Bezpieczeństwo WordPress — Jak chronić stronę WordPress przed hakerami

Co 7 sekund hakerzy atakują jakąś stronę WordPress. W 2025 roku znaleziono ponad 11 000 nowych podatności w ekosystemie WP — a od ujawnienia luki do pierwszego ataku mija średnio tylko 5 godzin.

Dobra wiadomość: większość włamań można zapobiec prostymi krokami. Bez drogich systemów, bez specjalistycznej wiedzy z zakresu cyberbezpieczeństwa.

Dlaczego WordPress jest tak często atakowany

WordPress napędza dziś 43% wszystkich stron w internecie. Dla hakerów to idealne środowisko — jeden działający skrypt pozwala im atakować miliony witryn jednocześnie, bez ręcznej pracy.

Nie pomaga fakt, że ekosystem WordPress jest ogromny. Ponad 60 000 wtyczek, tysiące motywów, różne wersje PHP i rdzenia. W 2025 roku 91% wykrytych podatności dotyczyło wtyczek — nie samego WordPressa. Haker nie musi łamać banku. Wystarczy znaleźć zapomnianą wtyczkę do galerii sprzed 3 lat.

Mechanizm ataku wygląda zazwyczaj tak:

• bot skanuje tysiące stron w poszukiwaniu konkretnej wersji wtyczki,
• jeśli znajdzie podatną wersję — automatycznie ją wykorzystuje,
• właściciel strony często nie wie o włamaniu przez tygodnie.

To nie jest problem tylko dużych firm. Małe strony wizytówkowe są atakowane równie często — bo właśnie one zazwyczaj mają nieaktualne wtyczki i brak monitoringu. Dziennie hakerzy przejmują około 13 000 stron WordPress. Większość z tych włamań była do uniknięcia.

Aktualizacje — pierwsza linia obrony

Najczęstsza przyczyna włamań to nie brak drogich zabezpieczeń. To zapomniana aktualizacja wtyczki sprzed pół roku.

WordPress, wtyczki i motyw to trzy rzeczy, które musisz aktualizować regularnie. Każda aktualizacja łata znane luki bezpieczeństwa. Brak aktualizacji to otwarte drzwi — a boty skanują internet bez przerwy, szukając właśnie takich stron.

Dla wtyczek, którym ufasz — włącz auto-aktualizacje. W panelu WordPress wejdź w Wtyczki → przy każdej wtyczce znajdziesz opcję „Włącz automatyczne aktualizacje". To jedna minuta pracy, która eliminuje całą kategorię ryzyka.

Zrób też porządki. Nieaktywna wtyczka, której nie używasz od roku, nadal może zawierać podatność. Zasada jest prosta:

• używasz → trzymaj i aktualizuj,
• nie używasz → usuń całkowicie (dezaktywacja nie wystarczy).

To samo dotyczy motywów. Jeśli masz zainstalowane 4 motywy, a używasz jednego — resztę usuń. Według danych Patchstack, zdecydowana większość włamań na WordPressa w 2025 roku dotyczyła stron z nieaktualnym oprogramowaniem. Banalne kroki działają, bo większość właścicieli stron ich nie robi.

Logowanie, hasła i weryfikacja dwuetapowa

Panel WordPress jest domyślnie dostępny pod adresem twojadomena.pl/wp-admin. Każdy o tym wie — łącznie z botami, które próbują się tam zalogować tysiące razy dziennie. To się nazywa atak brute force i działa dokładnie tak jak brzmi: próbuje każdej kombinacji hasła, aż trafi.

Trzy rzeczy, które to zatrzymują:

• Zmień domyślny URL logowania. Wtyczka WPS Hide Login przenosi panel pod inny adres, np. /zaplecze. Boty szukają /wp-admin — jeśli go nie znajdą, odpuszczają.
• Ogranicz liczbę prób logowania. Wtyczka Limit Login Attempts Reloaded blokuje IP po kilku błędnych próbach. Prosty mechanizm, który eliminuje większość automatycznych ataków.
• Włącz weryfikację dwuetapową (2FA). Nawet jeśli ktoś zdobędzie Twoje hasło — bez drugiego kodu z telefonu nie wejdzie. Wtyczka WP 2FA jest darmowa, łatwa w konfiguracji i działa z Google Authenticator.

Kilka zasad dotyczących samych haseł:

• minimum 16 znaków, mix liter, cyfr i znaków specjalnych,
• inne hasło dla każdego konta — menedżer haseł (Bitwarden, 1Password) pomaga je zapamiętać,
• usuń lub zmień nazwę konta użytkownika „admin" — to pierwszy login, którego próbują boty.

Jeden szczegół, który często się pomija: ogranicz liczbę kont z rolą Administrator. Każde dodatkowe konto admina to kolejny punkt ataku.

Backup i monitoring — plan na najgorszy scenariusz

Backupy nie zapobiegają włamaniom. Ale sprawiają, że włamanie nie jest katastrofą.

Wyobraź sobie dwie sytuacje. W pierwszej: strona zostaje przejęta, treści zaszyfrowane, panel niedostępny. Nie masz backupu — tracisz wszystko. W drugiej: to samo się dzieje, ale przywracasz stronę z wcześniejszego dnia w 15 minut. Różnica między katastrofą a incydentem.

Zasada 3-2-1 w praktyce:

• 3 kopie danych,
• na 2 różnych nośnikach lub lokalizacjach,
• z czego 1 poza serwerem (Google Drive, Dropbox, S3).

Dla aktywnego bloga lub sklepu — backup codziennie. Dla strony wizytówkowej — raz w tygodniu minimum. Wtyczka takia jak np. Akeeba Backup tworzy kopię zapasową jednym kliknięciem. To wszystko, czego potrzeba, aby utworzyć pełną kopię zapasową witryny. Archiwum zawiera bazę danych, pliki i skrypt przywracania.

Ważne: sam backup to za mało. Raz na kilka miesięcy przetestuj przywracanie. Kopia zapasowa, której nie da się przywrócić, jest bezużyteczna.

Do backupów dodaj monitoring zmian plików. Wtyczki bezpieczeństwa takie jak Wordfence wykrywają, gdy ktoś modyfikuje pliki rdzenia WordPress — i wysyłają alert na maila. Dzięki temu dowiesz się o włamaniu zanim strona zacznie rozsyłać spam lub wyświetlać reklamy hazardu.

Hosting, SSL i dodatkowe warstwy ochrony

Bezpieczeństwo strony zaczyna się przed pierwszą linią kodu. Dobry hosting to nie tylko szybkość — to izolacja kont, aktualne wersje PHP, zapory sieciowe i automatyczne skanowanie malware.

Na tanim hostingu współdzielonym jedna zainfekowana strona może zarazić setki innych na tym samym serwerze. Dobry hosting izoluje konta od siebie i aktywnie monitoruje ruch. Moim klientom polecam MyDevil.net — izolacja na poziomie kont, aktualne wersje PHP, codzienne kopie zapasowe i solidna obsługa techniczna w przystępnej cenie.

Certyfikat SSL to dziś absolutne minimum. Bez niego przeglądarka wyświetla ostrzeżenie „Niebezpieczna strona" — i Google obniża pozycję w wynikach wyszukiwania. Większość hostingów oferuje SSL bezpłatnie przez Let's Encrypt. Włącz go i skonfiguruj przekierowanie z HTTP na HTTPS.

Trzy dodatkowe kroki, które robią różnicę:

• Wtyczka bezpieczeństwa — Wordfence (darmowy) lub Solid Security skanuje pliki, blokuje podejrzane IP i wysyła raporty. Nie zastąpi dobrych praktyk, ale wyłapuje rzeczy, które przegapisz ręcznie.
• Ukryj wersję WordPress — domyślnie WP ujawnia swoją wersję w kodzie strony. Atakujący może wtedy szukać podatności dokładnie tej wersji. Jedno ustawienie w wtyczce bezpieczeństwa to naprawia.
• Wyłącz edytor plików w panelu — domyślnie możesz edytować pliki PHP bezpośrednio z wp-admin. Jeśli ktoś przejmie konto admina, ma natychmiastowy dostęp do kodu. Wyłącz tę funkcję jedną linią w wp-config.php: define('DISALLOW_FILE_EDIT', true);

Bezpieczeństwo to nie jednorazowe działanie. To nawyk — aktualizacje, backupy, sprawdzanie alertów. Strona, o którą dbasz regularnie, jest wielokrotnie trudniejszym celem niż taka, którą zostawiasz samą sobie.