Jak zabezpieczyć stronę WordPress przed atakami? Regularnie aktualizuj rdzeń, wtyczki i motyw, usuń nieużywane dodatki, włącz logowanie dwuskładnikowe (2FA) i limit prób logowania, wymuś HTTPS oraz rób codzienną kopię zapasową przechowywaną poza serwerem. To ważniejsze niż jakakolwiek „magiczna” wtyczka, bo luki dotyczą głównie dodatków, a nie samego systemu: według Patchstack w 2025 r. 91% nowych podatności w ekosystemie WordPressa wykryto we wtyczkach, a w rdzeniu tylko 6. Dobrze zabezpieczona strona to przede wszystkim strona regularnie serwisowana – w Devisu robimy to w ramach administracji stron i sklepów.
W skrócie
- Według raportu Patchstack w 2025 r. wykryto 11 334 nowe podatności w ekosystemie WordPressa – 91% we wtyczkach, 9% w motywach, a w samym rdzeniu tylko 6.
- Dlatego podstawą ochrony są aktualizacje, usuwanie zbędnych wtyczek, logowanie dwuskładnikowe (2FA), limit prób logowania i codzienna kopia zapasowa przechowywana poza serwerem.
- Jednorazowy audyt z wdrożeniem zabezpieczeń kosztuje na rynku zwykle 800–2 500 zł netto, a usunięcie skutków włamania 1 000–4 000 zł netto.
Czym jest zabezpieczenie strony WordPress i przed czym chroni?
Zabezpieczenie strony WordPress to proces ciągły, nie jednorazowa czynność. Chroni przed trzema typami strat: utratą danych (usunięte treści, baza klientów), utratą reputacji (wstrzyknięty spam, przekierowania do stron hazardowych) oraz utratą widoczności w Google — zainfekowana witryna bardzo szybko trafia na listę stron oznaczanych jako niebezpieczne, a odzyskanie pozycji zajmuje tygodnie.
WordPress napędza blisko 40% wszystkich stron w internecie (39,6% według W3Techs, październik 2026), co czyni go najczęstszym celem zautomatyzowanych botów. Boty nie wybierają ofiar — skanują całe zakresy adresów IP i próbują wykorzystać znane, opublikowane podatności. Dlatego mała strona lokalnej firmy z Bielska-Białej jest atakowana dokładnie tak samo często jak duży portal branżowy.
Jakie są najczęstsze rodzaje ataków na WordPressa?
Dominują cztery scenariusze. Atak brute force polega na masowym zgadywaniu haseł do formularza wp-login.php. SQL injection i XSS wykorzystują błędy walidacji danych w słabo napisanych wtyczkach. Backdoor to ukryty plik PHP pozostawiony po włamaniu, który pozwala wrócić na stronę nawet po zmianie haseł. Czwarty scenariusz to atak przez porzuconą wtyczkę — kod, którego autor przestał rozwijać, a który nadal działa na tysiącach witryn. Skala problemu jest duża: Patchstack odnotował w 2025 r. 11 334 nowe podatności w ekosystemie WordPressa, a 46% z nich nie miało poprawki w chwili publicznego ujawnienia.
Jak zabezpieczyć stronę WordPress krok po kroku?
Skuteczne zabezpieczenie sprowadza się do dziesięciu konkretnych kroków, które można wdrożyć w jeden dzień roboczy. Poniżej kolejność od działań o najwyższym wpływie do uzupełniających.
- Zaktualizuj rdzeń, wtyczki i motyw. Nie wyłączaj automatycznych aktualizacji rdzenia (WordPress ma je od wersji 3.7) i ręcznie przeglądaj aktualizacje wtyczek co najmniej raz w tygodniu.
- Usuń nieużywane wtyczki i motywy. Nieaktywna wtyczka nadal zawiera pliki PHP dostępne z zewnątrz — dezaktywacja nie wystarczy, trzeba ją odinstalować.
- Włącz uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich kont z rolą Administrator i Redaktor.
- Ogranicz liczbę prób logowania do 3–5 na adres IP i zmień domyślny adres panelu logowania.
- Usuń konto o loginie „admin” i upewnij się, że nazwa użytkownika różni się od widocznej nazwy autora wpisów.
- Wymuś HTTPS certyfikatem SSL i przekierowaniem 301 z wersji HTTP.
- Ustaw poprawne uprawnienia plików — katalogi 755, pliki 644, a plik konfiguracyjny
wp-config.php400 lub 440, tak by czytać go mógł tylko właściciel i serwer WWW (zalecenie dokumentacji WordPressa). - Zablokuj wykonywanie PHP w katalogu z plikami wgrywanymi przez użytkowników regułą w pliku
.htaccess. To jeden z najskuteczniejszych sposobów neutralizacji backdoorów. - Uruchom zaporę aplikacyjną (WAF) — wtyczkową lub na poziomie DNS, na przykład w warstwie CDN.
- Skonfiguruj codzienną kopię zapasową plików i bazy danych, przechowywaną w innej lokalizacji niż serwer strony, z retencją minimum 30 dni.
Ważny warunek wstępny: część z tych ustawień zależy od jakości środowiska serwerowego. Jeżeli hosting nie pozwala na izolację kont, aktualną wersję PHP czy automatyczne snapshoty, warto najpierw rozważyć profesjonalny hosting dla stron i sklepów. Pomocny będzie też nasz poradnik opisujący, jak wybrać hosting dla strony firmowej.
Które zabezpieczenia dają największy efekt przy najmniejszym nakładzie?
Nie wszystkie działania są równie opłacalne. Poniższa tabela porządkuje je według stosunku skuteczności do czasu wdrożenia.
| Zabezpieczenie | Czas wdrożenia | Skuteczność | Przed czym chroni |
|---|---|---|---|
| Regularne aktualizacje | 15 min tygodniowo | Bardzo wysoka | Znane podatności wtyczek i motywów |
| 2FA dla administratorów | 20 minut | Bardzo wysoka | Brute force, wycieki haseł |
| Kopie zapasowe poza serwerem | 30 minut | Wysoka (naprawcza) | Ransomware, usunięcie danych, błąd ludzki |
| Blokada PHP w katalogu uploads | 10 minut | Wysoka | Backdoory, wgrane powłoki PHP |
| WAF / zapora aplikacyjna | 1–2 godziny | Średnio-wysoka | SQL injection, XSS, boty skanujące |
| Ukrycie adresu logowania | 10 minut | Średnia | Automatyczne ataki słownikowe |
Wniosek jest jednoznaczny: pierwsze trzy pozycje wymagają łącznie około godziny pracy miesięcznie i odpowiadają za większość realnej ochrony. Dopiero na tej bazie ma sens rozbudowa o WAF i monitoring integralności plików.
Ile kosztuje zabezpieczenie strony WordPress?
Typowe widełki rynkowe w 2026 roku wyglądają tak:
| Usługa | Typowy koszt netto | Charakter |
|---|---|---|
| Audyt bezpieczeństwa z wdrożeniem zabezpieczeń | 800–2 500 zł | Jednorazowo |
| Podstawowa opieka (aktualizacje, kopie, monitoring) | od ok. 150 zł miesięcznie | Abonament |
| Usunięcie skutków włamania | 1 000–4 000 zł | Jednorazowo, przy sklepie więcej |
Porównując oferty, sprawdź, co obejmuje abonament: same aktualizacje czy także testy na kopii, kopie zapasowe i reakcję na incydenty. Pakiet administracji w Devisu zaczyna się od 800 zł netto miesięcznie i obejmuje regularne aktualizacje systemu, monitorowanie bezpieczeństwa i podstawową administrację, a większe pakiety także optymalizację wydajności i bieżące wsparcie.
Proporcja jest więc typowa dla całej branży IT: prewencja kosztuje kilkukrotnie mniej niż naprawa. Do rachunku warto doliczyć koszt ukryty — dni, w których strona jest niedostępna lub oznaczona ostrzeżeniem w wynikach wyszukiwania, oznaczają brak zapytań ofertowych i spadek pozycji, których odbudowa wymaga osobnych działań w ramach pozycjonowania SEO i SEM.
W Devisu prowadzimy administrację stron i sklepów internetowych w modelu abonamentowym — aktualizacje wykonujemy najpierw na kopii testowej, a dopiero po weryfikacji wdrażamy na produkcję. Dla firm, które nie mają własnego działu IT, łączymy tę usługę z szerszym outsourcingiem IT.
Co zrobić, gdy strona WordPress została zhakowana?
Działaj w ustalonej kolejności — improwizacja zwykle pogarsza sytuację. Najpierw włącz tryb konserwacji, aby ograniczyć szkody dla odwiedzających. Następnie zmień wszystkie hasła: do WordPressa, FTP/SFTP, bazy danych i panelu hostingu. Przywróć kopię zapasową sprzed daty infekcji, a jeśli jej nie masz — wykonaj pełny skan plików i porównaj rdzeń z oryginalnymi paczkami pobranymi z wordpress.org.
Kolejny krok to usunięcie backdoorów: przeszukaj katalogi z plikami wgrywanymi przez użytkowników oraz katalog wtyczek obowiązkowych pod kątem plików PHP, których tam być nie powinno. Na końcu zgłoś stronę do ponownej weryfikacji w Google Search Console i przez kilka tygodni monitoruj logi serwera. Bez tego ostatniego kroku ostrzeżenie w wynikach wyszukiwania może utrzymywać się długo po faktycznym usunięciu złośliwego kodu.
Jeżeli przy okazji odbudowy witryny rozważasz jej modernizację, sprawdź, jak podchodzimy do projektowania stron internetowych, a także jak zadbać o wydajność po zmianach — opisaliśmy to we wpisie o tym, jak przyspieszyć stronę WordPress i poprawić Core Web Vitals.
Potrzebujesz opieki nad swoją stroną?
Jeśli nie chcesz samodzielnie pilnować aktualizacji, kopii zapasowych i logów — przejmiemy to za Ciebie. Zespół Devisu z Bielska-Białej od lat prowadzi strony i sklepy WordPress w modelu abonamentowym, z testowaniem zmian przed wdrożeniem i szybką reakcją na incydenty. Skontaktuj się z nami i porozmawiajmy o zakresie opieki dopasowanym do Twojej witryny. Możesz też zobaczyć nasze realizacje w portfolio.
Najczęściej zadawane pytania (FAQ)
Dla prostej strony wizytówki darmowa wtyczka bezpieczeństwa zapewnia sensowne minimum: limit prób logowania, 2FA i skan plików. Nie zastąpi jednak regularnych aktualizacji ani kopii zapasowych trzymanych poza serwerem. Przy sklepie lub stronie przetwarzającej dane osobowe warto rozważyć wersję płatną z bieżąco aktualizowaną bazą sygnatur zagrożeń.
Poprawki bezpieczeństwa wdrażaj w ciągu 24–72 godzin od publikacji, bo opis luki jest już wtedy jawny i boty zaczynają ją wykorzystywać. Pozostałe aktualizacje wystarczy przeglądać raz w tygodniu. Zawsze testuj je najpierw na kopii strony, zwłaszcza w sklepach z rozbudowanymi integracjami.
Nie. Certyfikat SSL szyfruje transmisję między przeglądarką a serwerem, więc chroni np. hasło wpisywane w formularzu logowania przed podsłuchaniem. Nie ma wpływu na podatności wtyczek, siłę haseł czy uprawnienia plików – jest standardem, ale tylko jednym z elementów ochrony.
Usunięcie złośliwego kodu, wyczyszczenie backdoorów i zgłoszenie strony do ponownej weryfikacji w Google to typowo 1 000–4 000 zł netto, zależnie od skali infekcji i wielkości witryny. Jeżeli dostępna jest czysta kopia zapasowa, koszt zwykle spada poniżej 1 000 zł, bo praca ogranicza się do przywrócenia danych i uszczelnienia luki.
Nie – bezpieczeństwo to proces. Tylko w 2025 r. Patchstack odnotował ponad 11 tys. nowych podatności we wtyczkach i motywach, a 46% z nich nie miało poprawki w chwili ujawnienia. Witryna nieaktualizowana od roku jest więc realnie zagrożona; najtańszy model to stały, comiesięczny cykl aktualizacji, kopii i przeglądu logów.
07 / 10 / 2026
