Audyt WordPress sprawdzi bezpieczeństwo i stan Twojej strony
Wpisz adres strony, a w kilka sekund zobaczysz, co każdy może o niej wyczytać z zewnątrz: wersję WordPress, nieaktualne wtyczki, stan certyfikatu, brakujące nagłówki bezpieczeństwa i wagę strony. Audyt jest jednorazowy i bezpłatny, nie wymaga hasła ani konta.
Aktualizacja na kopii testowej: 14 wtyczek, test wizualny 12/12, gotowe do produkcji
| Domena | Status | WordPress | Wtyczki do aktualizacji | Ostatnia kopia | Dostępność 30 dni | SSL ważny do |
|---|---|---|---|---|---|---|
| sklep-przyklad.pl | Działa | 6.8.3 | 0 | dziś 03:10 | 99,98% | 14.03.2027 |
| kancelaria-przyklad.pl | Aktualizacja w teście | 6.8.3 | 3 na kopii testowej | dziś 03:25 | 100% | 02.12.2026 |
| hotel-przyklad.pl | Pilne, w pracy | 6.8.2 | 1 krytyczna | dziś 02:55 | 99,91% | 21.10.2026 |
| gabinet-przyklad.pl | Działa | 6.8.3 | 0 | dziś 03:40 | 100% | 30.06.2027 |
4 strony: 2 działają, 1 aktualizacja w teście, 1 pilna w pracy
Ostatnie zdarzenia
- 03:40 gabinet-przyklad.pl: kopia plików i bazy wykonana
- 03:52 sklep-przyklad.pl: aktualizacja wtyczek wdrożona po teście na kopii
- 04:15 kancelaria-przyklad.pl: skan złośliwego kodu, wynik czysty
Sprawdzamy stronę. Zwykle trwa to kilka sekund.
Co widzi o Twojej stronie każdy, kto jej szuka
Boty, które szukają podatnych stron, nie zgadują. Czytają wersję WordPress z kodu strony, listę wtyczek ze ścieżek do plików i numer wersji z adresu skryptu, a potem porównują je z bazą znanych luk. Nasz audyt bezpieczeństwa strony internetowej patrzy na stronę tak samo, tylko wynik dostajesz Ty, razem z jednym zdaniem, co z każdym znaleziskiem robimy w ramach opieki.
Sześć obszarów, które sprawdza audyt WordPress
-
1. Odpowiedź serwera i HTTPS
Mierzymy czas do pierwszego bajtu, sprawdzamy łańcuch przekierowań, czy strona wymusza HTTPS i kiedy wygasa certyfikat SSL. Wolna odpowiedź serwera to zwykle brak cache albo przeciążony hosting, a wygasający certyfikat to strona oznaczona w przeglądarce jako niebezpieczna.
-
2. Czy to WordPress i w jakiej wersji
Szukamy śladów WordPressa w kodzie strony, w interfejsie /wp-json/ i w ścieżkach wp-content. Jeśli strona ujawnia wersję, porównujemy ją z aktualnym wydaniem WordPress.
-
3. Wtyczki i motyw
Odczytujemy wtyczki i motyw widoczne w kodzie strony razem z numerami wersji i porównujemy je z najnowszymi wydaniami w katalogu WordPress. Nieaktualna wtyczka to najczęstsza droga infekcji.
-
4. Nagłówki bezpieczeństwa
Sprawdzamy HSTS, X-Content-Type-Options, X-Frame-Options, Content-Security-Policy i Referrer-Policy oraz to, czy serwer zdradza wersję PHP w nagłówku X-Powered-By.
-
5. Pliki i dane, które nie powinny być publiczne
Sprawdzamy, czy publicznie dostępne są xmlrpc.php i readme.html, czy lista kont użytkowników jest widoczna w /wp-json/wp/v2/users i czy katalog uploads pokazuje listę plików. Każda z tych rzeczy ułatwia atak na logowanie albo zdradza zawartość serwera.
-
6. Waga strony
Liczymy wagę dokumentu HTML oraz liczbę skryptów i arkuszy stylów, które strona ładuje. Duża liczba plików to zwykle nadmiar wtyczek i wolniejsze LCP na telefonie. Pełny pomiar Core Web Vitals robimy w ramach przyspieszenia WordPressa.
Czego nie widać bez dostępu
Audyt nie loguje się na stronę i nie prosi o hasło, więc uczciwie mówimy, czego z zewnątrz sprawdzić się nie da.
- Pliki na serwerze: złośliwy kod ukryty w plikach PHP, zmodyfikowany rdzeń, uprawnienia plików i ustawienia wp-config.php.
- Baza danych: wstrzyknięte skrypty w treściach, podejrzane konta administratorów, zadania cron dodane przez atakującego.
- Kopie zapasowe: czy istnieją, gdzie leżą i czy dają się odtworzyć.
- Wtyczki, które nie zostawiają śladu w kodzie strony, i wersję PHP, jeśli serwer jej nie ujawnia.
- Formularze: czy wiadomości naprawdę dochodzą.
Te rzeczy sprawdzamy w pełnym przeglądzie przy przejęciu strony, który jest w cenie pierwszego miesiąca każdego planu. Jeśli podejrzewasz infekcję już teraz, zobacz usuwanie wirusów ze stron internetowych.
Jak czytać wynik
Wynik ma ocenę ogólną: dobra, wymaga uwagi albo pilne. Pod nią jest lista znalezisk w kolejności priorytetu. Przy każdym znalezisku piszemy jednym zdaniem, co z nim robimy w planie opieki. Kolejność możesz ustawić według tego, co jest dla Ciebie najważniejsze: bezpieczeństwo, szybkość albo aktualizacje.
Limity i bezpieczeństwo audytu
- Z jednego adresu IP można wykonać 5 audytów w ciągu godziny.
- Wynik dla tego samego adresu strony pamiętamy przez 24 godziny.
- Audyt sprawdza tylko strony publiczne. Adresy z sieci prywatnych i lokalnych są odrzucane.
- Każde zapytanie do Twojej strony ma limit czasu 8 sekund, więc audyt nie obciąża serwera.
- Audyt nie próbuje logowania, nie wysyła formularzy i nie skanuje portów.
Co dalej po audycie
Zobacz plany opiekiWynik na ekranie to skrót. Pełny raport z zaleceniami krok po kroku wysyłamy mailem po założeniu konta. W koncie zapisujemy adres strony z audytu, więc przy wyborze planu nie musisz go podawać drugi raz.
- Znaleziska z audytu naprawiamy w pierwszym miesiącu opieki.
- Przy przejęciu robimy pełny przegląd z dostępem do plików i bazy.
- Potem strona ma stały rytm: aktualizacja WordPress na kopii testowej, codzienne kopie, skany i monitoring WordPress.
Pytania o audyt WordPress
Czy audyt jest płatny?
Nie. Audyt jest bezpłatny i jednorazowy dla każdej strony. Nie jest częścią żadnego planu i nie zobowiązuje do zakupu.
Czy audyt może zaszkodzić stronie?
Nie. Audyt wykonuje kilka zwykłych zapytań, takich jak wejście przeglądarki na stronę. Nie loguje się, nie wysyła formularzy i nie próbuje włamania.
Czy mogę sprawdzić stronę, która nie jest na WordPressie?
Tak. Audyt pokaże odpowiedź serwera, HTTPS, nagłówki i wagę strony. Część o wersjach i wtyczkach dotyczy tylko WordPressa.
Wynik jest dobry. Czy to znaczy, że strona jest bezpieczna?
To znaczy, że w publicznej części nie widać problemów. Infekcja w plikach albo brak działającej kopii są niewidoczne z zewnątrz i wychodzą dopiero w pełnym przeglądzie.
Sprawdzam kilka stron klientów. Czy jest wersja dla agencji?
Wybierz w formularzu rodzaj „Kilka stron (agencja)". Stałą opiekę nad pulą stron obejmują plany white label WordPress.
Sprawdź stronę teraz
Wpisz adres i poczekaj kilka sekund. Jeśli wynik pokaże rzeczy pilne, załóż konto, a zajmiemy się nimi przy przejęciu strony.