Bezpieczeństwo WordPressa – co realnie chroni stronę
Zabezpieczanie WordPressa to nie jest wyścig na liczbę wtyczek ochronnych. 96% podatności w ekosystemie WordPressa dotyczy wtyczek (raport Patchstack z 2025 roku), więc największy efekt daje ograniczenie ich liczby i regularne aktualizowanie tego, co zostaje. Reszta to kopie zapasowe i porządek w dostępach.
Pięć rzeczy, które dają 90% bezpieczeństwa
- Aktualizacje – WordPressa, wtyczek i motywu, regularnie i z testami.
- Kopie zapasowe – codzienne, przechowywane poza serwerem strony.
- Mniej wtyczek – każda to potencjalna furtka; usuń te, których nie używasz.
- Mocne, unikalne hasła i logowanie dwuskładnikowe dla administratorów.
- Uprawnienia dopasowane do roli – redaktor nie potrzebuje konta administratora.
To wszystko. Reszta bywa przydatna, ale to te pięć punktów odpowiada za zdecydowaną większość realnego bezpieczeństwa.
Dlaczego aktualizacje są najważniejsze
Gdy autor wtyczki łata dziurę, informacja o niej staje się publiczna. Od tego momentu automaty przeszukują internet w poszukiwaniu stron, które łatki nie wgrały – i to właśnie jest najczęstszy scenariusz włamania.
Nie chodzi o atak wymierzony w Twoją firmę. Chodzi o to, że jesteś jednym z tysięcy adresów na liście, którą ktoś przelatuje automatem.
Czego nie robić
Nie instaluj kilku wtyczek zabezpieczających naraz. Będą sobie przeszkadzać, spowolnią stronę i wygenerują fałszywe alarmy, w których utoną te prawdziwe.
Nie ukrywaj tego, co nie ma znaczenia. Zmiana adresu logowania czy ukrywanie numeru wersji utrudnia życie automatom, ale nie zastąpi aktualizacji.
Nie zostawiaj nieużywanych kont – zwłaszcza po zakończonej współpracy z wykonawcą czy agencją.
Kopie zapasowe: ostatnia linia obrony
Kopia zapasowa nie zapobiega włamaniu, ale decyduje o tym, czy będzie ono kilkugodzinnym kłopotem czy kilkudniową katastrofą. Trzy zasady: automatycznie, poza serwerem strony i ze sprawdzeniem, czy da się z niej odtworzyć stronę.
Ten trzeci punkt jest pomijany najczęściej. Kopia, której nikt nigdy nie przetestował, bywa bezużyteczna dokładnie wtedy, gdy jest potrzebna.
Co z ochroną przed atakami na formularze
Spam w formularzach i próby logowania to codzienność każdej strony. Wystarczy rozsądny limit prób logowania i zabezpieczenie formularzy – niekoniecznie uciążliwe dla użytkownika. Warto pamiętać, że każde dodatkowe zabezpieczenie po stronie klienta obniża konwersję.
Częste pytania
Czy mała strona firmowa jest zagrożona?
Tak, bo ataki są automatyczne i nie wybierają. Mała strona jest nawet częstszym celem, bo rzadziej ktoś jej pilnuje.
Czy potrzebuję wtyczki zabezpieczającej?
Jedna sensownie skonfigurowana pomaga, ale nie zastąpi aktualizacji i kopii. Priorytety w tej kolejności.
Co zrobić, gdy strona już jest zainfekowana?
Nie kasować plików na oślep. Zabezpieczyć kopię, zmienić hasła i wyczyścić stronę razem z zamknięciem furtki – opisaliśmy to w tekście o zhakowanym WordPressie.
Ile kosztuje opieka nad bezpieczeństwem?
Pakiety opieki zaczynają się od 199 zł miesięcznie i obejmują kopie, aktualizacje i monitoring.
Dane o udziale wtyczek w podatnościach: Patchstack, State of WordPress Security 2025. Reszta na podstawie naszych wdrożeń i napraw.