Jak zabezpieczyć WordPressa? Przewodnik krok po kroku

Są trzy główne powody, dla których ataki na WordPressa są aż tak częste:

1. Według danych W3Techs oraz BuiltWith, na WordPressie działa niecałe 37 milionów stron WWW – czyli 42% wszystkich witryn w internecie. Przestępcom po prostu opłaca się szukać podatności w środowisku WordPressa, bo każda odkryta luka daje od razu dostęp do dziesiątek, setek tysięcy stron.
2. Żaden inny CMS nie ma tak rozbudowanego ekosystemu; w bibliotece WP znajdziemy ponad 60 tysięcy pluginów, które są różnej jakości. Obok wtyczek wspieranych przez firmy z całymi zespołami developerów mamy pluginy rozwijane „po godzinach” albo takie, które ostatnią aktualizację otrzymały półtora roku temu. Tylko w 2024 roku w całym środowisku WP znaleziono 8 tysięcy luk bezpieczeństwa - 96% z nich kryło się właśnie w pluginach (wg raportu PathStack, State of WordPress Security).
3. Ogromna część wordpressowych witryn… nie jest regularnie aktualizowana. Najdobitniej pokazują to statystyki udostępnianie przez WordPress.org: w lutym 2026 prawie 35% stron działało na nieaktualnej wersji WP.

Wszystko to sprawia, że WordPress jest bardzo atrakcyjnym celem dla hakerów, czego efekty widzimy niestety regularnie. W październiku ubiegłego roku specjaliści z Wordfence – eksperci ds. bezpieczeństwa WordPressa i twórcy jednego z najpopularniejszych pluginów w bibliotece WP – poinformowali, że w ciągu niecałych 48 godzin ich system zablokował… 1,6 miliona prób ataków. W skali roku naruszeń bezpieczeństwa WordPressa są dziesiątki milionów

• złamania słabych haseł – na przykład techniką brute force;
• wstrzyknięcia złośliwego kodu JavaScript przez niezabezpieczone formularze, pola komentarzy itp. – według przytoczonego już raportu PathStack, w 2024 r. aż 47,7% wykrytych luk bezpieczeństwa to były podatności właśnie na ataki XSS (cross-site scripting);
• manipulacji zapytaniami do bazy danych MySQL – czyli tzw. SQL injection.

Pytanie brzmi więc, jak zabezpieczyć stronę na WordPressie, aby się przed tymi atakami obronić?

Zanim przejdziemy do konkretnych wskazówek, zacznijmy od podstaw. Jeśli ochrona WordPressa przed atakami ma być skuteczna, to o te pięć kwestii musisz zadbać w pierwszej kolejności:

1. Bezpieczny hosting

Jeżeli dopiero zastanawiasz się nad wyborem hostingodawcy albo bierzesz pod uwagę migrację na inny serwer – nie należy się tego obawiać! – koniecznie przeanalizuj, jak różni dostawcy podchodzą do kwestii bezpieczeństwa. Dobry hosting (w tym przypadku obojętnie, czy pod WordPressa, czy nie), powinien zapewniać:

• automatyczne skanowanie plików pod kątem malware’u;
• własną zaporę sieciową;
• izolację kont, jeśli mówimy o serwerze współdzielonym;
• wsparcie dla najnowszej wersji PHP – obowiązkowo.

2. Aktualizacje

Nie trzeba tego wyjaśniać; update’y wtyczek, motywów, PHP oraz samego core WordPressa publikowane są nie tylko po to, żeby dodawać nowe funkcje, ale przede wszystkim, aby łatać luki bezpieczeństwa. Dowiedz się więcej o tym, jak aktualizować WordPressa.

3. Silne hasła

Tak jak powiedzieliśmy, ataki brute force cały czas są jednym z głównych narzędzi w rękach hakerów. Jest jeden sposób, aby się przed nimi obronić – wymusić na użytkownikach ustawianie trudnych do złamania haseł. To znaczy takich, które:

• mają min. 12 znaków;
• są kombinacją małych i wielkich liter, cyfr oraz symboli;
• nie używają wyrazów, które można znaleźć w słowniku ani nazw własnych.

4. Zarządzanie uprawnieniami użytkowników

Zawsze warto trzymać się zasady minimalnych uprawnień, to znaczy: każdy, kto ma wgląd do panelu administracyjnego strony, powinien posiadać dostęp tylko i wyłącznie do tych funkcji, których faktycznie potrzebuje. Praca redaktora, który tylko dodaje treści na firmowego bloga, na pewno nie wymaga uprawnień na poziomie administratora.

5. Kopie zapasowe

Jeśli hakerom uda się przeprowadzić skuteczny atak na stronę, a nawet ją przejąć, to mając w pogotowiu backup, da się ją przywrócić do działania w ciągu kilku minut. Tu z kolei radzimy przestrzegać reguły „3-2-1” i przygotować trzy kopie danych, na dwóch różnych nośnikach, z których przynajmniej jeden znajduje się w zupełnie innej lokalizacji niż serwer strony.

Najczarniejszy scenariusz dla właściciela strony to ten, w którym przestępcy zyskują dostęp do całego panelu administracyjnego witryny, co – niestety – może się zdarzyć, nawet jeśli admin ma naprawdę silne hasło; wystarczy, że np. padnie ofiarą phishingu.

Dlatego warto zabezpieczyć panel administratora uwierzytelnianiem dwuskładnikowym. W bibliotece WordPressa jest sporo wtyczek, które pozwalają łatwo wdrożyć 2FA – większość działa tak, że oprócz hasła wymusza na użytkowniku weryfikację tożsamości za pomocą aplikacji na telefonie (np. Google Authenticator albo Authy) lub kodu przesyłanego na maila. O tym, jakie konkretnie pluginy polecamy, powiemy za moment.

Są też inne problemy – choćby to, że domyślnie WordPress nie stawia żadnych przeszkód botom, które próbują zalogować się do panelu admina, wypróbowując tysiące kombinacji haseł jedna po drugiej; tak właśnie wyglądają ataki brute force. Rozwiązanie jest proste: narzucić limit prób logowania, tak aby po określonej liczbie prób adres IP został tymczasowo zablokowany – to również można zrobić przy pomocy pluginów. Podobnie zresztą można (i warto!) ustawić automatyczne wylogowanie z sesji, jeśli użytkownik jest nieaktywny przez kilka/kilkanaście minut.

Tak, warto korzystać z pluginów – tylko trzeba to robić z głową, ponieważ nadmiar wtyczek potrafi bardzo mocno obciążyć serwer i tym samym spowolnić stronę.

Najlepiej wybrać z biblioteki WordPressa jedną, maksymalnie dwie wtyczki bezpieczeństwa, które od razu oferują cały pakiet funkcji: działają jako firewall, skanują pliki pod kątem malware’u, monitorują logi, pozwalają wdrożyć 2FA, automatycznie weryfikują integralność plików po aktualizacjach i tak dalej.

Jakie wtyczki możemy polecić?

Zabezpieczenia strony internetowej na WordPressie nie powinny kończyć się na kilku wtyczkach. Część pracy trzeba wykonać samemu, zwłaszcza po stronie serwera. Co jest ważne i jak to zrobić?

Warto wspomnieć też o czymś, co moglibyśmy określić mianem „higieny pracy z WordPressem”. Prawda jest taka, że spora część problemów z bezpieczeństwem bierze się z niedopatrzeń po stronie właściciela strony albo administratora, a wystarczyłoby trzymać się kilku dobrych zasad:

• nigdy nie instaluj wtyczek spoza oficjalnej biblioteki WordPressa;
• przed instalacją nowej wtyczki – także z biblioteki – koniecznie ją zweryfikuj. Sprawdź, kiedy była ostatnio aktualizowana, ile ma aktywnych instalacji (popularność wtyczki zazwyczaj idzie w parze z tym, jak dobre ma wsparcie community) i, oczywiście, jak wyglądają recenzje
• Regularnie usuwaj wtyczki i motywy, z których nie korzystasz – nie wystarczy ich tylko wyłączyć, ponieważ wtedy ich pliki dalej są na serwerze i mogą stanowić entry-point dla hakerów;
• Gdy łączysz się z serwerem, żeby przesłać lub pobrać pliki, używaj protokołu SFTP zamiast FTP; ten pierwszy szyfruje dane na tej samej zasadzie, jak protokół SSL/TLS;
• Stale monitoruj ruch na stronie – polecamy na przykład wtyczkę WP Activity Log, która w bardzo przejrzystym „dzienniku” odnotowuje, kto się loguje do strony, kiedy oraz jakie zmiany wprowadza w plikach i ustawieniach.

W najgorszym wypadku, jeśli zabezpieczenia WordPressa nie zadziałały i podejrzewasz, że komuś udało się np. wstrzyknąć złośliwy kod do plików Twojej strony – po pierwsze, nie panikuj, a po drugie, od razu przejdź do działania.

• Odizoluj witrynę od ruchu z zewnątrz – tak, aby hakerzy nie mogli wyrządzić szkód po stronie Twoich użytkowników. Możesz to zrobić na kilka sposobów: albo tymczasowo zawiesić działanie domeny w panelu hostingu, albo włączyć tryb konserwacji za pomocą któregoś z pluginów z biblioteki WordPressa, albo – i to jest najpewniejsza opcja – zablokować żądania HTTP ze wszystkich adresów IP poza Twoim własnym.
• jak najszybciej zmień hasła – wszystkie, bez wyjątku: do konta administratora WordPressa, panelu hostingu, FTP/SFTP oraz bazy danych;
• zweryfikuj konta, które mają dostęp do panelu WordPressa – jedną z pierwszych rzeczy, które niemal zawsze robią hakerzy, jest założenie własnego konta administratora, tak żeby zachować dostęp do strony nawet po wykryciu włamania – usuń te podejrzane;
• przeskanuj stronę pod kątem złośliwego kodu – wszystkie wtyczki bezpieczeństwa, o których pisaliśmy wcześniej, mają wbudowane skanery, które porównują pliki Twojej strony z oryginalnymi plikami WordPressa, wtyczek oraz modułów z oficjalnej biblioteki. Możesz też skorzystać z darmowego skanera na stronie Sucuri;
• sprawdź logi serwera – znajdziesz tam informacje o podejrzanych żądaniach do serwera witryny i, co najważniejsze, zobaczysz, które konkretnie pliki (i kiedy) zostały zmodyfikowane;
• jeśli uda Ci się określić, w jaki sposób przestępcy włamali się na Twoją stronę – załataj lukę; najczęściej rozwiązaniem jest usunięcie lub zaktualizowanie problematycznej wtyczki, jako że właśnie z nich najczęściej korzystają hakerzy;
• przywróć stronę do działania – najbezpieczniej zrobić to z kopii zapasowej sprzed włamania, oczywiście już z uwzględnieniem zmian z punktu 6;
• jeżeli na Twojej stronie przetwarzane są dane osobowe użytkowników – bo na przykład prowadzisz sklep na WooCommerce albo zbierasz adresy e-mail w formularzach – i przestępcy mogli zdobyć do nich dostęp, zgłoś incydent do Urzędu Ochrony Danych Osobowych; zgodnie z RODO masz na to 72 godziny od wykrycia;
• przez pierwszych kilka tygodni od incydentu warto uważniej niż kiedykolwiek monitorować stronę: śledzić logi serwera, przeprowadzać kolejne skany pod kątem malware’u itd. Jeśli przestępcom udało się raz włamać na Twoją witrynę, mogą spróbować zrobić to jeszcze raz, aby „przetestować”, czy na pewno znalazłeś i załatałeś wszystkie luki.