1. Brak aktualizacji
To jeden z najczęstszych i najbardziej ryzykownych błędów. Przestarzałe wersje WordPressa, wtyczek i motywów to otwarte drzwi dla hakerów. Twórcy regularnie łatają luki, ale jeśli nie instalujesz aktualizacji, Twoja strona nadal jest narażona.
Więcej na ten temat znajdziesz w artykule dlaczego aktualizacje WordPressa są kluczowe dla ochrony witryny
2. Używanie domyślnego loginu „admin”
3. Słabe hasła
4. Brak wtyczki zabezpieczającej
5. Nieusunięte nieaktywne wtyczki i motywy
6. Brak kopii zapasowych
7. Brak certyfikatu SSL
8. Brak ograniczenia dostępu do panelu logowania
Jeśli każdy może próbować logować się do Twojego WordPressa bez ograniczeń, prędzej czy później pojawi się problem. Warto zablokować dostęp po kilku nieudanych próbach lub dodać uwierzytelnianie dwuetapowe.
9. Nieuważne korzystanie z darmowych wtyczek i motywów
10. Brak monitoringu strony
Jak sprawdzić, czy Twoja strona nie ma tych błędów?
Wystarczy krótki przegląd, który można zrobić samodzielnie w panelu WordPressa i u dostawcy hostingu:
- W zakładce Kokpit > Aktualizacje sprawdź, czy rdzeń, wtyczki i motywy mają aktualne wersje.
- W zakładce Użytkownicy przejrzyj konta z rolą administratora – usuń te, których nikt już nie używa, i sprawdź, czy żadne nie nazywa się „admin”.
- W zakładkach Wtyczki oraz Wygląd > Motywy usuń wszystko, co jest wyłączone.
- W zakładce Narzędzia > Zdrowie witryny przeczytaj zalecenia dotyczące bezpieczeństwa.
- W panelu hostingu sprawdź, kiedy powstała ostatnia kopia zapasowa, gdzie jest przechowywana i czy da się ją przywrócić.
- Otwórz stronę w przeglądarce i upewnij się, że adres zaczyna się od https, a przeglądarka nie wyświetla ostrzeżeń.
Co zrobić, gdy strona już została zainfekowana?
Objawy to najczęściej przekierowania na obce strony, nieznane konta administratorów, nowe pliki na serwerze, ostrzeżenia przeglądarki albo komunikat w raporcie Problemy dotyczące bezpieczeństwa w Google Search Console. W takiej sytuacji:
- zmień hasła do panelu WordPressa, hostingu, FTP i bazy danych;
- poinformuj dostawcę hostingu – wiele firm hostingowych pomaga w diagnozie i ma własne skanery;
- przywróć stronę z kopii zapasowej sprzed infekcji albo usuń złośliwy kod z pomocą specjalisty;
- po oczyszczeniu zaktualizuj wszystkie elementy i usuń lukę, przez którą doszło do ataku – inaczej problem wróci;
- jeśli Google oznaczył stronę jako niebezpieczną, po naprawie poproś o ponowne sprawdzenie w Search Console.
Jak często sprawdzać bezpieczeństwo strony?
Dostępne aktualizacje warto przeglądać co tydzień, a pełny przegląd kont, wtyczek i kopii zapasowych robić raz w miesiącu. Automatyczne skanowanie i monitoring dostępności powinny działać cały czas. Część właścicieli stron powierza te zadania firmie, która zajmuje się stałą opieką techniczną – wtedy warto ustalić na piśmie, co dokładnie obejmuje usługa i w jakim czasie wykonawca reaguje na incydent.
