Aktualizacja: 31.08.2026

Od lat administruję wieloma stronami moich klientów i wiem, że bezpieczeństwo WordPressa ma bezpośredni wpływ na stabilność strony, jej dostępność i zaufanie użytkowników. W przypadku infekcji konsekwencje mogą sięgać jednak znacznie dalej — od problemów z działaniem witryny po ostrzeżenia w Google i utratę ruchu.

W tym poradniku przedstawiam ponad 10 najważniejszych kroków, które pomogą Ci zabezpieczyć WordPressa i ograniczyć ryzyko włamań, infekcji oraz automatycznych ataków.

Bezpieczeństwo strony z WordPressem. Czy to w ogóle ważne?

Masz lub planujesz uruchomić stronę z systemem WordPress? Wiedza o tym, jak zabezpieczyć stronę z WordPressem, jest ważna z kilku powodów. Po pierwsze, możesz stracić zaufanie potencjalnych klientów. Jeżeli Google wykryje w kodzie złośliwe oprogramowanie, poinformuje o tym użytkowników. A komunikaty typu „Ta strona próbuje wczytać skrypty z nieuwierzytelnionych źródeł” czy „Strona, którą chcesz otworzyć, zawiera złośliwe oprogramowanie” skutecznie zniechęcą do odwiedzin. Z kolei przez spadek ruchu na stronie na pewno ucierpi Twój biznes. Po drugie, nie wykorzystasz w pełni możliwości strony, jeśli nagle zacznie przekierowywać na egzotyczne i potencjalnie niebezpieczne witryny. Problemem może być również zawieszenie emisji reklam Google Ads prowadzących do zainfekowanej strony.

W najgorszym razie można także stracić dostęp do strony, a jego odzyskanie pochłonie czas i często pieniądze. Nie wspominając o nerwach i stresie…

Po co hakerom nasza strona?

Atakujący wykorzystują zarówno luki w kodzie, jak i błędy popełniane przez użytkowników. Próbują logować się do stron, wykorzystując popularne loginy, jak admin, user, nazwa danej domeny, a nawet konkretne imiona i nazwiska osób publikujących na stronie. Czasem próbują też odgadnąć hasła na podstawie łatwo dostępnych informacji, na przykład nazwy firmy, adresu strony czy roku jej założenia. Wykorzystują również stare, nieużywane konta, których nikt już nie kontroluje, ale które nadal mają dostęp do panelu administracyjnego.

Inną drogą są luki w nieaktualnych wersjach WordPressa, wtyczek lub motywów. Jeśli użytkownik długo nie aktualizuje oprogramowania albo korzysta z porzuconej wtyczki, znana luka może stać się prostym wejściem na stronę. Problemem bywają także zbyt szerokie uprawnienia użytkowników, pozostawione konta administratorów czy pliki i funkcje, które nie powinny być dostępne publicznie.

Celem ataku nie musi być zniszczenie strony. Znacznie częściej chodzi o przejęcie kontroli i wykorzystanie jej do własnych celów. Cyberprzestępca może wstrzyknąć złośliwy kod, przejąć konto użytkownika, przekierowywać odwiedzających na strony ze spamem lub fałszywymi ofertami, osadzić własne reklamy, tworzyć ukryte linki albo wykraść i zmodyfikować dane. Zainfekowana strona może przez długi czas wyglądać zupełnie normalnie, podczas gdy w tle służy już do działań, o których jej właściciel nie ma pojęcia.

Co gdy strona zostanie zaatakowana? Konsekwencje 

Zainfekowana strona może stracić widoczność w Google, a użytkownicy mogą zobaczyć ostrzeżenie o zagrożeniu. Przeglądarki i wyszukiwarki korzystają również z mechanizmów bezpiecznego przeglądania, które mogą oznaczać stronę jako niebezpieczną. Jeśli atakujący uzyska dostęp do bazy danych lub kont użytkowników, może dojść do wycieku danych właściciela strony, użytkowników lub klientów. W przypadku danych osobowych taki wyciek może oznaczać naruszenie ochrony danych i wiązać się z obowiązkami wynikającymi z RODO oraz potencjalnymi karami administracyjnymi. 

Utrata zaufania oraz potencjalne konsekwencje finansowe i marketingowe to czynniki, które każdego właściciela strony powinny zachęcić do zadbania o bezpieczeństwo własnej witryny.

Jak wygląda skuteczne zabezpieczanie strony WordPress?

Poznaj najważniejsze metody ochrony strony

Dla prawidłowego działania strony i ochrony danych najistotniejsze jest przestrzeganie podstawowych zasad bezpieczeństwa. Oto kilka kroków, które możesz podjąć, aby zadbać o bezpieczeństwo strony z CMS WordPress:

Aktualizacje

Regularnie aktualizuj system WordPress, wykorzystywany motyw i wtyczki. Upewnij się, że wszystkie zainstalowane wtyczki i motywy działają w najnowszej wersji. To istotne, gdyż aktualizacje często zawierają poprawki bezpieczeństwa eliminujące znane luki w zabezpieczeniach.

Kopie zapasowe

Wykonuj kopie zapasowe. Regularnie, zwłaszcza przed każdą aktualizacją, wykonuj kopię zapasową bazy danych, wtyczek, motywów, wgranych plików itp. W razie problemów (np. konfliktu wtyczek) backup pozwoli przywrócić działającą wersję. Kopię przechowuj poza serwerem, na którym działa strona, najlepiej w niezależnej lokalizacji. Co jakiś czas sprawdzaj również, czy z kopii rzeczywiście można odtworzyć stronę.

Hasła i 2FA

Ustaw silne hasła i włącz uwierzytelnianie dwuskładnikowe. Używaj tylko złożonych, unikalnych haseł do panelu administracyjnego WordPressa oraz do kont FTP, bazy danych i innych punktów dostępowych, takich jak panel administracyjny dostawcy hostingu. Ponadto wszędzie, gdzie to możliwe, ustaw 2FA (two-factor authentication).

Dwuskładnikowe uwierzytelnianie (2FA) to jedna z najskuteczniejszych metod ochrony konta administratora WordPressa. Nawet jeśli ktoś pozna Twoje hasło, nie zaloguje się bez drugiego składnika, np. kodu z aplikacji.

W praktyce 2FA:

• utrudnia przejęcie konta nawet po zdobyciu hasła,
• chroni przed skutkami wycieku lub ponownego wykorzystania hasła,
• jest szczególnie ważne dla kont administratorów i sklepów WooCommerce,
• dodaje kolejną warstwę ochrony bez dużego wysiłku.

Najczęściej stosuje się:

• aplikacje typu Google Authenticator,
• kody jednorazowe (TOTP),
• klucze sprzętowe (np. YubiKey).

Włączenie 2FA powinno być standardem w każdym „bezpiecznym WordPressie”, nie dodatkiem.

Zaufane motywy i wtyczki

Instaluj wtyczki i motywy z zaufanych źródeł oraz upewnij się, że są kompatybilne z aktualną wersją WordPressa. To pozwoli uniknąć dodatkowych luk w zabezpieczeniach i konfliktów w kodzie.

Tylko niezbędne wtyczki

Ogranicz liczbę wtyczek. Instaluj tylko te niezbędne, ponieważ każda dodatkowa wtyczka to dodatkowe obciążenie strony oraz potencjalnie nowe luki w zabezpieczeniach. Co więcej, mniej wtyczek to mniejsze ryzyko pojawienia się niekompatybilności między nimi skutkujących problemami w działaniu strony.

Usuń nieużywane wtyczki i motywy. Nieaktualizowane lub wyłączone, ale nie usunięte wtyczki czy motywy mogą stanowić zagrożenie dla bezpieczeństwa, atakujący bowiem często wykorzystują je, by dostać się na stronę.

Uprawnienia użytkowników

Nadaj użytkownikom tylko takie uprawnienia, jakich naprawdę potrzebują. Nie każdy, kto publikuje treści na stronie, powinien mieć dostęp administratora. WordPress pozwala przypisywać różne role, np. administratora, redaktora czy autora. Ograniczenie uprawnień zmniejsza ryzyko, że przejęcie pojedynczego konta da atakującemu pełną kontrolę nad stroną.

Regularnie przeglądaj konta użytkowników. Usuń konta osób, które nie potrzebują już dostępu do strony, i sprawdź, czy nie pozostały nieużywane konta administratorów. Im mniej aktywnych kont z wysokimi uprawnieniami, tym mniej potencjalnych punktów wejścia dla atakującego.

Wtyczka bezpieczeństwa na ratunek

Zainstaluj wtyczkę bezpieczeństwa WordPress. Na tworzonych stronach korzystam z Wordfence Security, ale jest to tylko jedno z dostępnych rozwiązań. Alternatywą mogą być m.in. Solid Security, Sucuri Security czy All-In-One Security. Wordfence i podobne wtyczki oferują:

• skaner plików,
• firewall (zaporę, która analizuje ruch i blokuje podejrzane lub złośliwe żądania),
• ochronę przed atakami brute force,
• ochronę logowania (2FA),
• raporty o stanie strony (np. o potrzebie zaktualizowania wtyczek),
• filtr antyspamowy,
• monitorowanie ruchu sieciowego.

Wordfence pozwala ograniczyć liczbę nieudanych prób logowania oraz zablokować adresy IP po wielokrotnych nieudanych próbach logowania. W wersji Premium reguły zapory są udostępniane w czasie rzeczywistym, podczas gdy użytkownicy wersji darmowej otrzymują je z opóźnieniem. Ma znaczenie szczególnie wtedy, gdy pojawia się nowa luka aktywnie wykorzystywana przez atakujących.

Zmieniony adres logowania

Domyślny adres logowania WordPressa (/wp-admin i /wp-login.php) jest regularnie skanowany przez boty próbujące odgadnąć hasła administratorów. Zmiana adresu logowania może ograniczyć liczbę automatycznych prób logowania i zmniejszyć niepotrzebny ruch kierowany do strony logowania. Nie jest jednak zabezpieczeniem przed samym atakiem brute force.

Najważniejsze zalety zmiany adresu logowania:

• mniejsza liczba automatycznych prób logowania,
• mniejsze obciążenie hostingu,
• dodatkowa warstwa ochrony strony WordPress,
• prosty i szybki sposób poprawy bezpieczeństwa.

Do zmiany adresu logowania można wykorzystać m.in.: funkcje dostępne we wtyczkach bezpieczeństwa (jak WPS Hide Login).

Ochrona strony przez Cloudflare

Cloudflare może działać jako dodatkowa warstwa ochrony strony WordPress. Podobne rozwiązania oferują także inne usługi CDN i WAF, np. Fastly, Akamai czy QUIC.cloud. Ich możliwości i sposób konfiguracji różnią się w zależności od usługi i planu, ale zasada działania jest podobna: część ruchu jest filtrowana jeszcze przed dotarciem do serwera.

Cloudflare może dzięki WAF (Web Application Firewall) blokować podejrzane żądania, ograniczać automatyczne skanowanie oraz utrudniać część popularnych ataków na aplikacje internetowe.

Taka warstwa ochrony może przede wszystkim:

• filtrować ruch botów i automatyczne próby skanowania strony,
• pomagać chronić przed atakami DDoS, które mogą przeciążyć serwer i uniemożliwić dostęp do strony,
• ukrywać rzeczywisty adres IP serwera, jeśli cały ruch do strony jest prawidłowo przekierowany przez usługę pośredniczącą,
• pozwalać tworzyć własne reguły bezpieczeństwa, np. ograniczyć dostęp do /wp-login.php z wybranych krajów lub adresów IP,
• dzięki cache i globalnej sieci CDN przyspieszać dostarczanie części zasobów strony.

Cloudflare nie jest więc jedynym sposobem na dodanie takiej warstwy ochrony. Wybór konkretnego rozwiązania zależy m.in. od hostingu, potrzeb strony, konfiguracji DNS oraz dostępnych funkcji w danym planie.

Nie zastępuje ono również zabezpieczeń samego WordPressa. Aktualizacje, bezpieczne hasła, ograniczenie uprawnień użytkowników czy wtyczka bezpieczeństwa nadal są potrzebne. Usługa CDN/WAF działa raczej jako dodatkowy filtr między internetem a serwerem, dzięki czemu część niepożądanego ruchu zostaje zatrzymana, zanim dotrze do WordPressa.

Bezpieczny hosting

Wybierz bezpieczny i sprawdzony hosting. Bezpieczeństwo strony zależy nie tylko od WordPressa, ale również od infrastruktury, na której działa. Dobry hosting powinien zapewniać aktualne wersje PHP, bezpieczne metody przesyłania plików, takie jak SFTP, ochronę przed atakami DDoS oraz regularne kopie zapasowe. Warto również zwrócić uwagę na izolację poszczególnych kont i stron na serwerze, dzięki której problem z jedną witryną nie powinien automatycznie oznaczać zagrożenia dla pozostałych.

Warto również sprawdzić, czy dostawca hostingu zapewnia wsparcie dla używanej wersji PHP i czy umożliwia jej łatwą aktualizację. Ponadto czy oferuje możliwość szybkiego przywrócenia strony po awarii lub ataku.

Blokowanie ruchu z wybranych państw

W logach bezpieczeństwa stron moich klientów regularnie pojawiają się automatyczne próby logowania oraz ruch botów z całego świata. Część tego ruchu generują zautomatyzowane skrypty skanujące Internet w poszukiwaniu podatnych stron WordPress. Dlatego jeśli strona działa wyłącznie na określonym rynku, można dodatkowo ograniczyć dostęp do panelu administracyjnego na podstawie kraju, adresów IP lub innych reguł. Nie jest to jednak uniwersalna metoda ochrony — atakujący mogą korzystać z serwerów pośredniczących znajdujących się w innych krajach.

Najczęściej blokuje się dostęp do panelu logowania oraz /wp-admin, pozostawiając stronę dostępną dla normalnych użytkowników. Taką funkcję oferują m.in. Cloudflare czy Wordfence Premium.

Korzyści:

• mniej prób włamań,
• ograniczenie ruchu botów,
• mniejsze obciążenie serwera,
• lepsza ochrona strony.

Monitorowanie dostępności i bezpieczeństwa

Monitoruj dostępność i bezpieczeństwo strony. Narzędzia do monitorowania dostępności (uptime monitoring) regularnie sprawdzają, czy strona odpowiada i działa poprawnie. W razie awarii mogą automatycznie wysłać powiadomienie e-mailowe, dzięki czemu możesz szybko zareagować, zanim problem zauważą klienci.

Samo sprawdzanie dostępności nie wystarczy jednak do wykrycia włamania. Warto również monitorować alerty bezpieczeństwa, próby logowania, zmiany plików i inne nietypowe zdarzenia. Wtyczki bezpieczeństwa, takie jak wspomniany Wordfence, mogą informować o podejrzanej aktywności, wykrytych zagrożeniach czy nieaktualnych komponentach strony.

Regularna kontrola pozwala szybciej wykryć zarówno awarie, jak i próby przejęcia strony. Im wcześniej zauważysz problem, tym łatwiej ograniczyć jego skutki i przywrócić prawidłowe działanie witryny.

Szyfrowane połączenie

Używaj protokołu HTTPS. HTTPS wykorzystuje protokół TLS do szyfrowania komunikacji i certyfikat do uwierzytelnienia serwera. Dzięki temu dane przesyłane podczas korzystania ze strony, takie jak loginy czy hasła, są chronione przed przechwyceniem. Współczesne certyfikaty wykorzystują protokół TLS (Transport Layer Security), choć określenie „certyfikat SSL” nadal jest powszechnie używane. HTTPS to dziś podstawa bezpiecznej komunikacji w Internecie.

Hosting LH (link afiliacyjny), z którego korzystam, umożliwia włączenie bezpłatnego i automatycznie odnawianego certyfikatu SSL Let’s Encrypt (link afiliacyjny).

Najczęstsze błędy w zabezpieczaniu WordPressa

Z doświadczenia wiem, że wiele problemów z bezpieczeństwem WordPressa nie wynika z zaawansowanych ataków, ale z podstawowych błędów konfiguracyjnych i braku regularnej administracji. To właśnie te błędy najczęściej prowadzą do przejęcia strony lub infekcji malware.

Najczęściej spotykane błędy to:

• brak regularnych aktualizacji WordPressa, motywów i wtyczek,
• używanie słabych lub powtarzanych haseł,
• brak dwuskładnikowego logowania (2FA),
• pozostawienie domyślnego loginu „admin”,
• instalowanie wtyczek z niepewnych źródeł (tzw. nulled),
• brak backupów lub ich przechowywanie tylko na tym samym serwerze,
• ignorowanie logów bezpieczeństwa i alertów z wtyczek.

W praktyce większość włamań nie wymaga „hakowania”, tylko wykorzystuje te podstawowe luki.

Dbanie o bezpieczeństwo to proces

Bezpieczny WordPress wymaga regularnej kontroli. Aktualizowanie systemu, wtyczek i motywu, przeglądanie kont użytkowników, wykonywanie kopii zapasowych czy reagowanie na alerty bezpieczeństwa to nie jednorazowe zadania, ale część bieżącej administracji strony.

Nie istnieje jedno rozwiązanie, które zabezpieczy WordPressa przed wszystkimi zagrożeniami. Najlepsze efekty daje połączenie kilku warstw ochrony: aktualnego oprogramowania, odpowiednich uprawnień, silnego uwierzytelniania, backupów oraz — zależnie od potrzeb strony — wtyczki bezpieczeństwa i CDN/WAF.

Jeśli nie chcesz samodzielnie zajmować się aktualizacjami, backupami i monitorowaniem strony, możesz powierzyć jej bieżącą administrację osobie, która się na tym zna. Moją ofertę opieki nad stroną znajdziesz tutaj.