WordPress napędza ponad 40% internetu - i właśnie dlatego jest celem numer jeden automatycznych ataków. Pokazujemy 12 konkretnych kroków hardeningu: od aktualizacji i 2FA, przez wtyczki bezpieczeństwa i WAF, po uprawnienia plików i ukrywanie wersji.
Nie dlatego, że jest „dziurawy" - rdzeń WordPressa jest rozwijany wzorowo i łatany błyskawicznie. Powód jest prozaiczny: skoro WordPress napędza ponad 40% stron internetowych, opłaca się pisać boty skanujące cały internet pod kątem jego typowych słabości. Według badań branżowych ponad 90% podatności dotyczy wtyczek, a nie samego WordPressa.
Dobra wiadomość: przytłaczająca większość ataków to zautomatyzowane skany szukające łatwych celów - starych wtyczek, hasła „admin123", otwartego XML-RPC. Wystarczy nie być łatwym celem, a boty pójdą dalej. Poniższe 12 kroków dokładnie to załatwia.
Zdecydowana większość włamań wykorzystuje znane, dawno załatane luki. Włącz automatyczne aktualizacje drobnych wersji rdzenia (WordPress robi to domyślnie), a wtyczki i motywy aktualizuj co najmniej raz w tygodniu. Przed większymi aktualizacjami - kopia zapasowa (pisaliśmy o tym obszernie w artykule o backupach).
Równie ważne: usuwaj wtyczki i motywy, których nie używasz. Wyłączona wtyczka to nadal kod na serwerze, który może zawierać lukę.
Ataki słownikowe na stronę logowania to codzienność każdej strony WordPress. Obrona:
Domyślnie WordPress pozwala zgadywać hasło w nieskończoność. Wtyczka typu Limit Login Attempts Reloaded (lub moduł w pakiecie bezpieczeństwa) blokuje adres IP po kilku nieudanych próbach - ataki brute force tracą sens.
Sprawdzone opcje: Wordfence, Solid Security, All-In-One Security. Dają firewall aplikacyjny, skaner malware, monitorowanie zmian plików i wzmocnienia konfiguracji z jednego panelu. Jedna wtyczka wystarczy - dwie naraz potrafią konfliktować.
Redaktor nie potrzebuje roli administratora, a wykonawca po zakończeniu prac nie potrzebuje konta w ogóle. Przejrzyj listę użytkowników: każde niepotrzebne konto administratora to dodatkowe drzwi do strony. Zasada: tak mało uprawnień, jak to możliwe - dokładnie ta sama, którą stosujemy przy kontach FTP.
„Darmowe" wersje płatnych wtyczek z nieoficjalnych stron (tzw. nulled) to najprostszy sposób na zainstalowanie sobie backdoora własnymi rękami. Instaluj wyłącznie z oficjalnego katalogu WordPress.org lub bezpośrednio od producenta. Przed instalacją sprawdź datę ostatniej aktualizacji i liczbę aktywnych instalacji.
Certyfikat SSL szyfruje logowanie i dane użytkowników - bez niego hasło administratora leci przez sieć otwartym tekstem. Na hostingu McProdukt darmowy Let's Encrypt włączysz jednym kliknięciem: instrukcja tutaj. Pamiętaj o wymuszeniu HTTPS i poprawieniu adresu witryny w ustawieniach.
Nawet najlepiej zabezpieczona strona może paść ofiarą luki zero-day. Automatyczny backup do zewnętrznej chmury (UpdraftPlus + Dysk Google to kwadrans konfiguracji) sprawia, że najgorszy scenariusz to godzina odtwarzania, a nie utrata wszystkiego.
Dwie linie konfiguracji o dużym efekcie:
Standard bezpieczeństwa na hostingu współdzielonym: katalogi 755, pliki 644, a wp-config.php 600. Nigdy, pod żadnym pozorem, nie ustawiaj 777 („bo wtedy działa") - to zaproszenie do zapisu dla każdego procesu na serwerze. Jeśli coś wymaga 777, problem leży gdzie indziej i warto go zdiagnozować z pomocą wsparcia hostingu.
Drobiazgi, które utrudniają rozpoznanie: usuń plik readme.html z katalogu głównego, ukryj wersję WordPressa (robią to wtyczki bezpieczeństwa) i upewnij się, że autor wpisów ma inny „login" niż wyświetlana nazwa - WordPress domyślnie zdradza loginy w adresach archiwum autora.
Skonfiguruj powiadomienia wtyczki bezpieczeństwa (zmiany plików rdzenia, nowe konta administratorów, logowania z nietypowych lokalizacji) i raz na jakiś czas zajrzyj do Google Search Console - Google często jako pierwsze wykrywa, że strona serwuje spam lub malware, i wysyła ostrzeżenie.
Warstwa serwera to fundament, na którym stoi wszystko powyżej. Na hostingu McProdukt w standardzie dostajesz: firewall aplikacyjny (WAF) z regułami blokującymi typowe ataki na WordPressa, skaner złośliwego oprogramowania, izolację kont (włamanie na sąsiednią stronę nie dotyczy Twojej), aktualne wersje PHP oraz regularne kopie zapasowe. Szczegóły znajdziesz na stronie bezpieczeństwo i w ofercie hostingu.
Typowe objawy: przekierowania na obce strony, obcy kod w plikach motywu, nowe konta administratorów, ostrzeżenie w Google („Ta witryna może być zaatakowana"), nagły spadek ruchu, wysyłka spamu z domeny. Wtyczka bezpieczeństwa ze skanerem wykryje większość z tych rzeczy automatycznie.
1) Zmień wszystkie hasła (WP, FTP, panel, baza). 2) Odtwórz stronę z czystej kopii sprzed infekcji. 3) Zaktualizuj wszystko i usuń podejrzane wtyczki. 4) Przeskanuj skanerem. 5) Poproś o ponowną weryfikację w Google Search Console. Jeśli nie masz czystej kopii - skontaktuj się z nami, pomagamy w czyszczeniu stron klientów.
Boty nie czytają treści - skanują adresy IP. Mała strona jest tak samo „interesująca" jak duża: jako serwer do wysyłki spamu, hosting phishingu albo ogniwo botnetu. Rozmiar nie chroni; chroni konfiguracja.
Bezpieczeństwo WordPressa to nie jednorazowy projekt, tylko kilka dobrych nawyków: aktualizuj, używaj 2FA, ogranicz uprawnienia, rób kopie i monitoruj. Wdrożenie wszystkich 12 kroków zajmuje jedno popołudnie i zatrzymuje praktycznie całą masę automatycznych ataków. Fundament - bezpieczny serwer z WAF, skanerem i backupami - dostarczamy w McProdukt w standardzie, żebyś Ty mógł zajmować się treścią, a nie botami.
Wszystkie poradniki z kategorii: WordPress