Bezpieczeństwo strony WordPress nie kończy się na instalacji wtyczki zabezpieczającej. Większość włamań wynika z podatności we wtyczkach i motywach, ataków na łańcuch dostaw wtyczek (supply chain attacks), nieaktualnego oprogramowania i słabych haseł. Sam rdzeń WordPressa jest dobrze zabezpieczony, ale rozszerzenia od zewnętrznych deweloperów stanowią główny wektor ataków. Popularne narzędzia takie jak Wordfence czy Sucuri są pomocne, ale stosowane samodzielnie, bez odpowiedniej konfiguracji serwera i usługi hostingowej, dają fałszywe poczucie bezpieczeństwa.
W WebOptimo podchodzimy do ochrony witryn WordPress wielowarstwowo: od zabezpieczenia systemu operacyjnego i firewalla, przez konfigurację web serwera i PHP, po zabezpieczenia na poziomie samej aplikacji WordPress. Łączymy kompetencje administracji serwerami z doświadczeniem w ekosystemie WordPress, co pozwala nam identyfikować i eliminować zagrożenia na każdym poziomie infrastruktury. Więcej szczegółów technicznych znajdziesz w artykule Bezpieczeństwo WordPress w bazie wiedzy.
Pełna lista funkcjonalności bezpieczeństwa, które konfigurujemy w każdej witrynie WordPress objętej naszą ochroną. Każdy element to konkretne działanie techniczne, nie obietnica marketingowa.
Pełna kopia zapasowa bazy danych i wszystkich plików witryny wykonywana automatycznie każdego dnia. Backup przechowywany i szyfrowany w zewnętrznym centrum danych, niezależnym od serwera produkcyjnego. Retencja 30 dni z możliwością przywrócenia witryny do stanu sprzed dowolnego dnia w tym okresie. W razie włamania lub błędu ludzkiego przywracamy stronę w ciągu godzin. Więcej w artykule kopie zapasowe WordPress.
Nieaktualne wtyczki i motyw to najczęstsza przyczyna włamań do stron WordPress. Aktualizujemy rdzeń WordPress, motyw i każdą zainstalowaną wtyczkę co 14 dni, z wcześniejszym testowaniem na środowisku staging. Krytyczne poprawki bezpieczeństwa wdrażamy w ciągu 24 godzin od ich wydania. Żadnych automatycznych, niekontrolowanych zmian, które mogłyby zepsuć działanie witryny.
Monitoring dostępności serwera i strony w trybie ciągłym. Sprawdzamy czas odpowiedzi, status HTTP, poprawność certyfikatu SSL i dostępność kluczowych podstron. Powiadomienia o problemach trafiają do nas w czasie rzeczywistym, co pozwala reagować zanim użytkownicy zauważą przestój. Monitorujemy też datę wygaśnięcia domeny i certyfikatu SSL, żeby uniknąć sytuacji, w której strona nagle staje się niedostępna lub wyświetla ostrzeżenie przeglądarki.
Konfigurujemy certyfikat SSL/TLS z wymuszeniem HTTPS na całej witrynie, przekierowaniem HTTP na HTTPS, nagłówkiem HSTS (Strict-Transport-Security) i poprawną konfiguracją zestawu szyfrów. Dla witryn przetwarzających dane osobowe i płatnicze (sklepy WooCommerce, formularze kontaktowe) szyfrowanie połączeń to nie opcja, a wymóg prawny wynikający z RODO.
Panel administracyjny WordPress to główny cel ataków brute force. Wdrażamy ograniczenie liczby prób logowania z automatyczną blokadą IP po przekroczeniu limitu, dwuskładnikowe uwierzytelnianie (2FA) dla administratorów i edytorów, zmianę domyślnej ścieżki logowania (/wp-login.php), blokadę XML-RPC i ograniczenie dostępu do wp-admin po adresie IP tam, gdzie to możliwe.
Konfigurujemy nagłówki bezpieczeństwa HTTP, które chronią odwiedzających witrynę przed typowymi atakami: Content-Security-Policy (ochrona przed XSS i wstrzykiwaniem kodu), X-Frame-Options (ochrona przed clickjacking), X-Content-Type-Options (zapobieganie MIME sniffing), Referrer-Policy (kontrola informacji przekazywanych w nagłówku referer) i Permissions-Policy (kontrola dostępu do API przeglądarki). Poprawne nagłówki to też lepsze wyniki w audytach bezpieczeństwa i narzędziach takich jak Mozilla Observatory.
Zabezpieczamy bazę danych WordPress na kilku poziomach: zmiana domyślnego prefixu tabel (wp_), ograniczenie uprawnień użytkownika bazy danych do minimum wymaganego przez WordPress, regularne czyszczenie i optymalizacja bazy (usuwanie rewizji, transientów, sesji i śmieci po usuniętych wtyczkach), szyfrowanie połączenia między aplikacją a serwerem bazy danych i konfiguracja MySQL/MariaDB zgodnie z zasadą minimalnych uprawnień.
Sklep WooCommerce przetwarza dane osobowe i płatnicze klientów, co czyni go szczególnie atrakcyjnym celem ataków. Oprócz standardowego zabezpieczenia WordPress wdrażamy zabezpieczenie endpointów REST API WooCommerce, ochronę kont klientów przed przejęciem (rate limiting, weryfikacja e-mail), izolację danych zamówień, monitoring bramek płatności i zgodność z wymogami RODO dotyczącymi przechowywania i przetwarzania danych osobowych.
Większość agencji WordPress ogranicza się do zabezpieczeń na poziomie aplikacji: instalacja wtyczki bezpieczeństwa, zmiana ścieżki logowania, wyłączenie XML-RPC. To ważne, ale niewystarczające. W WebOptimo łączymy doświadczenie w administracji serwerami z kompetencjami WordPress, co pozwala nam chronić witrynę na każdym poziomie infrastruktury.
Konfigurujemy i utrzymujemy serwery, na których działają witryny naszych klientów. Administracja Linux (Debian, Ubuntu, Rocky Linux) i FreeBSD to nasza codzienna praca. Konfiguracja firewalla na poziomie systemu operacyjnego, zabezpieczenie SSH, automatyzacja aktualizacji bezpieczeństwa, monitoring logów i zasobów. Kiedy problem leży po stronie serwera, nie musimy czekać na odpowiedź supportu hostingu.
Konfigurujemy Apache z ograniczeniem dostępu do wrażliwych katalogów (wp-includes, wp-admin/includes), blokowaniem dostępu do plików konfiguracyjnych i logów, ochroną przed hotlinkingiem i limitowaniem rozmiaru żądań. PHP-FPM konfigurujemy z restrykcyjnymi ustawieniami: disable_functions dla niebezpiecznych funkcji (exec, system, passthru), open_basedir ograniczający dostęp do systemu plików i wyłączenie expose_php.
Przeprowadzamy kompleksowy audyt bezpieczeństwa obejmujący witrynę WordPress, usługę hostingową i konfigurację serwera. Sprawdzamy konfigurację systemu operacyjnego, otwarte porty, wersje oprogramowania, uprawnienia plików, konfigurację PHP, nagłówki HTTP, certyfikat SSL, podatności we wtyczkach i motywach, politykę haseł i konfigurację backupów. Audyt kończy się raportem z konkretnymi zaleceniami, priorytetami i szacowanym czasem wdrożenia.
W przypadku włamania nie ograniczamy się do przywrócenia kopii zapasowej. Analizujemy logi serwera i aplikacji, identyfikujemy wektor ataku (nieaktualna wtyczka, skradzione dane logowania, podatność serwera), usuwamy złośliwy kod, wdrażamy zabezpieczenia eliminujące przyczynę włamania i dokumentujemy incydent. Korzystamy z WP-CLI do masowej weryfikacji integralności plików i szybkiego wdrażania poprawek.
Większość włamań do stron WordPress można było uniknąć terminowymi aktualizacjami wtyczek, świadomym wyborem rozszerzeń i właściwą konfiguracją serwera, nie kolejną wtyczką zabezpieczającą. Bezpieczeństwo to nie produkt, który się instaluje, a proces, który się wdraża i utrzymuje. Podchodzimy do niego wielowarstwowo: od systemu operacyjnego, przez web serwer i PHP, po aplikację WordPress i codzienne monitorowanie. Zabezpieczenia są integralną częścią naszej opieki WordPress i każdej strony internetowej, którą tworzymy. Szczegóły planów i ceny na stronie cennik opieki WordPress.
Nie. Wordfence i podobne narzędzia (Sucuri, iThemes Security) chronią na poziomie aplikacji WordPress, ale nie zabezpieczają serwera, konfiguracji PHP, otwartych portów ani usługi hostingowej. To ważna warstwa ochrony, ale stosowana samodzielnie, bez zabezpieczenia serwera, daje fałszywe poczucie bezpieczeństwa. Skuteczna ochrona wymaga zabezpieczeń na każdym poziomie: system operacyjny, web serwer, PHP i dopiero na końcu aplikacja WordPress.
Audyt obejmuje analizę konfiguracji serwera i systemu operacyjnego, usługi hostingowej, wersji PHP i jej ustawień, uprawnień plików i katalogów, nagłówków bezpieczeństwa HTTP, certyfikatu SSL i konfiguracji TLS, podatności we wtyczkach i motywach, polityki haseł, konfiguracji backupów oraz integralności plików rdzenia WordPress. Na podstawie wyników przedstawiamy raport z priorytetami wdrożenia zabezpieczeń.
W ramach planów opieki WordPress skanowanie odbywa się codziennie. Monitorujemy integralność plików rdzenia WordPress i wtyczek, szukamy backdoorów, spam SEO, złośliwych przekierowań, ukrytych linków i nieautoryzowanych zmian w kodzie. Krytyczne podatności we wtyczkach monitorujemy w czasie rzeczywistym na podstawie baz CVE i raportów Wordfence Threat Intelligence.
Lokalizujemy źródło włamania i wektor ataku, usuwamy złośliwy kod i backdoory, przywracamy czystą wersję witryny z kopii zapasowej lub ręcznie czyścimy zainfekowane pliki. Weryfikujemy integralność plików rdzenia, zmieniamy hasła wszystkich użytkowników i klucze bezpieczeństwa w wp-config.php, wdrażamy dodatkowe zabezpieczenia zapobiegające ponownemu atakowi i zgłaszamy witrynę do ponownej weryfikacji w Google Search Console.
Większość ataków na strony WordPress wykorzystuje podatności we wtyczkach i motywach, ataki na łańcuch dostaw wtyczek i słabe hasła. Wtyczka bezpieczeństwa działa wewnątrz aplikacji WordPress, więc jeśli atakujący uzyska dostęp na poziomie serwera (przez SSH, FTP, panel hostingu), wtyczka jest bezsilna. Dlatego zabezpieczenia muszą obejmować zarówno samą aplikację WordPress, jak i fundament: system operacyjny i konfigurację serwera.
Tak. Oba plany opieki WordPress (Standardowy i Profesjonalny) obejmują konfigurację firewalla WAF, codzienne skanowanie malware, monitoring dostępności 24/7, ochronę logowania przed atakami brute force, usuwanie wirusów w razie infekcji i regularne aktualizacje zabezpieczające rdzeń WordPress, wtyczki i motyw. Szczegóły i ceny na stronie cennik opieki WordPress.
Audyt bezpieczeństwa WordPress i hostingu zaczyna się od 379 zł netto. Zakres i ostateczna cena zależą od złożoności witryny, liczby wtyczek, konfiguracji serwera i usługi hostingowej. Po audycie otrzymujesz raport z konkretnymi zaleceniami i priorytetami wdrożenia.
Jednorazowe usuwanie wirusów i złośliwego oprogramowania ze strony WordPress zaczyna się od 499 zł netto. Cena zależy od skali infekcji, liczby zainfekowanych plików i tego, czy witryna została umieszczona na czarnej liście Google. Dla witryn objętych planem opieki WordPress usuwanie wirusów jest wliczone w cenę planu.
Sklep WooCommerce przetwarza dane osobowe i płatnicze klientów, co wymaga dodatkowych zabezpieczeń. Oprócz standardowego zabezpieczenia WordPress wdrażamy szyfrowanie SSL/TLS na całej witrynie, zabezpieczenie endpointów REST API WooCommerce, ochronę kont klientów przed przejęciem, izolację danych zamówień, monitoring bramek płatności i zgodność z wymogami RODO dotyczącymi przechowywania danych osobowych.
Zamów audyt bezpieczeństwa lub porozmawiaj o zabezpieczeniu witryny. Przygotujemy propozycję dopasowaną do Twojej infrastruktury i potrzeb. Bez zobowiązań, bez marketingowego żargonu.
NIP: 6391758393
