Aktualizacja: lipiec 2026
WordPress napędza ponad 40% stron internetowych na świecie. Niestety, jego popularność sprawia, że jest także pierwszym celem dla cyberprzestępców - a od kiedy narzędzia oparte o AI skanują sieć i wykorzystują świeżo opublikowane luki w ciągu godzin, a nie tygodni, margines na zaniedbania praktycznie zniknął.
W naszej agencji regularnie sprzątamy skutki włamań na strony oparte na WordPressie. W tym artykule zebraliśmy kroki, które realnie zamykają najczęstsze drogi ataku. Jeżeli Twoja strona już została zaatakowana, zacznij od poradnika o usuwaniu wirusów z WordPressa, a tutaj wróć po zabezpieczenia na przyszłość.
1. Regularne aktualizacje (także automatyczne)
Brak aktualizacji systemu, wtyczek i motywów to wciąż przyczyna numer jeden włamań na strony WordPress. Aktualizacje nie tylko wprowadzają nowe funkcje - przede wszystkim łatają luki w zabezpieczeniach. Tempo gry jednak się zmieniło: exploity do świeżo opublikowanych podatności powstają dziś w godziny, bo szukają ich zautomatyzowane narzędzia AI. Pisaliśmy o tym szerzej w artykule "AI znajduje luki w sekundy". Miesięczny cykl aktualizacji to dziś absolutne minimum, a krytyczne łatki bezpieczeństwa warto instalować niezwłocznie.
Co możesz zrobić?
- Regularnie aktualizuj rdzeń WordPressa, motywy i wszystkie zainstalowane wtyczki - minimum raz w miesiącu
- Włącz automatyczne aktualizacje drobnych wersji WordPressa (są domyślnie aktywne - nie wyłączaj ich) i rozważ automatyczne aktualizacje dla zaufanych, kluczowych wtyczek bezpieczeństwa
- Krytyczne łatki instaluj poza cyklem, od razu po publikacji
- Skorzystaj ze wsparcia doświadczonej agencji, aby zautomatyzować proces i oszczędzić czas
Niestety aktualizacje nie zawsze przebiegają bezproblemowo. Niezgodność wersji PHP, konflikty wtyczek lub błędy po aktualizacji wykonanej po długiej przerwie potrafią popsuć stronę. W ramach Supportu WordPress aktualizujemy strony naszych klientów co miesiąc, zawsze z kopią zapasową i weryfikacją poprawności działania po zakończeniu prac.
2. Silne hasła i logowanie dwuetapowe
Słabe hasła to najprostsza droga do włamania. Ataki brute force, polegające na masowym zgadywaniu haseł, działają nieprzerwanie na praktycznie każdej stronie WordPress - widać je w logach każdej witryny, którą monitorujemy.
Samo silne hasło to jednak w 2026 roku za mało. Standardem powinno być logowanie dwuetapowe (2FA): nawet jeśli hasło wycieknie, na przykład przy włamaniu do innego serwisu, gdzie było używane to samo, atakujący nie zaloguje się bez drugiego składnika.
Co możesz zrobić?
- Używaj długich, unikalnych haseł - osobnych dla WordPressa, bazy danych, FTP i panelu hostingu
- Korzystaj z menedżera haseł do ich generowania i przechowywania
- Włącz logowanie dwuetapowe dla wszystkich kont z uprawnieniami administratora i redaktora (aplikacja TOTP, np. Google Authenticator, lub klucz sprzętowy)
- Ogranicz liczbę prób logowania (funkcja dostępna m.in. we wtyczce Wordfence)
3. Polityka wtyczek i motywów
Wtyczki odpowiadają za większość realnych włamań na strony WordPress - rdzeń systemu jest dziś dobrze pilnowany, ekosystem dodatków już niekoniecznie. Zagrożeniem są wtyczki porzucone przez twórców, źle napisane oraz pirackie kopie płatnych dodatków (tzw. nulled), które bardzo często zawierają wbudowany złośliwy kod.
Zamiast doraźnego instalowania, warto mieć prostą politykę wtyczek:
- Przed instalacją sprawdź: datę ostatniej aktualizacji (czerwona lampka powyżej 6 miesięcy), liczbę aktywnych instalacji i zgodność z aktualną wersją WordPressa
- Instaluj tylko z oficjalnego repozytorium lub bezpośrednio od zaufanych producentów
- Raz na kwartał rób przegląd: usuń wtyczki nieużywane i zduplikowane funkcjami - nieaktywna wtyczka na serwerze to wciąż potencjalna luka
- Nigdy nie używaj pirackich motywów i wtyczek
Strony, które tworzymy, ograniczają liczbę wtyczek do minimum, co dodatkowo zmniejsza pole ataku. Niestety regularnie przejmujemy strony, na których liczba aktywnych wtyczek przekracza 30, a część z nich wisi na serwerze po jednorazowych testach lub dawno zakończonej akcji marketingowej.
4. Zapora WAF
Web Application Firewall to filtr, który zatrzymuje złośliwy ruch, zanim dotrze do Twojej strony: próby wykorzystania znanych podatności, boty skanujące sieć i masowe ataki na formularz logowania. W praktyce WAF kupuje Ci czas - blokuje próby ataku na świeżą lukę, zanim zdążysz zainstalować łatkę.
W naszych wdrożeniach standardem jest zapora Cloudflare. Ruch przechodzi przez nią jeszcze przed serwerem, więc złośliwe zapytania są odcinane na przedpolu i nie obciążają strony - a przy okazji witryna zyskuje CDN, ochronę przed atakami DDoS i ukrycie prawdziwego adresu IP serwera.
Co możesz zrobić?
- Przepnij DNS przez Cloudflare i włącz tryb proxy - już darmowy plan daje realną warstwę ochrony przed botami i najpopularniejszymi atakami
- Uzupełnij o firewall aplikacyjny we wtyczce (np. Wordfence), który widzi kontekst samego WordPressa - obie warstwy się uzupełniają, a nie wykluczają
- Sprawdź, czy Twój hosting oferuje dodatkową zaporę po swojej stronie - dobrzy dostawcy mają ją w standardzie
5. Konfiguracja serwera i PHP
Nawet dobrze zabezpieczony WordPress nie obroni się na zaniedbanym serwerze. Wybór najtańszego hostingu bez podstawowych zabezpieczeń i praca na przestarzałej wersji PHP to luki, których nie załata żadna wtyczka.
Co możesz zrobić?
- Wybieraj hosting od renomowanych dostawców z zabezpieczeniami po stronie serwera - naszą rekomendacją jest DHosting
- Utrzymuj aktualną, wspieraną wersję PHP (gałąź 8.x) - starsze wersje nie otrzymują łatek bezpieczeństwa, a przy okazji nowe są po prostu szybsze
- Przy większej liczbie stron WordPress na jednym hostingu trzymaj je w osobnych folderach z separacją serwisów - infekcja jednej strony nie rozleje się wtedy na pozostałe
6. Certyfikat SSL
Certyfikat SSL szyfruje dane przesyłane między użytkownikiem a stroną, chroniąc loginy i hasła przed przechwyceniem. Punkt tak podstawowy, że zastanawialiśmy się, czy go zostawiać - ale wciąż spotykamy strony bez niego albo z błędną konfiguracją.
Co możesz zrobić?
- Upewnij się, że strona działa wyłącznie po HTTPS
- Sprawdź przekierowania: cała strona (razem z wersją bez www) powinna trafiać na jeden adres https - mieszanie wersji http i https to częsty błąd konfiguracji
- Większość dostawców hostingu, w tym DHosting, oferuje darmowe certyfikaty Let's Encrypt z automatycznym odnawianiem
7. Uprawnienia użytkowników
Zbyt wiele kont z uprawnieniami administratora to ryzyko, którego łatwo uniknąć. Każde konto admina to dodatkowe drzwi do strony - a im więcej drzwi, tym większa szansa, że któreś zostaną słabo zamknięte.
Co możesz zrobić?
- Przypisuj role zgodnie z rzeczywistymi potrzebami: redaktor nie potrzebuje uprawnień administratora, żeby publikować treści
- Rób okresowy przegląd listy użytkowników i usuwaj konta osób, które nie współpracują już z firmą - dotyczy to również kont byłych agencji i freelancerów
- Nadawaj dostępy imienne zamiast współdzielonych - w razie problemu wiesz, którędy nastąpiło włamanie
8. Kopie zapasowe
Nawet najlepiej zabezpieczona strona może paść ofiarą włamania. Kopia zapasowa to różnica między godzinnym przestojem a odbudową strony od zera.
Kluczowe jest miejsce przechowywania kopii. Regularnie spotykamy backupy zapisywane w plikach tej samej strony - przy ataku, który usuwa lub szyfruje pliki, znika również taka kopia. Backup musi żyć poza stroną: na osobnym koncie, innej maszynie lub w chmurze.
Co możesz zrobić?
- Ustal harmonogram kopii dopasowany do częstotliwości zmian na stronie (dla sklepów i stron z formularzami: codziennie)
- Przechowuj kopie poza serwerem strony - w chmurze lub na osobnym koncie hostingowym
- Raz na jakiś czas przetestuj odtwarzanie - kopia, której nikt nigdy nie próbował przywrócić, to tylko nadzieja, nie zabezpieczenie
W ramach naszego Wsparcia WordPress wykonujemy cotygodniowe kopie zapasowe przechowywane w zewnętrznych lokalizacjach.
9. Monitoring i alerty
Regularne monitorowanie strony za pomocą Google Search Console oraz wtyczek bezpieczeństwa, takich jak Wordfence, pozwala wykryć zagrożenie na wczesnym etapie - zanim zauważą je klienci albo Google oznaczy stronę jako niebezpieczną. GSC informuje o problemach z indeksowaniem i wykrytym złośliwym oprogramowaniu, Wordfence raportuje próby włamań i zmiany w plikach, a monitoring uptime wychwytuje niedostępność strony.
Co możesz zrobić?
- Podepnij stronę do Google Search Console i regularnie zaglądaj do sekcji Bezpieczeństwo
- Skonfiguruj Wordfence z powiadomieniami e-mail o próbach ataków i zmianach w plikach
- Dodaj monitoring uptime, aby wiedzieć o awarii przed klientami
Monitorowanie tych narzędzi pozwala szybko reagować, niestety bywa uciążliwe dla właścicieli firm niezwiązanych z tematem - trudno oddzielić pilne alerty od szumu, a tym bardziej podjąć właściwe działania naprawcze. W ramach pakietu Wsparcia WordPress monitorujemy wszystkie alerty i to my zgłaszamy się do Ciebie, kiedy naprawdę jest to potrzebne. W pakiecie Partner podejmujemy działania niezwłocznie w ramach ustalonych godzin.
10. Co zrobić, gdy strona już jest zainfekowana
Jeżeli widzisz przekierowania na obce strony, ostrzeżenia Google o złośliwym oprogramowaniu albo w wynikach wyszukiwania pod Twoją domeną pojawiają się obce treści - powyższa lista poczeka. Najpierw trzeba usunąć infekcję i jej przyczynę, dopiero potem zabezpieczać. Cały proces opisaliśmy krok po kroku w poradniku usuwania wirusów ze strony WordPress. Możesz też od razu napisać do nas - usuwamy infekcje i zabezpieczamy strony po ataku.
Podsumowanie
WordPress sam w sobie nie jest ani bezpieczny, ani niebezpieczny - o wszystkim decyduje sposób jego prowadzenia. Regularne aktualizacje, 2FA, rozsądna polityka wtyczek, zapora WAF, kopie poza serwerem i stały monitoring zamykają zdecydowaną większość realnych dróg ataku.
Jeśli wolisz, żeby ktoś pilnował tego za Ciebie, w ramach Supportu WordPress przejmujemy aktualizacje, kopie, monitoring i reakcję na incydenty - od 300 zł netto miesięcznie. Dotychczasowy bilans tej usługi: zero skutecznych włamań na stronach objętych opieką. Ty zajmujesz się biznesem, my stroną.
Najczęstsze pytania o bezpieczeństwo WordPressa
Czy WordPress jest bezpieczny?
Sam rdzeń WordPressa jest dziś dobrze zabezpieczony i szybko łatany. Zdecydowana większość włamań wynika z przestarzałych wtyczek, słabych haseł i braku aktualizacji - czyli z zaniedbań, które da się wyeliminować, a nie z wad samego systemu. Najlepszy dowód z naszej praktyki: ani jedna strona objęta naszym stałym supportem nie padła ofiarą skutecznego włamania. Wszystkie infekcje, które sprzątamy, to strony trafiające do nas już po ataku.
Jaka wtyczka najlepiej zabezpiecza stronę WordPress?
Najpopularniejsze i sprawdzone to Wordfence oraz Sucuri - obie łączą firewall, skaner malware i monitoring logowań. Trzeba jednak pamiętać, że wtyczka to element układanki, a nie całość: nie zastąpi aktualizacji, kopii zapasowych ani rozsądnych haseł.
Czy darmowy Wordfence wystarczy?
Dla większości mniejszych stron tak - pod warunkiem poprawnej konfiguracji firewalla i powiadomień. Wersja płatna otrzymuje nowe reguły zapory natychmiast (darmowa z 30-dniowym opóźnieniem), co ma znaczenie przy świeżych, aktywnie wykorzystywanych lukach. My łączymy firewall aplikacyjny z zaporą Cloudflare działającą jeszcze przed serwerem.
Jak często aktualizować WordPressa i wtyczki?
Minimum raz w miesiącu, a łatki krytyczne niezwłocznie po publikacji. Exploity do nowo ujawnionych podatności powstają dziś w ciągu godzin, więc strona aktualizowana raz na pół roku przez większość czasu stoi otworem.
Co zrobić, jeśli strona została już zhakowana?
Odciąć atakującym dostęp, wykonać kopię zainfekowanej wersji, wyczyścić pliki i bazę danych, a na końcu usunąć przyczynę włamania. Cały proces opisaliśmy w poradniku o usuwaniu wirusów z WordPressa. Możesz też zlecić to nam - czyścimy strony po atakach i zabezpieczamy je na przyszłość, ceny zaczynają się od 1600 zł netto.
Ile kosztuje stała opieka nad stroną WordPress?
Nasz pakiet Care, obejmujący comiesięczne aktualizacje, cotygodniowe kopie zapasowe i monitoring, kosztuje 300 zł netto miesięcznie. Pakiet Partner z zarezerwowanymi godzinami developera i priorytetową obsługą to 1200 zł netto miesięcznie. Szczegóły znajdziesz na stronie Supportu WordPress.
