Bezpieczeństwo strony na WordPressie — co realnie chroni

Strony firmowe nie są włamywane dlatego, że ktoś je sobie upatrzył. Są włamywane, bo automat przeszedł po milionie adresów, szukając jednej znanej dziury. To dobra wiadomość: skoro atak jest automatyczny, obrona też może być prosta.

Pięć rzeczy, które załatwiają większość ryzyka

1. Aktualizacje. System, motyw i wtyczki. Zdecydowana większość włamań wykorzystuje luki, które były załatane miesiącami wcześniej — po prostu nikt nie kliknął „aktualizuj”.
2. Dwuskładnikowe logowanie do panelu. Sam login i hasło to dziś za mało, a wdrożenie zajmuje kwadrans.
3. Brak konta o nazwie „admin” i brak hasła używanego gdziekolwiek indziej.
4. Ograniczenie prób logowania — automaty zgadują hasła setkami na minutę, dopóki im na to pozwolisz.
5. Kopie zapasowe poza serwerem strony. Nie zapobiegają włamaniu, ale decydują o tym, czy naprawa zajmie godzinę czy tydzień.

Gdzie naprawdę są dziury

W porzuconych wtyczkach. Dodatek, którego autor przestał aktualizować dwa lata temu, jest najczęstszym punktem wejścia. Przejrzyj listę i usuń wszystko, czego nie używasz — nieaktywna wtyczka nadal jest plikiem na serwerze.

W motywach z niepewnych źródeł. Płatny motyw pobrany za darmo z przypadkowej strony bardzo często ma dopisany kod. To nie jest legenda, to standardowy sposób dystrybucji.

W kontach po byłych współpracownikach. Przejrzyj użytkowników panelu. Zwykle jest tam ktoś, kto nie pracuje z Wami od roku.

Po czym poznać, że coś się dzieje

• Strona przekierowuje w niektórych przeglądarkach albo tylko na telefonie.
• W wynikach Google przy Twojej stronie pojawiają się obce frazy.
• Powstały podstrony, których nikt nie tworzył.
• W panelu jest użytkownik, którego nie dodawałeś.
• Poczta z domeny zaczyna trafiać do spamu u odbiorców.

Ostatni punkt jest częsty i mylący — wygląda na problem z pocztą, a bywa skutkiem rozsyłania spamu z zaatakowanego serwera.

Co zrobić, gdy już się stało

1. Zmień hasła — panel, hosting, baza, konta użytkowników.
2. Wyloguj wszystkie sesje.
3. Przywróć kopię sprzed problemu, jeśli wiesz, kiedy się zaczął.
4. Zaktualizuj wszystko przed ponownym uruchomieniem, bo inaczej wrócisz do tej samej dziury.
5. Sprawdź konta użytkowników i usuń nieznane.
6. Zgłoś stronę do ponownego sprawdzenia w Search Console, jeśli Google oznaczył ją jako niebezpieczną.

Przy sklepie dochodzi obowiązek oceny, czy doszło do naruszenia ochrony danych klientów — terminy są krótkie, więc to moment na kontakt z prawnikiem, a nie na samodzielne decyzje.

Realny przykład z tej strony

Przy porządkowaniu qualitypower.pl usunęliśmy 810 komentarzy spamowych, wśród których był wpis testujący podatność na wstrzyknięcie skryptu. Nie było włamania — ale było systematyczne sprawdzanie, czy da się je zrobić. Tak to wygląda na zwykłej stronie firmowej: cicho i bez przerwy.

Najczęstsze pytania

Dlaczego ktoś miałby atakować małą stronę?

Bo atak jest automatyczny i nie wybiera celu. Skanery przechodzą po adresach, szukając znanych luk.

Co daje największą ochronę najmniejszym kosztem?

Regularne aktualizacje i dwuskładnikowe logowanie do panelu.

Czy nieaktywne wtyczki są bezpieczne?

Nie. Nadal są plikami na serwerze i bywają wykorzystywane. Nieużywane trzeba usuwać, nie wyłączać.

Skąd wiadomo, że strona jest zainfekowana?

Typowe objawy to przekierowania na telefonie, obce frazy w wynikach Google, nowe podstrony i nieznani użytkownicy w panelu.