Jak zabezpieczyć stronę WordPress - lista kontrolna bezpieczeństwa
Jak zabezpieczyć stronę WordPress? Najważniejsze są cztery rzeczy: regularne aktualizacje wtyczek, motywu i systemu, silne hasła z weryfikacją dwuetapową, codzienna kopia zapasowa przechowywana poza serwerem oraz usunięcie wszystkiego, czego strona nie używa. Te kroki zamykają drogę większości automatycznych ataków. Wtyczka bezpieczeństwa, zapora i ustawienia serwera to kolejna warstwa, która ma sens dopiero wtedy, gdy podstawy są zrobione.
Poniżej znajdziesz listę kontrolną z priorytetami, wyjaśnienie, skąd biorą się włamania, i ustawienia, które warto sprawdzić na każdej stronie firmowej.
Skąd biorą się włamania na strony WordPress
Sam WordPress jest dobrze zabezpieczony. Według raportu Patchstack za 2025 rok w jego rdzeniu znaleziono tylko kilka luk, wszystkie o niskim znaczeniu. Problemem są dodatki: 91% z 11 334 nowych luk dotyczyło wtyczek, a 9% motywów. Prawie połowa luk nie miała poprawki w chwili, gdy zostały ujawnione, bo autorzy części wtyczek przestali je rozwijać.
Atakujący nie wybierają stron ręcznie. Boty skanują tysiące witryn w poszukiwaniu konkretnej wersji wtyczki, słabego hasła albo zapomnianej kopii pliku konfiguracyjnego. Dlatego mała strona firmowa jest tak samo narażona jak duży sklep. Po włamaniu strona zwykle rozsyła spam, przekierowuje na podejrzane strony albo dostaje setki ukrytych podstron, przez które Google oznacza ją jako niebezpieczną.
Lista kontrolna bezpieczeństwa WordPressa
| Priorytet | Co zrobić | Ile to zajmuje |
|---|---|---|
| Podstawa | Aktualizować WordPressa, wtyczki i motyw | kilka minut tygodniowo |
| Podstawa | Usunąć nieużywane wtyczki, motywy i konta | jednorazowo, potem raz na kwartał |
| Podstawa | Silne hasła i weryfikacja dwuetapowa dla administratorów | 30 minut |
| Podstawa | Automatyczna kopia zapasowa poza serwerem | godzina na konfigurację |
| Podstawa | Certyfikat SSL i aktualna wersja PHP | zwykle kilka kliknięć w panelu hostingu |
| Warto | Ograniczenie prób logowania i wyłączenie XML-RPC | 15 minut |
| Warto | Wtyczka bezpieczeństwa lub zapora (WAF) | godzina |
| Warto | Blokada edycji plików z panelu | 5 minut |
| Warto | Monitoring dostępności i raport bezpieczeństwa w Search Console | 15 minut |
| Sklepy i strony z kontami | Przegląd ról użytkowników, logi aktywności, osobne konto techniczne dla wykonawcy | godzina |
Aktualizacje i porządek we wtyczkach
To najważniejszy punkt całej listy. Każda wtyczka to kod napisany przez kogoś innego, który ma dostęp do całej strony. Im mniej wtyczek, tym mniej miejsc, w których może pojawić się luka. Dezaktywowana wtyczka nadal leży na serwerze, więc jeśli jej nie używasz, usuń ją.
Przy wyborze wtyczek sprawdź w katalogu WordPressa datę ostatniej aktualizacji i liczbę aktywnych instalacji. Wtyczka bez aktualizacji od roku to ryzyko. Nigdy nie instaluj płatnych wtyczek ani motywów z nieoficjalnych źródeł, tzw. wersji „nulled”. Bardzo często zawierają ukryty kod, który otwiera stronę dla atakującego.
Jak robić aktualizacje bez psucia strony, opisujemy w poradniku aktualizacja WordPressa krok po kroku.
Konta użytkowników i hasła
- Nie używaj loginu „admin”. Boty próbują go jako pierwszego.
- Każdy, kto loguje się do panelu, ma mieć osobne konto, nigdy wspólne.
- Nadawaj najniższe potrzebne uprawnienia. Osoba, która dodaje wpisy, potrzebuje roli Autor lub Redaktor, a nie Administrator.
- Włącz weryfikację dwuetapową (2FA) dla kont administratorów, np. wtyczką Two Factor albo modułem we wtyczce bezpieczeństwa.
- Po zakończeniu współpracy z agencją, freelancerem czy pracownikiem usuń jego konto. Przy przeglądach stron regularnie znajdujemy aktywne konta administratorów osób, które od lat nie pracują przy stronie.
Logowanie do panelu
Strona logowania WordPressa jest pod tym samym adresem na każdej stronie, więc boty próbują tam tysięcy haseł. Ogranicz liczbę nieudanych prób logowania, np. wtyczką Limit Login Attempts Reloaded albo w ustawieniach wtyczki bezpieczeństwa. Jeśli nie korzystasz z aplikacji mobilnej WordPress ani zewnętrznych narzędzi do publikacji, wyłącz XML-RPC, czyli stary interfejs, który boty wykorzystują do zgadywania haseł.
Zmiana adresu strony logowania utrudnia życie prostym botom, ale nie zastąpi silnego hasła i 2FA. Traktuj ją jako dodatek.
Hosting, SSL i wersja PHP
Dobry hosting izoluje strony od siebie, ma aktualne oprogramowanie serwera i robi własne kopie zapasowe. Na tanim współdzielonym serwerze włamanie na sąsiednią stronę może dotknąć także Twojej. Na co patrzeć przy wyborze, opisujemy w poradniku jak wybrać dobry hosting.
Certyfikat SSL szyfruje połączenie, w tym hasła i dane z formularzy. Większość firm hostingowych daje go bezpłatnie. Wersja PHP powinna być wciąż wspierana przez twórców tego języka, bo stare wersje nie dostają poprawek bezpieczeństwa. Jak ją zmienić, wyjaśniamy w tekście jak zaktualizować PHP w WordPressie.
Kopie zapasowe
Kopia zapasowa nie chroni przed włamaniem, ale decyduje o tym, czy po nim odzyskasz stronę w godzinę, czy w tydzień. Ustaw automatyczną kopię plików i bazy danych, codzienną dla sklepu i co najmniej cotygodniową dla strony firmowej. Przechowuj ją poza serwerem, np. w chmurze, bo atakujący lub awaria serwera mogą usunąć kopie leżące obok strony. Raz na kwartał sprawdź, czy kopię da się przywrócić. Szczegóły opisujemy w poradniku o kopii zapasowej WordPressa.
Wtyczka bezpieczeństwa i zapora
Wtyczki takie jak Wordfence czy Solid Security łączą kilka funkcji: zaporę aplikacji (WAF), skanowanie plików, ograniczenie logowania i powiadomienia. Alternatywą lub uzupełnieniem jest zapora przed serwerem, np. Cloudflare, która odcina część ruchu, zanim dotrze do strony.
Warto znać ograniczenia. W testach Patchstack przeprowadzonych w 2025 roku typowe zabezpieczenia firm hostingowych zatrzymały tylko 26% prób wykorzystania luk, a w przypadku ataków skierowanych specjalnie na WordPressa 12%. Zapora pomaga, ale nie zastąpi aktualizacji. Jedna dobrze skonfigurowana wtyczka bezpieczeństwa wystarczy. Kilka naraz spowalnia stronę i potrafi się wzajemnie blokować.
Ustawienia plików i konfiguracji
Dwie zmiany w pliku wp-config.php, które warto wprowadzić na każdej stronie. Pierwsza wyłącza edytor plików motywów i wtyczek w panelu. Jeśli ktoś przejmie konto administratora, nie wklei złośliwego kodu jednym kliknięciem:
define( 'DISALLOW_FILE_EDIT', true );Druga to unikalne klucze bezpieczeństwa (sekcja AUTH_KEY, SECURE_AUTH_KEY i kolejne). Jeśli strona była instalowana dawno albo podejrzewasz włamanie, wygeneruj nowe klucze w oficjalnym generatorze WordPressa i podmień je. Wszyscy użytkownicy zostaną wylogowani.
Uprawnienia plików na serwerze powinny wynosić zwykle 644 dla plików i 755 dla katalogów, a dla wp-config.php mniej, np. 440 lub 400. Zbyt szerokie uprawnienia, np. 777, pozwalają zmieniać pliki procesom, które nie powinny mieć do nich dostępu. Usuń też z serwera stare kopie strony i pliki typu backup.zip czy wp-config.php.bak, bo boty szukają ich specjalnie.
Monitoring - jak zauważyć problem na czas
- Monitoring dostępności, np. UptimeRobot, powiadomi Cię, gdy strona przestanie odpowiadać.
- W Google Search Console sprawdzaj raport „Problemy dotyczące bezpieczeństwa”. Google informuje tam o wykrytym złośliwym oprogramowaniu i spamie.
- Raport Strony w Search Console pokaże nagły przyrost zaindeksowanych adresów, których nie tworzyłeś. To częsty objaw włamania ze spamem.
- Wtyczka bezpieczeństwa może wysyłać maila po każdej zmianie plików lub logowaniu administratora.
Jeśli zauważysz takie objawy, postępuj według poradnika włamanie na stronę WordPress - co zrobić krok po kroku.
Jak zabezpieczyć stronę WordPress - najczęstsze pytania
Czy WordPress jest bezpieczny?
Rdzeń WordPressa jest bezpieczny i szybko poprawiany. Ryzyko tworzą przede wszystkim nieaktualne lub porzucone wtyczki i motywy, słabe hasła oraz brak kopii zapasowej.
Czy wystarczy zainstalować wtyczkę bezpieczeństwa?
Nie. Wtyczka nie naprawi luki w nieaktualnej wtyczce ani nie zastąpi kopii zapasowej. Najpierw aktualizacje, hasła i kopie, potem wtyczka jako dodatkowa warstwa.
Jak sprawdzić, czy moja strona WordPress jest bezpieczna?
Zacznij od panelu: liczba czekających aktualizacji, lista użytkowników z rolą Administrator, nieużywane wtyczki. Potem raport „Problemy dotyczące bezpieczeństwa” w Search Console i skan wtyczką bezpieczeństwa. Pełny przegląd obejmuje też ustawienia serwera i kopie zapasowe.
Ile kosztuje zabezpieczenie strony WordPress?
Podstawowe kroki z tej listy możesz wykonać sam, bez kosztów. Regularne aktualizacje, kopie i monitoring wchodzą zwykle w abonament obsługi strony. Naprawa strony po włamaniu kosztuje zwykle wielokrotnie więcej niż roczna profilaktyka.
Czy mała firma musi się martwić o bezpieczeństwo strony?
Tak, bo ataki są zautomatyzowane i nie wybierają ofiar według wielkości firmy. Strona, która rozsyła spam albo jest oznaczona przez Google jako niebezpieczna, traci Klientów niezależnie od tego, czy należy do sklepu, czy do gabinetu.
Przeglądy bezpieczeństwa, aktualizacje i kopie zapasowe prowadzimy w ramach obsługi stron internetowych. Jeśli strona już padła ofiarą włamania, pomożemy w ramach naprawy i przebudowy stron internetowych.
Skontaktuj się z nami
Sprawdzimy, czy Twoja strona WordPress jest dobrze zabezpieczona
Prześlij adres strony. Sprawdzimy wersje wtyczek pod kątem znanych luk, konta użytkowników, kopie zapasowe i ustawienia logowania, a potem wskażemy, co poprawić najpierw.
Tel: 603 338 970
E-mail: kontakt@emm8.pl
Dlaczego warto zacząć z EMM8
- Łączymy pozycjonowanie, widoczność w AI i reklamę w jedną strategię, dzięki czemu cały budżet pracuje na ten sam cel: nowych Klientów.
- Od 2012 roku pomagamy firmom z różnych branż rosnąć w internecie, więc nie uczymy się na Państwa budżecie.
- Projekt prowadzi jedna osoba, która zna Państwa firmę, wyniki i cele, bez przekazywania sprawy między działami.
Zapytanie ofertowe
Wystarczy kilka zdań o firmie i potrzebach. Szczegóły doprecyzujemy na dalszym etapie.
