Bezpieczeństwo WordPressa: jak zabezpieczyć stronę przed włamaniem

Skuteczne zabezpieczenie WordPressa to nie jedna wtyczka, tylko zestaw nawyków: regularne aktualizacje, wtyczki i motywy wyłącznie z zaufanych źródeł, logowanie dwuetapowe (2FA), kopie zapasowe według zasady 3-2-1, zapora aplikacyjna (WAF), oszczędnie nadawane uprawnienia i stały monitoring. Do tego potrzebujesz planu na wypadek włamania – przygotowanego, zanim będzie potrzebny.

Zagrożeń przybywa. Według raportu State of WordPress Security in 2026 firmy Patchstack w 2025 r. wykryto 11 334 nowe luki w ekosystemie WordPressa, o 42% więcej niż rok wcześniej. Aż 91% z nich dotyczyło wtyczek, 9% motywów, a w samym rdzeniu WordPressa znaleziono tylko sześć mało groźnych błędów.

Poprawki nie zawsze nadążają: 46% luk nie doczekało się łatki od autora przed publicznym ujawnieniem, a najczęściej atakowane luki były wykorzystywane już po około 5 godzinach (mediana ważona). Dlatego ochrona musi mieć kilka warstw.

Jak dochodzi do włamań na strony WordPress

Żeby wiedzieć, jak zabezpieczyć stronę WordPress, najpierw zobacz, którędy wchodzą atakujący. Ataki na strony małych firm rzadko są wymierzone w konkretną osobę. Prowadzą je automaty, które skanują internet w poszukiwaniu znanych luk i słabych haseł. Przejętą stronę wykorzystują potem do wysyłki spamu, ukrywania podstron z reklamami i linkami albo przekierowań na podejrzane witryny. Najczęstsze drogi wejścia to:

• Luki we wtyczkach i motywach – zwłaszcza tych nieaktualizowanych lub porzuconych przez autorów.
• Słabe lub powtórzone hasła – boty sprawdzają popularne kombinacje i hasła, które wyciekły z innych serwisów.
• Pirackie wersje płatnych wtyczek (tzw. nulled), w które ktoś wcześniej wszył złośliwy kod.
• Przejęte konto hostingowe, FTP albo skrzynka e-mail, przez którą można zresetować hasło do WordPressa.
• Przestarzałe PHP i oprogramowanie serwera, które nie dostaje już poprawek.

Skutki szybko widać na zewnątrz. Google może oznaczyć stronę jako niebezpieczną, a informacja o problemie trafia do raportu Problemy dotyczące bezpieczeństwa w Search Console. Klienci widzą ostrzeżenie zamiast Twojej oferty.

Zabezpieczenie WordPressa zaczyna się od aktualizacji i zaufanych wtyczek

Aktualizacje to pierwsza linia obrony, bo zamykają luki, o których przestępcy już wiedzą. WordPress domyślnie sam instaluje drobne wydania z poprawkami bezpieczeństwa rdzenia, a od wersji 5.5 możesz na liście wtyczek i motywów włączyć automatyczne aktualizacje dla wybranych pozycji.

Przy prostej stronie firmowej automatyczne aktualizacje wtyczek zwykle się sprawdzają. W sklepie WooCommerce lub na rozbudowanej stronie bezpieczniej testować je najpierw na kopii strony i wdrażać w stałym rytmie, np. raz w tygodniu, a poprawki bezpieczeństwa – od razu. Same aktualizacje nie wystarczą, skoro prawie połowa luk nie ma gotowej łatki w chwili ujawnienia. Dlatego zmniejszaj liczbę miejsc, przez które można wejść:

• Instaluj wtyczki i motywy tylko z katalogu WordPress.org albo bezpośrednio od znanych producentów. Sprawdzaj datę ostatniej aktualizacji, liczbę aktywnych instalacji i to, czy autor odpowiada na zgłoszenia.
• Usuwaj nieużywane wtyczki i motywy – wyłączona wtyczka nadal leży na serwerze.
• Zamiast kilku wtyczek do drobiazgów wybierz jedną sprawdzoną albo kilka linijek kodu w motywie potomnym.
• Jeśli strona wtyczki w katalogu WordPress.org informuje, że została zamknięta, poszukaj zamiennika – powodem bywa niezałatana luka.
• Nigdy nie używaj pirackich wersji „nulled”. Oszczędność na licencji kończy się często dużo droższym sprzątaniem po infekcji.

Logowanie: unikalne hasła i 2FA

Drugi częsty scenariusz to przejęcie konta. Zasady są proste, ale wymagają konsekwencji:

• Każde konto ma osobne, długie hasło przechowywane w menedżerze haseł. Dotyczy to WordPressa, panelu hostingu, FTP i poczty.
• Administratorzy logują się dwuetapowo, np. kodem z aplikacji w telefonie. Do WordPressa dodasz 2FA wtyczką Two-Factor albo funkcją wtyczki bezpieczeństwa. Włącz je także w panelu hostingu i na skrzynce, na którą przychodzą resety haseł.
• Nie używaj loginu „admin” i nie publikuj wpisów z konta administratora – do pisania wystarczy rola Autor lub Redaktor.
• Ogranicz liczbę prób logowania i dodaj CAPTCHA do formularzy, które przyciągają boty.
• Usuwaj konta byłych pracowników i podwykonawców, a dostęp dla agencji czy freelancera nadawaj imiennie, nie przez wspólny login.

Kopie zapasowe według zasady 3-2-1

Kopia zapasowa nie zapobiega włamaniu, ale decyduje o tym, czy po nim wrócisz do pracy w godzinę, czy w tydzień. Zasada 3-2-1 mówi: miej trzy egzemplarze danych (oryginał i dwie kopie), przechowywane na dwóch różnych nośnikach lub w dwóch usługach, z czego jeden poza głównym serwerem. Dla strony firmowej może to wyglądać tak:

Egzemplarz	Gdzie	Jak często	Jak długo przechowywać
1. Działająca strona	Serwer hostingu	–	–
2. Kopia hostingowa	Infrastruktura dostawcy hostingu	Codziennie (sprawdź w ofercie)	Zgodnie z ofertą, najlepiej co najmniej 14–30 dni
3. Kopia zewnętrzna	Osobna chmura lub serwer, z innym kontem i hasłem	Codziennie przy sklepie, co tydzień przy stronie wizytówce	Co najmniej 30 dni, kopie miesięczne dłużej

Kopia musi obejmować pliki i bazę danych. Przechowuj ją dłużej niż kilka dni, bo infekcję często wykrywa się po tygodniach – wtedy wszystkie świeże kopie są już zarażone. Kopii zewnętrznej nie powinno dać się usunąć z poziomu zainfekowanej strony, dlatego trzymaj ją na osobnym koncie. Raz na kwartał przywróć kopię na serwerze testowym: kopia, której nikt nie sprawdził, jest tylko nadzieją.

Zapora WAF, uprawnienia i konfiguracja serwera

WAF, czyli zapora, która filtruje ruch

Zapora aplikacji internetowych (WAF, Web Application Firewall) zatrzymuje podejrzane żądania, zanim dotrą do WordPressa. Może działać jako wtyczka bezpieczeństwa, na serwerze hostingu albo jako usługa pośrednicząca, przez którą przechodzi cały ruch do strony, np. Cloudflare.

Nie każda zapora zna jednak luki typowe dla WordPressa. W testach opisanych przez Patchstack – firmę, która sama sprzedaje takie zabezpieczenia – standardowe rozwiązania (zapory hostingów, Cloudflare i podobne) zablokowały tylko 12% ataków na znane luki w WordPressie, a w szerszym teście u popularnych firm hostingowych – 26% wszystkich ataków. Przy sklepie lub stronie z wieloma wtyczkami warto więc mieć ochronę, która dostaje reguły dla nowo odkrytych luk w WordPressie (tzw. wirtualne łatki), a nie tylko ogólną zaporę.

Uprawnienia i ustawienia, które ograniczają szkody

Obszar	Zalecenie
Role użytkowników	Administrator tylko dla jednej–dwóch osób, pozostali z rolą o mniejszych uprawnieniach (Redaktor, Autor)
Uprawnienia plików	Katalogi 755, pliki 644, plik wp-config.php 440 lub 400
Edytor plików w kokpicie	Wyłączony stałą DISALLOW_FILE_EDIT w pliku wp-config.php
Połączenie z serwerem	SFTP zamiast FTP, HTTPS na całej stronie
Wersja PHP	Wersja, która dostaje poprawki bezpieczeństwa od twórców PHP
Komunikaty o błędach	Wyłączone na działającej stronie (WP_DEBUG ustawione na false)

Jak sprawdzić i bezpiecznie zmienić wersję PHP, opisujemy w poradniku o tym, jak przyspieszyć stronę na WordPressie. Część ustawień zależy od dostawcy serwera – na co zwracać uwagę, piszemy w tekście o wyborze hostingu dla WordPressa.

Monitoring: jak szybko zauważyć problem

Im szybciej wykryjesz włamanie, tym mniejsze szkody. Podstawowy zestaw to:

• monitoring dostępności, który co kilka minut sprawdza stronę i wysyła e-mail lub SMS, gdy przestaje działać;
• skaner złośliwego kodu i zmian w plikach – we wtyczce bezpieczeństwa albo w usłudze hostingu;
• dziennik aktywności, który zapisuje logowania, nowe konta i zmiany ustawień;
• raport Problemy dotyczące bezpieczeństwa w Google Search Console z włączonymi powiadomieniami e-mail.

Sygnały ostrzegawcze to m.in. konto administratora, którego nikt nie zakładał, przekierowania na obce strony (często tylko na telefonach albo tylko po wejściu z Google), dziwne podstrony w wynikach wyszukiwania, np. z japońskimi znakami lub reklamami leków, skargi klientów na spam z Twojej domeny i nagły wzrost zużycia zasobów hostingu.

Co zrobić po włamaniu na stronę WordPress

Działaj według planu, nawet jeśli strona już wyświetla obce treści:

1. Zabezpiecz dowody. Zanim cokolwiek usuniesz, zrób kopię zainfekowanych plików i bazy danych i opisz ją jako zainfekowaną. Pomoże ustalić, co się stało.
2. Odetnij odwiedzających. Włącz tryb serwisowy albo poproś hosting o tymczasowe zablokowanie strony, żeby nie szkodziła klientom.
3. Zmień wszystkie hasła – do kont administratorów, panelu hostingu, FTP lub SFTP, bazy danych i poczty. Wygeneruj też nowe klucze bezpieczeństwa w pliku wp-config.php, co wyloguje wszystkich użytkowników.
4. Ustal, którędy weszli. Przejrzyj logi serwera, listę kont i wtyczki z niedawno ujawnionymi lukami. Bez tego infekcja wróci.
5. Przywróć czystą kopię albo wyczyść stronę. Jeśli nie masz kopii sprzed infekcji, zainstaluj od nowa rdzeń, wtyczki i motyw z oficjalnych źródeł, a z zainfekowanej wersji przenieś tylko sprawdzone treści. Google w poradniku o czyszczeniu zhakowanej strony zaleca czystą instalację zamiast samej aktualizacji.
6. Zamknij lukę przed powrotem do sieci. Zaktualizuj wszystko, usuń nieznane konta i zbędne wtyczki.
7. Poproś Google o ponowne sprawdzenie. Jeśli w Search Console pojawił się problem bezpieczeństwa, po naprawie użyj przycisku „Poproś o sprawdzenie”. Według pomocy Search Console weryfikacja trwa zwykle od kilku dni do kilku tygodni.

Włamanie a RODO

Jeśli na stronie są dane osobowe – z formularzy, zamówień, kont klientów czy zapisów do newslettera – włamanie może być naruszeniem ich ochrony. Zgodnie z art. 33 RODO administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą. Gdy ryzyko jest wysokie, trzeba zawiadomić również te osoby (art. 34), a każde naruszenie – także niezgłaszane – należy udokumentować.

Zgłoszenie do UODO składa się przez formularz elektroniczny. Sam incydent możesz zgłosić także zespołowi CERT Polska przez stronę incydent.cert.pl. Ten fragment ma charakter informacyjny i nie jest poradą prawną – w razie wątpliwości skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Jeśli nie chcesz samodzielnie pilnować zabezpieczenia WordPressa, aktualizacje, kopie i monitoring obejmuje stała opieka nad stroną WordPress. Zakres i koszty takiej usługi omawiamy w tekście o tym, ile kosztuje opieka nad stroną WordPress.

Najczęściej zadawane pytania

Czy WordPress jest bezpieczny?

Sam rdzeń WordPressa jest dobrze utrzymywany: według Patchstack w 2025 r. znaleziono w nim tylko sześć luk, wszystkie o niskim priorytecie. O bezpieczeństwie WordPressa decydują głównie wtyczki, motywy, hasła i hosting, czyli to, co dokładasz i jak tym zarządzasz. Strona z kilkoma sprawdzonymi wtyczkami, aktualizacjami i 2FA jest dobrze chroniona, a strona z kilkudziesięcioma porzuconymi dodatkami – nie.

Jaka wtyczka bezpieczeństwa do WordPressa jest najlepsza?

Nie ma jednej najlepszej. Szukaj takiej, która łączy zaporę z regułami dla luk w WordPressie, ochronę logowania z 2FA, skaner plików i powiadomienia. Popularne rozwiązania to m.in. Wordfence, Patchstack i Solid Security (dawniej iThemes Security). Nie instaluj kilku naraz, bo potrafią się wzajemnie blokować i spowalniać stronę. Żadna wtyczka nie zastąpi aktualizacji i kopii zapasowych.

Czy zmiana adresu logowania wp-admin wystarczy?

Nie. Przeniesienie strony logowania pod inny adres zmniejsza liczbę prób botów i ilość śmieci w logach, ale nie chroni przed lukami we wtyczkach, których wykorzystanie często wcale nie wymaga logowania. Traktuj to jako dodatek do silnych haseł, 2FA i limitu prób logowania. Zapisz też nowy adres – zapomniany potrafi odciąć od kokpitu także właściciela.

Jak często robić kopię zapasową strony WordPress?

Tak często, jak dużo danych możesz stracić. Sklep z codziennymi zamówieniami potrzebuje kopii co najmniej raz na dobę, a często kopii samej bazy danych kilka razy dziennie. Strona wizytówka aktualizowana raz w miesiącu poradzi sobie z kopią tygodniową i dodatkową przed każdą aktualizacją. Niezależnie od częstotliwości przechowuj kopie przez co najmniej 30 dni i trzymaj jedną poza hostingiem.

Czy hosting nie zabezpiecza strony za mnie?

Tylko częściowo. Dobry hosting dba o serwer, aktualne oprogramowanie, oddzielenie kont klientów i często o kopie oraz podstawową zaporę. Za to, co dzieje się w samym WordPressie – wtyczki, konta, hasła – odpowiadasz Ty albo osoba, która opiekuje się stroną. Testy opisane w raporcie Patchstack pokazały, że ogólne zapory hostingów przepuszczają większość ataków na luki w WordPressie.

Podsumowanie

Dobre zabezpieczenie WordPressa składa się z warstw: aktualizacji i ograniczonej liczby wtyczek, 2FA, kopii 3-2-1, zapory znającej luki WordPressa i monitoringu. Żadna z nich nie wystarcza sama, ale razem sprawiają, że strona małej firmy przestaje być łatwym celem dla automatów. Plan na wypadek włamania przygotuj teraz, bo w dniu ataku liczą się godziny.

Źródła

1. State of WordPress Security in 2026 (Patchstack)
2. Raport Problemy dotyczące bezpieczeństwa (Pomoc Search Console)
3. Help, I think I’ve been hacked (web.dev)
4. Clean and maintain your site (web.dev)
5. Rozporządzenie (UE) 2016/679 – RODO, art. 33 i 34 (EUR-Lex)
6. Zgłoś incydent – CERT Polska (NASK)