Zabezpieczenie WordPress przed włamaniem, które pilnujemy co dzień
Zabezpieczenie WordPress przed włamaniem jest w każdym planie stałej opieki od 299 zł netto miesięcznie, a od planu Firma za 599 zł dochodzi codzienny skan, zapora aplikacyjna i usuwanie infekcji w cenie. Bezpieczeństwo strony to nie jedna wtyczka, tylko kilka warstw, z których każda zatrzymuje inny rodzaj ataku. Ustawiamy je przy przejęciu strony, a potem pilnujemy ich stale: skanujemy kod, aktualizujemy podatne elementy, przeglądamy konta i reagujemy na incydenty w czasie zapisanym w planie.
Jak naprawdę wygląda włamanie na stronę WordPress
Większość ataków nie jest wymierzona w konkretną firmę. Automaty skanują tysiące adresów i szukają znanych luk we wtyczkach, domyślnych ścieżek logowania i słabych haseł. Wystarczy jedna zaległa wtyczka z publicznie opisaną podatnością albo konto administratora z hasłem użytym wcześniej w innym serwisie. Potem na stronie pojawia się spam SEO, przekierowania na podejrzane serwisy albo ukryty kod wykradający dane z formularzy.
Dlatego zabezpieczenie strony WordPress traktujemy jak proces, a nie jednorazowe ustawienie. Warstwy nakładają się na siebie: gdy jedna zawiedzie, zatrzymuje atak następna.
Co robimy w ramach zabezpieczenia WordPress
Zapora aplikacyjna (WAF)
Filtruje ruch, zanim dotrze do PHP: blokuje próby wstrzyknięcia SQL, skrypty XSS, skanowanie znanych podatnych ścieżek i ruch z adresów znanych z ataków. Dzięki niej luka w wtyczce, na którą nie ma jeszcze poprawki, może być zablokowana regułą.
Ochrona logowania przez 2FA i limit prób
Konta z uprawnieniami administratora i redaktora mają logowanie dwuskładnikowe. Liczba nieudanych prób z jednego adresu jest ograniczona, a XML-RPC wyłączamy albo zawężamy, jeśli nic go nie używa. Zablokowane próby liczymy w raporcie miesięcznym.
Skan złośliwego kodu
Porównujemy pliki rdzenia z sumami kontrolnymi oficjalnych wydań, szukamy wstrzykniętego kodu w motywie, wtyczkach, katalogu uploads i bazie danych. Nowe pliki PHP w miejscach, gdzie nie powinno ich być, są dla nas sygnałem alarmowym.
Utwardzenie konfiguracji
- Poprawne uprawnienia plików i katalogów, wp-config.php poza zasięgiem odczytu z przeglądarki.
- Wyłączona edycja plików z kokpitu (DISALLOW_FILE_EDIT) i blokada wykonywania PHP w katalogu uploads.
- Nowe klucze i sole w wp-config.php po przejęciu strony.
- Nagłówki bezpieczeństwa HTTP, wymuszone HTTPS i HSTS.
- Ukryta wersja WordPress w kodzie strony i wyłączone listowanie katalogów.
Porządek w kontach
Usuwamy nieużywane konta administratorów, nadajemy role z najmniejszymi potrzebnymi uprawnieniami i sprawdzamy, czy nikt nie loguje się wspólnym kontem. Dostępy przechowujemy w szyfrowanym sejfie.
To wszystko działa razem z regularną aktualizacją WordPress, bo zaległe wtyczki są najczęstszą drogą ataku, i z kopią zapasową WordPress poza serwerem, bo tylko ona chroni przed atakiem, który zaszyfruje albo skasuje pliki.
Zakres bezpieczeństwa w planach
Porównaj planyStart
Cena miesięczna netto
299 zł
Bezpieczeństwo
skan co tydzień, ochrona logowania
Firma
Cena miesięczna netto
599 zł
Bezpieczeństwo
skan codziennie, zapora WAF, usuwanie infekcji w cenie
Biznes
Cena miesięczna netto
1 499 zł
Bezpieczeństwo
wszystko z Firma, utwardzenie serwera, przegląd uprawnień kont
Enterprise
Cena miesięczna netto
2 990 zł
Bezpieczeństwo
wszystko z Biznes, audyt bezpieczeństwa co kwartał, rejestr incydentów
Jeśli Twoja strona już jest zainfekowana, zaczynamy od usuwania wirusa ze strony, które w planach od Firma jest w cenie i nie zużywa godzin zmian.
Kiedy zabezpieczenie strony WordPress jest szczególnie ważne
- Strona ma formularze z danymi osobowymi i podlega RODO.
- Sklep WooCommerce przyjmuje zamówienia i przechowuje dane kupujących.
- Strona była już kiedyś zhakowana i nie wiesz, czy luka została zamknięta.
- Do kokpitu logowało się przez lata wiele osób: agencja, zewnętrzni wykonawcy, pracownicy.
- Firma potrzebuje dokumentu, co i jak jest chronione, na przykład dla działu IT albo audytora. Więcej na stronie bezpieczeństwo i RODO.
Pytania o zabezpieczenie WordPress
Czy wystarczy wtyczka bezpieczeństwa?
Wtyczka to jedna warstwa. Nie zastąpi aktualizacji, porządku w kontach, kopii poza serwerem ani człowieka, który przeczyta alert i zareaguje. Część ochrony ustawiamy też na poziomie serwera, gdzie wtyczka nie sięga.
Czy 2FA utrudni pracę redaktorom?
Logowanie wydłuża się o kilka sekund: kod z aplikacji w telefonie. Konfigurację pomagamy przejść każdej osobie, a zapasowe kody trzymamy w sejfie.
Czy WAF może zablokować moich klientów?
Rzadko, ale się zdarza, na przykład przy nietypowych formularzach. Każdą fałszywą blokadę analizujemy i dopisujemy wyjątek tylko dla konkretnej reguły, bez wyłączania całej ochrony.
Czy dajecie gwarancję, że strona nie zostanie zhakowana?
Nikt uczciwy takiej gwarancji nie da. Dajemy warstwy, które zatrzymują typowe ataki, szybkie wykrycie i zapisany czas reakcji, a w planach od Firma usunięcie infekcji w cenie.
Czy muszę zmieniać hosting?
Zwykle nie. Jeśli hosting nie pozwala na aktualną wersję PHP albo izolację kont, doradzimy zmianę i przeniesiemy stronę w ramach startu opieki.
Zobacz, co atakujący widzi na Twojej stronie
Audyt pokaże wersje, widoczne wtyczki, certyfikat i brakujące nagłówki bezpieczeństwa, bez logowania i bez hasła.