Jak zabezpieczyć stronę WordPress – 10 prostych kroków

Strona internetowa to dziś wizytówka firmy, a często także sklep i kanał kontaktu z klientami. Poniżej dziesięć prostych kroków, które utrudniają włamanie na stronę i pomagają szybko wrócić do działania po awarii. Każdy opisujemy zwykłym językiem.

1. Aktualizuj WordPress, motywy i wtyczki

Twórcy programów regularnie wypuszczają nowe wersje, w których naprawiają znalezione błędy, także te dotyczące bezpieczeństwa. Wyobraź sobie, że producent zamków ogłasza, że w starym modelu jest wada i wysyła darmową wkładkę. Jeśli jej nie wymienisz, każdy, kto zna tę wadę, może skorzystać. Dlatego aktualizacje instaluj możliwie szybko, a przed większymi zmianami zrób kopię strony.

2. Usuń to, czego nie używasz

Każda wtyczka i każdy motyw to dodatkowe „drzwi” do strony. Jeśli czegoś nie używasz, samo wyłączenie nie wystarczy: usuń to całkowicie. Nowe dodatki pobieraj wyłącznie z zaufanych źródeł, najlepiej z oficjalnego katalogu WordPressa.

3. Stosuj silne i niepowtarzalne hasła

Każde konto powinno mieć długie hasło, którego nie używasz nigdzie indziej. Nie musisz ich pamiętać: pomaga w tym menedżer haseł, czyli bezpieczna aplikacja, która zapamiętuje hasła za Ciebie. To samo dotyczy panelu hostingu (firmy, u której „mieszka” Twoja strona), poczty i dostępu do plików strony.

4. Włącz dodatkowe potwierdzenie logowania (2FA)

2FA to dodatkowy kod z telefonu, który trzeba wpisać po haśle, tak jak przy logowaniu do banku. Dzięki temu nawet jeśli ktoś pozna hasło, nie wejdzie do panelu bez Twojego telefonu. Włącz to dla wszystkich kont administratorów.

5. Ogranicz liczbę administratorów i ich uprawnienia

Nadawaj każdemu tylko takie uprawnienia, jakich potrzebuje do pracy. Unikaj konta o nazwie „admin”, bo to pierwsza nazwa, którą wypróbowują włamywacze. Konta osób, które już nie współpracują ze stroną, usuwaj.

6. Zabezpiecz logowanie przed zgadywaniem haseł

Do wielu stron codziennie próbują się logować programy-roboty, które metodą prób i błędów zgadują hasła. Dobrym zabezpieczeniem jest ograniczenie liczby nieudanych prób i blokowanie podejrzanych adresów. To jeden z najczęstszych rodzajów ruchu na stronach, więc warto się przed nim chronić.

7. Korzystaj z HTTPS i aktualnej wersji PHP

HTTPS to „kłódka” obok adresu strony w przeglądarce. Oznacza, że dane przesyłane między odwiedzającym a stroną są szyfrowane. Daje ją certyfikat SSL. Warto też pilnować wersji PHP, czyli języka programowania, w którym działa WordPress. Stare wersje PHP przestają być poprawiane, więc stają się coraz mniej bezpieczne.

8. Rób kopie zapasowe i sprawdzaj, czy da się je odtworzyć

Kopia zapasowa to jak zapasowy klucz do domu. Przechowuj ją poza serwerem, na którym działa strona, bo inaczej razem ze stroną możesz stracić także kopię. Pamiętaj, że kopia, której nigdy nie próbowano odtworzyć, może okazać się bezużyteczna właśnie wtedy, gdy będzie najbardziej potrzebna.

9. Wyłącz edycję plików z poziomu panelu

WordPress pozwala zmieniać pliki strony bezpośrednio w panelu. Wygodne, ale jeśli ktoś przejmie konto administratora, może w ten sposób wstawić złośliwy kod. Tę możliwość można wyłączyć jedną linijką w pliku wp-config.php (to plik z ustawieniami strony). Wykonuje to osoba techniczna po zrobieniu kopii, a zapis wygląda tak:

define( 'DISALLOW_FILE_EDIT', true );

10. Dodaj firewall i monitoring

Firewall to strażnik przy wejściu na stronę: odsiewa podejrzany ruch, zanim dotrze do środka. Monitoring to czujnik, który od razu informuje o awarii lub nietypowych zmianach. Dzięki niemu o problemie dowiadujesz się Ty, a nie klienci.

Kiedy warto skorzystać z pomocy?

Jeśli nie masz czasu pilnować aktualizacji, nie jesteś pewien(-na), czy wszystko jest ustawione prawidłowo, albo widzisz niepokojące objawy, takie jak dziwne przekierowania, nieznane konta czy ostrzeżenia w przeglądarce, poproś o pomoc specjalistę. Zobacz, jak wygląda zabezpieczanie stron WWW oraz stała opieka nad WordPress w MAQ Enterprise.

Pamiętaj, że żadne zabezpieczenia nie dają stuprocentowej gwarancji. Ich celem jest wyraźne zmniejszenie ryzyka i możliwość szybkiego przywrócenia strony, gdy coś pójdzie nie tak.

O autorze artykułu

Autor artykułu Paweł Makulski Od 2012 roku zajmuje się bezpieczeństwem stron WordPress i SEO. Posiada certyfikat bezpieczeństwa Google. Na co dzień pomaga firmom tak prowadzić strony internetowe, by były szybkie, bezpieczne i dobrze widoczne w wyszukiwarkach, a trudne zagadnienia techniczne tłumaczy zwykłym językiem.