Bezpieczeństwo WordPress dla początkujących – poradnik

Większość ataków na strony WordPress nie ma nic wspólnego z hakerem, który wybrał akurat Twoją firmę. To automaty: skrypty przeczesujące miliony adresów w poszukiwaniu znanej luki w konkretnej wtyczce albo hasła „firma2024”. Dobra wiadomość jest taka, że przed automatem chroni kilka nawyków, a nie drogie narzędzia. Poniżej te, które stosuję na każdej stronie, którą się opiekuję.

Skąd biorą się włamania

Z mojego doświadczenia przy usuwaniu wirusów źródła powtarzają się w tej samej kolejności:

1. Przestarzała wtyczka albo motyw z publicznie znaną luką. Od publikacji poprawki do pierwszych masowych ataków mijają czasem godziny.
2. Słabe albo powtórzone hasło administratora, często to samo co do poczty.
3. Wtyczki i motywy z nieoficjalnych źródeł („nulled”) – w cenie zerowej jest zwykle wbudowany backdoor.
4. Zaniedbany hosting: stara wersja PHP, brak izolacji między stronami na jednym koncie.
5. Brak kopii zapasowej, przez co drobny incydent zamienia się w katastrofę.

Aktualizacje – regularnie, ale po wykonaniu kopii

Aktualizacje zamykają luki, więc odkładanie ich „na spokojniejszy moment” to najdroższy nawyk. Jednocześnie aktualizacja bez kopii zapasowej potrafi zepsuć stronę. Zasada jest prosta: kopia, potem aktualizacja, potem sprawdzenie strony – formularz, koszyk, najważniejsze podstrony.

Automatyczne aktualizacje rdzenia dla wersji poprawkowych warto zostawić włączone. Wtyczki aktualizuję ręcznie, w partiach, bo wtedy wiem, która zmiana coś zepsuła. Przy sklepach i większych serwisach robię to najpierw na kopii testowej.

Logowanie

• Hasło: długie, unikalne, z menedżera haseł. Nie to samo, co do poczty czy banku.
• Dwuskładnikowe logowanie (2FA) dla każdego konta administratora – kod z aplikacji na telefonie. To jedna zmiana, która eliminuje większość ataków słownikowych.
• Limit prób logowania – po kilku nieudanych próbach adres jest blokowany na kilkanaście minut.
• Login inny niż „admin” i osobne konta dla osób, które faktycznie pracują na stronie, z rolą Redaktor zamiast Administrator, jeżeli tylko publikują treści.
• Zmiana adresu logowania (/wp-login.php) daje niewiele – automaty i tak trafiają przez inne wejścia – ale ogranicza szum w logach.

Kopie zapasowe

Kopia zapasowa nie zapobiega włamaniu, ale decyduje o tym, ile ono kosztuje. Bez kopii czyszczenie zainfekowanej strony to godziny szukania obcych plików; z kopią – przywrócenie i zamknięcie luki.

Zasady, które stosuję: kopia całej strony (pliki i baza) co najmniej raz dziennie, zapis poza serwerem strony (dysk w chmurze, inny serwer), zachowane minimum 30 dni wstecz i – najważniejsze – test przywracania raz na kwartał. Kopia, której nikt nigdy nie przywrócił, jest tylko obietnicą. Więcej o narzędziach w tekście o wtyczkach do kopii zapasowych.

Wtyczki i motywy

Każda wtyczka to kod, który ktoś musi utrzymywać. Przed instalacją sprawdź, kiedy była ostatnia aktualizacja, ile ma aktywnych instalacji i czy jest zgodna z aktualną wersją WordPressa. Wtyczka nierozwijana od roku to luka, która czeka na odkrycie.

Usuwaj wtyczki i motywy, których nie używasz – wyłączona wtyczka nadal leży na serwerze i nadal może zostać wykorzystana do ataku. Na stronie firmowej rzadko potrzeba więcej niż kilkunastu wtyczek.

Hosting i konfiguracja

• Aktualna wersja PHP – stare wersje nie dostają poprawek bezpieczeństwa.
• Certyfikat SSL i wymuszone https:// na wszystkich adresach.
• Zapora (WAF) – na poziomie hostingu albo przez Cloudflare; odcina większość automatycznych prób, zanim dotrą do WordPressa.
• Wyłączona edycja plików z panelu (DISALLOW_FILE_EDIT w wp-config.php) – po przejęciu konta włamywacz nie ma gotowego edytora kodu.
• Wyłączony XML-RPC, jeżeli nie korzystasz z aplikacji mobilnej ani Jetpacka.
• Osobne konto hostingowe dla każdej strony – jeżeli na jednym koncie leży pięć stron, infekcja jednej zwykle przenosi się na wszystkie.

Monitoring i reagowanie

Wszystkie serwisy pod moją opieką mają wdrożoną integrację z Patchstack – usługą, która na bieżąco porównuje zainstalowane wtyczki i motywy z bazą znanych podatności, ostrzega o każdej wykrytej luce i nakłada wirtualną łatkę blokującą próby jej wykorzystania, zanim autor wyda poprawkę. Szczegóły działania opisuje producent na patchstack.com. Do tego dochodzi zewnętrzny monitoring dostępności, który da znać, gdy strona przestanie odpowiadać albo zacznie przekierowywać w obce miejsca. Jeżeli stroną nikt się nie opiekuje, dobre nawyki uzupełnia jedna wtyczka bezpieczeństwa ze skanerem plików i powiadomieniami (porównuję je w osobnym tekście o wtyczkach zabezpieczających) – pamiętaj tylko, że taka wtyczka to również kod z własnymi lukami, więc wymaga aktualizacji jak każda inna.

Jeżeli widzisz obce reklamy, przekierowania, nieznane konta administratora albo ostrzeżenie Google przed stroną – nie kasuj niczego na ślepo. Zrób kopię obecnego stanu (będzie potrzebna do analizy), zmień hasła do WordPressa, hostingu i poczty, a potem czyść stronę albo oddaj ją komuś, kto robi to regularnie. Wiem z praktyki, że w jednym ze sklepów atak zaczął się od luki w rdzeniu WordPressa, a skończył na skrypcie podmieniającym dane kart płatniczych – im szybciej reakcja, tym mniejsza szkoda.

Jeśli nie masz czasu pilnować tego wszystkiego samodzielnie, to właśnie jest zakres stałej opieki nad stroną: aktualizacje po kopii, monitoring, skany i reakcja na incydenty.