Czy Twoja strona na WordPressie jest bezpieczna? Prawdopodobnie nie wiesz. I to akurat nic dziwnego, bo strona może wyglądać zupełnie normalnie, a mimo to mieć nieaktualną wtyczkę, zero kopii zapasowej albo dawno wygasły certyfikat, o którym nikt nie pamiętał. W poprzednim artykule tłumaczyłem, dlaczego boty w ogóle atakują małe, mało znane strony. Tutaj nie będę tego powtarzał. Zamiast tego przechodzimy od razu do konkretów: 8 punktów, które możesz sam sprawdzić w kilkanaście minut, żeby wiedzieć na czym stoisz, zamiast się tylko domyślać.

Wersja PHP i aktualizacje rdzenia, wtyczek, motywu

Zacznij od tego, bo to najczęstsza przyczyna włamań. Nie rdzeń WordPressa, tylko właśnie wtyczki i motywy, które ktoś kiedyś zainstalował i o nich zapomniał.

Jak sprawdzić: wejdź w Kokpit WordPressa, potem „Narzędzia” i „Stan witryny”. Zobaczysz tam aktualną wersję PHP, którą obsługuje Twój hosting. Jeśli nie masz tej opcji (starsza instalacja WP), wejdź w panel swojego hostingu, tam zwykle jest sekcja „Wersje PHP” albo „PHP Selector”. Aktualizacje wtyczek i motywu sprawdzisz jeszcze prościej, po lewej stronie w menu Kokpitu przy pozycjach „Wtyczki” i „Motywy” pojawia się czerwona liczba, jeśli coś czeka na aktualizację.

Co zrobić, jeśli nie zdaje: zaktualizuj wtyczki i motyw najpierw, dopiero potem PHP, bo stara wtyczka może po prostu nie działać z nowszą wersją PHP. Jeśli masz płatności online albo formularze, które są dla Ciebie krytyczne, zrób to na spokojnie i najlepiej z kopią zapasową pod ręką (o niej za chwilę).

Certyfikat SSL i wymuszone HTTPS

To ten punkt, który sprawdzisz najszybciej ze wszystkich.

Jak sprawdzić: wejdź na swoją stronę i spójrz na pasek adresu w przeglądarce. Powinna tam być kłódka, a adres powinien zaczynać się od „https”, nie „http”. Sprawdź też, czy wpisanie adresu bez „s” na końcu (czyli po prostu http://twojadomena.pl) automatycznie przekierowuje Cię na wersję z https. Jeśli nie przekierowuje, część ruchu i tak może trafiać na niezabezpieczoną wersję strony.

Co zrobić, jeśli nie zdaje: większość hostingów w Polsce dziś daje darmowy certyfikat SSL (Let’s Encrypt) praktycznie od ręki, z panelu klienta. Jeśli certyfikat jest, ale przekierowanie nie działa, to zwykle drobna poprawka w ustawieniach WordPressa albo pliku .htaccess, nie duży projekt.

Ochrona panelu logowania

Panel logowania to pierwsze miejsce, w które uderzają automaty. Nie dlatego, że akurat Twoja strona jest kimś zainteresowana, tylko dlatego, że adres logowania w WordPressie jest domyślnie taki sam wszędzie.

Jak sprawdzić: wejdź na twojadomena.pl/wp-admin. Jeśli to działa bez żadnej dodatkowej przeszkody, masz dokładnie taki sam punkt wejścia jak miliony innych stron na WordPressie. Sprawdź też, czy w WordPressie istnieje konto użytkownika o nazwie „admin”. Zrobisz to w „Użytkownicy” w Kokpicie.

Co zrobić, jeśli nie zdaje: włącz limit prób logowania (większość wtyczek bezpieczeństwa robi to od razu po instalacji) i, jeśli to możliwe, dwuskładnikowe logowanie (2FA) przynajmniej dla konta administratora. Jeśli masz konto „admin”, zmień jego nazwę albo załóż nowe konto z inną nazwą i usuń stare. Silne, unikalne hasło to podstawa, ale samo hasło już dziś nie wystarczy, bo boty coraz częściej próbują haseł wyciekniętych z zupełnie innych serwisów, nie zgadują ich od zera.

Kopia zapasowa

To jedyny punkt na tej liście, który nie chroni Cię przed atakiem, tylko przed jego skutkami. I paradoksalnie jest jednym z najczęściej pomijanych.

Jak sprawdzić: zajrzyj do panelu hostingu albo wtyczki do backupu (jeśli taką masz) i sprawdź dwie rzeczy. Po pierwsze, czy backup robi się automatycznie i regularnie, nie ręcznie „od czasu do czasu, jak sobie przypomnę”. Po drugie, czy kiedykolwiek próbowałeś go realnie przywrócić, choćby na próbę. Backup, którego nikt nie przetestował, bywa niespodzianką w najgorszym możliwym momencie.

Co zrobić, jeśli nie zdaje: włącz automatyczny backup w panelu hostingu (większość ma to wbudowane) i, jeśli się da, ustaw kopię przechowywaną poza serwerem, na którym stoi strona. Jeśli backup nigdy nie był testowany, zrób próbne przywrócenie chociaż raz, żeby wiedzieć, że działa.

Skan pod kątem złośliwego oprogramowania

Do tego punktu potrzebujesz dwóch darmowych narzędzi, żadne z nich nie wymaga instalacji ani konta.

Jak sprawdzić: wejdź na Sucuri SiteCheck i wklej adres swojej strony. Narzędzie skanuje ją pod kątem wirusów, spamu i uszkodzonego kodu, a przy okazji sprawdza, czy Twoja domena nie trafiła na jakąś czarną listę, w tym listę Google. Drugie narzędzie, WPScan, sprawdza konkretnie WordPressa, czyli czy Twoja wersja rdzenia, wtyczek i motywu ma znane, udokumentowane luki bezpieczeństwa. Jeśli nie masz narzędzia pod ręką, sygnałem ostrzegawczym bywa też nagły, niewytłumaczony spadek ruchu albo pozycji w Google, to częsty objaw infekcji, której gołym okiem nie widać.

Co zrobić, jeśli nie zdaje: jeśli skan pokaże infekcję albo lukę bezpieczeństwa, to jest moment, w którym samodzielne majsterkowanie robi więcej szkody niż pożytku. Usunięcie malware wymaga wiedzy o tym, gdzie dokładnie ono siedzi, bo pół-udolne czyszczenie zwykle zostawia furtkę na kolejny raz.

Raport bezpieczeństwa w Google Search Console

Jeśli masz podpiętą Search Console (a warto, niezależnie od bezpieczeństwa), Google sam Cię ostrzeże, zanim jeszcze cokolwiek zauważysz.

Jak sprawdzić: w Search Console, w menu po lewej, znajdziesz zakładki „Problemy z bezpieczeństwem” i „Działania ręczne„. Jeśli obie są puste, to dobry znak, Google nie wykrył u Ciebie malware ani spamu, ani nie nałożył żadnej kary manualnej.

Co zrobić, jeśli nie zdaje: jeśli którakolwiek zakładka pokazuje problem, Google zwykle opisuje dokładnie, co znalazł i na jakich podstronach. To dobry punkt startowy do naprawy, ale sama naprawa infekcji to już praca dla kogoś, kto robi to nie pierwszy raz.

Co dalej, jeśli któryś punkt nie zdał

Część z tych rzeczy naprawisz sam, za darmo, w kwadrans. Aktualizacja wtyczek, włączenie SSL, zmiana hasła, wymuszenie 2FA, ustawienie automatycznego backupu. To wszystko robi się z poziomu Kokpitu WordPressa albo panelu hostingu, bez żadnej specjalistycznej wiedzy.

Inna sprawa to interpretacja wyniku skanu, usunięcie już istniejącej infekcji albo ocena, czy warto dołożyć zaporę (Web Application Firewall), która blokuje atak zanim w ogóle dotrze do serwera. Tu samodzielne działanie bywa ryzykowne, bo łatwo coś przeoczyć.

Miałem klientkę prowadzącą gabinet kosmetyczny, która przeszła przez dokładnie taką checklistę po przeczytaniu artykułu o atakach botów. Jej strona „działała normalnie”, nic nie wskazywało na problem. A mimo to okazało się, że hosting od dawna trzymał ją na starej wersji PHP, o czym nikt się nie zająknął, i że nie miała żadnego backupu. Aktualizacja PHP i włączenie automatycznego backupu zajęły około 20 minut przez panel hostingu, bez zlecania czegokolwiek nikomu. Wystarczyło po prostu sprawdzić, zamiast zakładać, że skoro strona wygląda dobrze, to na pewno jest bezpieczna.

Jeśli po przejściu tej listy sam nie jesteś pewien wyniku albo wolisz, żeby ktoś zrobił to za Ciebie od razu z pełną interpretacją, tym właśnie zajmuje się audyt techniczny WordPress. Sprawdzam w nim znacznie więcej niż te 8 punktów i dostajesz gotowy raport z priorytetami, co naprawić najpierw. Pełną ofertę audytów znajdziesz na osobnej podstronie.

FAQ

Czy wystarczy jedna wtyczka bezpieczeństwa zamiast tej całej checklisty? Dobra wtyczka bezpieczeństwa pomaga, zwłaszcza z limitem prób logowania i podstawowym skanem. Ale nie zastąpi backupu, aktualnej wersji PHP ani sprawdzenia w Search Console, to są rzeczy z innego poziomu niż jedna wtyczka.

Jak często robić takie sprawdzenie? Wystarczy raz na kwartał, jeśli nic się nie dzieje. Warto zrobić je też od razu po każdej większej zmianie na stronie, na przykład po zmianie hostingu albo dodaniu nowej wtyczki.

Czy skan Sucuri i WPScan jest naprawdę darmowy? Tak, podstawowy skan online w obu narzędziach nie wymaga płatności ani konta. Płatne wersje dają dodatkowo monitoring ciągły, ale do jednorazowego sprawdzenia darmowa wersja w zupełności wystarczy.

Co jeśli skaner wykryje malware, co robić najpierw? Najpierw nie panikować i nie próbować usuwać plików na oślep. Zrób (albo zabezpiecz istniejący) backup sprzed infekcji, jeśli taki masz, i skontaktuj się z kimś, kto zajmuje się czyszczeniem stron, zanim zaczniesz cokolwiek kasować samodzielnie.

Czy mała, lokalna strona też powinna to robić regularnie? Tak, wielkość firmy nie ma tu żadnego znaczenia. Boty atakują automatycznie i losowo, nie sprawdzają wcześniej, czy warto.

Jeśli wolisz, żebym ja to sprawdził i od razu naprawił to, co trzeba, napisz do mnie. Zrobię to za Ciebie. 🙂