WordPress sam w sobie jest bezpieczny. Według raportu Patchstack za 2026 rok aż 92% wykrytych luk dotyczy wtyczek innych firm, 7% motywów, a tylko około 1% samego WordPressa. Problemem są więc przypadkowe dodatki, brak aktualizacji i słabe hasła. Poniżej pokazujemy, jak wygląda włamanie od środka i jakie zasady stosujemy, żeby do niego nie doszło.
Skąd biorą się włamania na strony?
- Nieaktualne wtyczki i motywy. Gdy luka zostaje opisana publicznie, automaty skanują internet w poszukiwaniu stron, które jej nie załatały.
- Wtyczki z nieznanych źródeł, np. „darmowe” wersje płatnych dodatków, które często zawierają złośliwy kod.
- Słabe lub powtarzane hasła i brak ograniczenia prób logowania.
- Wspólne konto administratora dla kilku osób i dostępy, których nikt nie odbiera po zakończeniu współpracy.
- Brak kopii zapasowych, przez co po ataku nie ma do czego wrócić.
Czym grozi włamanie na stronę firmową?
Zainfekowana strona może przekierowywać klientów na podejrzane serwisy, wysyłać spam z Twojej domeny albo wyświetlać obce reklamy. Google potrafi oznaczyć taką stronę jako niebezpieczną, a wtedy znika ruch z wyszukiwarki i reklam. Do tego dochodzi ryzyko wycieku danych klientów z formularzy lub sklepu.
5 zasad bezpieczeństwa, które stosujemy
- Minimum wtyczek. Tylko sprawdzone i naprawdę potrzebne. Funkcje, które da się napisać w kilku linijkach kodu, piszemy sami.
- Regularne aktualizacje WordPressa, motywu i wtyczek, po sprawdzeniu, że nic się nie psuje.
- Kopie zapasowe poza serwerem, z których da się realnie przywrócić stronę, a nie tylko „mieć plik”.
- Certyfikat SSL i cała strona po HTTPS.
- Ochrona logowania: silne hasła, ograniczenie prób logowania i osobne konta dla każdej osoby.
Te zasady są podstawą naszego systemu Nexo Shield, który w wyższych pakietach dokłada m.in. weryfikację dwuetapową, kopie po każdej zmianie i szybkie przywracanie strony po awarii.
Lista kontrolna: sprawdź swoją stronę w 10 minut
- Czy WordPress i wszystkie wtyczki mają aktualne wersje (Kokpit → Aktualizacje)?
- Czy masz wtyczki, których nie używasz? Usuń je, a nie tylko wyłączaj.
- Czy każda osoba ma własne konto i tylko takie uprawnienia, jakich potrzebuje?
- Czy hasło administratora jest długie i nie powtarza się w innych serwisach?
- Czy adres strony zaczyna się od https i pokazuje kłódkę?
- Kiedy ostatnio sprawdzałeś, czy kopia zapasowa naprawdę się przywraca?
Co zrobić, gdy strona została zhakowana?
- Nie usuwaj niczego w panice. Zrób kopię obecnego stanu do analizy.
- Zmień hasła do panelu WordPressa, hostingu, FTP i bazy danych.
- Przywróć czystą kopię zapasową sprzed ataku, jeśli ją masz.
- Zaktualizuj wszystko i usuń zbędne wtyczki, żeby zamknąć lukę, przez którą wszedł atakujący.
- Sprawdź w Google Search Console, czy strona nie jest oznaczona jako niebezpieczna, i poproś o ponowne sprawdzenie.
Co możesz zrobić sam?
Nie instaluj wtyczek z nieznanych źródeł, używaj menedżera haseł i nie udostępniaj konta administratora wielu osobom. Jeśli nie masz czasu na regularne aktualizacje, skorzystaj z opieki technicznej: kosztuje od 250 zł netto miesięcznie, czyli zwykle mniej niż jedno sprzątanie po włamaniu.
Najczęstsze pytania
Czy WordPress jest mniej bezpieczny niż inne systemy?
Nie. Jest najpopularniejszy, więc najczęściej atakowany, ale większość problemów wynika z wtyczek i braku aktualizacji, a nie z samego WordPressa.
Czy darmowy certyfikat SSL wystarczy?
Dla większości stron firmowych tak. Szyfruje połączenie tak samo jak płatny. Płatne certyfikaty różnią się głównie weryfikacją firmy i gwarancją.
Jak często robić kopie zapasowe?
Przynajmniej raz dziennie dla sklepów i po każdej większej zmianie dla stron firmowych. Kopia powinna leżeć poza serwerem strony.
Chcesz sprawdzić, czy Twoja strona jest bezpieczna? Umów bezpłatną rozmowę, a powiemy, co warto poprawić od razu.