Bezpieczeństwo WordPress
Zabezpiecz witrynę przed atakami i przejęciem.
⏱ 1 min czytania
Podstawy
- Aktualizuj rdzeń, motywy i wtyczki.
- Używaj silnych haseł i 2FA do panelu.
- Instaluj wtyczki tylko z zaufanych źródeł.
Ochrona logowania i plików
Ogranicz próby logowania i rozważ zmianę domyślnego adresu /wp-admin. Dostęp do wp-config.php zablokujesz w pliku .htaccess w katalogu strony (public_html):
# Zablokuj dostęp do wp-config.php
<Files wp-config.php>
Require all denied
</Files>Wykonywanie PHP w katalogu uploads wyłączysz osobnym plikiem .htaccess w wp-content/uploads (dyrektywa <Directory> nie działa w .htaccess i kończy się błędem 500):
# wp-content/uploads/.htaccess
<FilesMatch "\.php$">
Require all denied
</FilesMatch>WAF na hostingu dodatkowo blokuje typowe ataki.
Kopie zapasowe
Włącz automatyczne kopie zapasowe — w razie problemu przywrócisz stronę w kilka minut.
Po włamaniu
Jeśli podejrzewasz włamanie, zmień hasła, przywróć czystą kopię i zaktualizuj wszystkie komponenty.
Najczęstsze pytania
Jak zabezpieczyć plik wp-config.php?
Ustaw uprawnienia 600 i zablokuj dostęp z sieci regułą w .htaccess (Require all denied). Plik zawiera dane bazy, więc nie powinien być publicznie dostępny.
Podejrzewam, że stronę zhakowano — co zrobić najpierw?
Zmień wszystkie hasła (WordPress, baza, FTP), przywróć czystą kopię zapasową sprzed infekcji i zaktualizuj rdzeń oraz wszystkie wtyczki i motywy.