kliknij Ustaw nowe hasło i zapisz wygenerowane, losowe hasło w menedżerze haseł (nie skracaj go ani nie upraszczaj).
2. Jeśli Twój login to „admin”, przejdź do Użytkownicy → Dodaj nowego użytkownika, utwórz konto z unikalną nazwą i rolą Administrator, zaloguj się na nie, a stare konto usuń, przypisując jego wpisy nowemu użytkownikowi.
3. W profilu wpisz w polu Pseudonim nazwę inną niż login i wybierz ją z listy „Wyświetlaj publicznie jako” — dzięki temu login nie będzie widoczny przy wpisach ani w archiwach autora.
Ogranicz próby logowania
WordPress domyślnie pozwala zgadywać hasło w nieskończoność. Zablokuj to darmową wtyczką:
1. Przejdź do Wtyczki → Dodaj nową wtyczkę i wyszukaj Limit Login Attempts Reloaded.
2. Kliknij Zainstaluj, a po chwili Włącz.
3. W ustawieniach wtyczki ustaw np. 3 dozwolone próby i blokadę na 20 minut, a przy kolejnych nieudanych seriach — na kilka godzin.
Jeśli chcesz pójść o krok dalej, doinstaluj wtyczkę Two-Factor i włącz logowanie dwuskładnikowe w swoim profilu — nawet przechwycone hasło nie wystarczy wtedy do zalogowania.
Aktualizuj i rób kopie zapasowe
Nieaktualna wtyczka to najczęstsza furtka do włamania, a kopia zapasowa to Twoja polisa na wypadek, gdyby mimo wszystko coś poszło nie tak.
1. Wejdź w Kokpit → Aktualizacje i zainstaluj wszystkie dostępne aktualizacje WordPressa, wtyczek i motywów.
2. Na liście Wtyczki kliknij „Włącz automatyczne aktualizacje” przynajmniej przy wtyczkach związanych z bezpieczeństwem i tych rzadko rozwijanych.
3. Usuń wtyczki i motywy, których nie używasz — wyłączona wtyczka nadal może zawierać lukę.
4. Zainstaluj wtyczkę UpdraftPlus, ustaw w niej harmonogram (np. codzienna kopia bazy danych, cotygodniowa kopia plików) i wskaż zdalny magazyn, np. Google Drive lub Dropbox — kopia trzymana wyłącznie na tym samym serwerze przepada razem ze stroną.
5. Raz na jakiś czas sprawdź, czy kopię faktycznie da się przywrócić; kopia, której nikt nigdy nie testował, bywa bezwartościowa.
Wyłącz edycję plików i włącz SSL
Domyślnie każdy, kto zaloguje się jako administrator, może edytować pliki PHP motywu i wtyczek prosto z panelu — dla włamywacza to gotowy sposób na wstrzyknięcie złośliwego kodu. Wyłącz tę funkcję stałą DISALLOW_FILE_EDIT. Zanim jednak dotkniesz pliku, zrób kopię zapasową wp-config.php — literówka w tym pliku potrafi wyłączyć całą stronę.
1. Połącz się z serwerem przez FTP lub menedżer plików w panelu hostingu.
2. Otwórz plik wp-config.php w katalogu głównym WordPressa.
3. Znajdź linię z komunikatem „To wszystko, przestań edytować!” (w instalacji angielskiej: „That’s all, stop editing!”) i tuż nad nią dodaj:
define( 'DISALLOW_FILE_EDIT', true );
Po zapisaniu pliku edytory plików motywów i wtyczek znikną z menu panelu, a próba wejścia pod ich adres zakończy się komunikatem o braku uprawnień.
Na koniec certyfikat SSL. Szyfruje on połączenie między przeglądarką a Twoją stroną — bez niego hasła i dane z formularzy wędrują przez sieć otwartym tekstem, a przeglądarki oznaczają witrynę jako „niezabezpieczoną”.
1. W panelu hostingu włącz darmowy certyfikat Let’s Encrypt — oferuje go dziś praktycznie każdy polski hosting, zwykle jednym kliknięciem.
2. W Ustawienia → Ogólne zmień „Adres WordPressa (URL)” oraz „Adres witryny (URL)” z „http://” na „https://” i zapisz zmiany (nastąpi wylogowanie — to normalne).
3. Jeśli po przejściu na HTTPS przy adresie nie widać kłódki, zainstaluj wtyczkę Really Simple Security, która przekieruje cały ruch na HTTPS i poprawi tzw. mieszane treści, np. obrazki wczytywane po starym adresie.
Cały zestaw zajmie Ci mniej niż godzinę, a zamyka drogi ataku odpowiadające za zdecydowaną większość włamań na strony oparte na WordPressie. Ustaw sobie w kalendarzu comiesięczny przegląd: aktualizacje, dziennik blokad we wtyczce limitującej logowania oraz kontrola, czy kopie zapasowe rzeczywiście się tworzą.