„Moja strona ma SSL, więc jest bezpieczna” – to jedno z najczęściej powtarzanych nieporozumień w świecie web. Certyfikat SSL szyfruje połączenie między przeglądarką a serwerem. To ważne, ale to dosłownie jedno z kilkudziesięciu elementów bezpieczeństwa witryny.

Dlaczego SSL to tylko początek

SSL nie chroni przed włamaniem przez podatną wtyczkę. Nie chroni przed atakiem brute-force na panel administracyjny. Nie zapobiegnie infekcji złośliwym oprogramowaniem. Nie zastąpi backupu. SSL to zamek w drzwiach – niezbędny, ale bezużyteczny, jeśli okno jest otwarte.

Jak WordPress jest najczęściej atakowany?

Statystyki są jednoznaczne: ponad 90% ataków na WordPressa następuje przez przestarzałe wtyczki i motywy. Hakerzy automatycznie skanują internet w poszukiwaniu stron z konkretnymi wersjami podatnego oprogramowania. Jeśli Twoja wtyczka ma znany błąd bezpieczeństwa i nie zainstalowałeś aktualizacji – jesteś na liście.

Drugie najczęstsze wektory ataku to słabe hasła do panelu admina (ataki słownikowe i brute-force) oraz niechroniony plik wp-login.php. Zmiana domyślnego URL logowania i włączenie dwuskładnikowego uwierzytelniania drastycznie redukuje ryzyko.

Podstawowa checklista bezpieczeństwa

Aktualizacje: WordPress core, wszystkie wtyczki i motyw – regularnie, najlepiej w zarządzanym środowisku ze staging site. Hasła: unikalne, silne, z menedżerem haseł. 2FA: dwuskładnikowe uwierzytelnianie dla wszystkich kont admina. Backup: automatyczne codzienne kopie zapasowe przechowywane poza serwerem. Monitoring: narzędzie jak Wordfence lub Sucuri do wykrywania zmian w plikach i podejrzanego ruchu.

Backup – polisa ubezpieczeniowa Twojej strony

Backup to temat, o którym właściciele stron przypominają sobie dopiero po awarii. Zasada 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą (czyli poza serwerem). Dla WordPressa: backup bazy danych + backup plików, przechowywany np. na Google Drive lub Amazon S3. Backup na tym samym serwerze co strona – to nie jest backup.

Bezpieczeństwo strony to nie jednorazowe działanie, ale ciągły proces. Jeśli nie masz czasu i wiedzy, żeby zarządzać tym samodzielnie, warto zlecić agencji abonament serwisowy – koszt jest nieporównywalnie mniejszy niż przywracanie zhakowanej strony.