Dlaczego WordPress jest atakowany — statystyki 2025/2026

WordPress obsługuje 43% wszystkich stron w internecie. Ta popularność czyni go głównym celem ataków:

Warstwa 1: Hosting i serwer KRYTYCZNA

Bezpieczeństwo zaczyna się na serwerze — jeśli serwer jest słabo skonfigurowany, żadna wtyczka WP nie pomoże.

Co powinien oferować bezpieczny hosting:

Warstwa 2: WordPress core — aktualizacje i hardening KRYTYCZNA

Automatyczne aktualizacje:

WordPress od wersji 5.6 obsługuje automatyczne aktualizacje. Konfiguracja w Plesk WordPress Toolkit:

• ✅ Minor updates (6.7.1 → 6.7.2) — automatycznie (bezpieczeństwo)
• ⚠️ Major updates (6.7 → 6.8) — ręcznie po testach (mogą zmienić funkcjonalność)
• ✅ Wtyczki — automatyczne aktualizacje (włącz w WP-admin → Wtyczki)
• ✅ Motywy — automatyczne aktualizacje

Hardening wp-config.php:

// Wyłącz edycję plików z panelu WP
define('DISALLOW_FILE_EDIT', true);

// Wymuś SSL w panelu admina
define('FORCE_SSL_ADMIN', true);

// Ogranicz rewizje postów
define('WP_POST_REVISIONS', 5);

// Wyłącz tryb debugowania na produkcji
define('WP_DEBUG', false);

// Zmień prefix tabel (przy nowej instalacji)
$table_prefix = 'wp_x7k_';

Hardening .htaccess (Apache):

# Chroń wp-config.php
<Files wp-config.php>
  Order Allow,Deny
  Deny from all
</Files>

# Wyłącz listowanie katalogów
Options -Indexes

# Chroń .htaccess
<Files .htaccess>
  Order Allow,Deny
  Deny from all
</Files>

# Blokuj dostęp do xmlrpc.php
<Files xmlrpc.php>
  Order Allow,Deny
  Deny from all
</Files>

Warstwa 3: Logowanie i autoryzacja WYSOKA

Silne hasła i 2FA:

• Hasło admina: minimum 16 znaków, losowe (manager haseł: Bitwarden, 1Password)
• 2FA (Two-Factor Authentication): Wtyczka WP 2FA lub Two Factor Authentication — TOTP (Google Authenticator, Authy)
• Zmień login „admin" — ataki brute force celują w login „admin" jako pierwszy
• Ogranicz próby logowania: Wtyczka Limit Login Attempts Reloaded — po 5 nieudanych próbach blokuj IP na 15 min

Ukryj stronę logowania:

Domyślny URL /wp-admin i /wp-login.php jest znany każdemu. Zmień go wtyczką WPS Hide Login na niestandardowy URL, np. /moje-logowanie-xyz.

Ograniczenie dostępu do wp-admin po IP:

Jeśli logujesz się zawsze z tego samego IP (biuro, VPN), dodaj do .htaccess w katalogu wp-admin:

# Ogranicz wp-admin do konkretnych IP
<Files wp-login.php>
  Order Deny,Allow
  Deny from all
  Allow from 123.45.67.89
  Allow from 98.76.54.32
</Files>

Warstwa 4: Wtyczki i motywy WYSOKA

52% ataków na WordPress to exploity podatnych wtyczek. Zasady bezpieczeństwa:

• ✅ Instaluj tylko z oficjalnego repozytorium WordPress.org lub od zaufanych deweloperów
• ✅ Sprawdź datę ostatniej aktualizacji — jeśli >6 miesięcy, szukaj alternatywy
• ✅ Sprawdź liczbę instalacji — popularne wtyczki są lepiej audytowane
• ✅ Czytaj changelog i logi bezpieczeństwa przed aktualizacją
• ❌ NIGDY nie używaj nulled (pirackich) wtyczek premium — 100% zawiera backdoor
• ❌ Nie zostawiaj nieaktywnych wtyczek — dezinstaluj to, czego nie używasz
• ❌ Nie używaj wtyczek z mniej niż 1000 instalacji bez sprawdzenia kodu

Warstwa 5: Firewall (WAF) WYSOKA

Web Application Firewall filtruje ruch HTTP i blokuje złośliwe żądania zanim dotrą do WordPress.

Warstwy WAF:

Warstwa 6: Monitoring i skanowanie ŚREDNIA

Nawet z najlepszymi zabezpieczeniami powinieneś monitorować stronę pod kątem zmian i anomalii:

Co monitorować:

• Integralność plików — Wordfence skanuje pliki WP core i porównuje z oryginałami
• Malware — regularne skany (Wordfence, Sucuri SiteCheck, Imunify360)
• Zmiany w plikach — alerting o nowych/zmodyfikowanych plikach PHP
• Uptime monitoring — UptimeRobot (darmowy, 5 min interwał) lub Hetrixtools
• Logi dostępu — Wordfence Live Traffic lub logi serwera (Plesk → Logi)
• Google Search Console — alert o problemach bezpieczeństwa (malware, phishing)
• Blacklist monitoring — Sucuri SiteCheck sprawdza listę Google Safe Browsing

Harmonogram skanowania:

Warstwa 7: Backup i disaster recovery KRYTYCZNA

Backup to Twoja ostatnia linia obrony. Gdy wszystko inne zawiedzie — backup pozwala przywrócić stronę do czystego stanu.

Strategia backup 3-2-1:

• 3 kopie danych (oryginał + 2 kopie zapasowe)
• 2 różne nośniki (serwer + chmura np. Google Drive)
• 1 kopia off-site (poza serwerem, poza datacenter)

Co backupować:

Checklist bezpieczeństwa — 20 punktów