"Dostałam maila o 16 nieudanych próbach logowania na moją stronę z obcego adresu IP. Czy ktoś się do mnie włamuje?!" Takie wiadomości dostaję regularnie i zawsze zaczynam odpowiedź tak samo: oddychaj, to najpewniej boty, a Twoja strona właśnie zadziałała tak, jak powinna. W tym artykule uporządkuję cały temat bezpieczeństwa WordPressa od fundamentów: certyfikat SSL, ustawienia DNS, ochrona logowania i lista zabezpieczeń, którą wdrożysz w jedno popołudnie. Na końcu pokażę, jak zrobić z AI audyt bezpieczeństwa własnej strony.
SSL: kłódka, bez której nie zaczynasz
Certyfikat SSL szyfruje połączenie między odwiedzającą a Twoją stroną i daje tę zieloną kłódkę oraz adres z https. Bez niego przeglądarki straszą komunikatem o niebezpiecznej stronie, Google obniża pozycję, a formularze (zapis na newsletter, zakup!) wysyłają dane otwartym tekstem. Dobra wiadomość: na porządnych hostingach certyfikat Let's Encrypt jest w pakiecie za darmo i włącza się jednym przyciskiem w panelu.
Dwa scenariusze problemów, które znam z forum:
"Nie można dokonać aktualizacji certyfikatu dla domeny" tuż po zakupie hostingu. Jeśli kupiłaś domenę i hosting dosłownie przed chwilą, daj systemom czas. Świeża domena musi się rozpropagować w DNS, zanim wystawca certyfikatu będzie w stanie ją zweryfikować, a to trwa od kilkunastu minut do 24 godzin. Często okazuje się też, że certyfikat z pakietu już działa, a komunikat dotyczył ręcznej próby jego ponownej aktywacji. Sprawdź swoją stronę w przeglądarce: jest kłódka i https? To znaczy, że jest certyfikat. Jeśli po 24 godzinach nadal go nie ma, jedno zgłoszenie do supportu hostingu załatwia temat.
"Niestety, nie udało się odnaleźć tej strony" po instalacji WordPressa. Ten sam mechanizm: link aktywacyjny i adres strony potrzebują czasu na propagację DNS. Zanim uznasz, że coś zrobiłaś źle, odczekaj godzinę i spróbuj w trybie incognito.
Ogólna zasada dnia pierwszego: kupno domeny, hostingu i instalacja WordPressa to procesy, w których czas jest częścią procedury. Połowa "błędów" pierwszego dnia naprawia się sama w ciągu doby.
DNS i domeny: co gdzie wskazuje
Rekordy DNS to książka adresowa Twojej domeny: mówią internetowi, na jaki serwer kierować odwiedzających i kto może wysyłać maile w imieniu domeny (o rekordach SPF i DKIM pisałam szczegółowo przy okazji uwierzytelniania domeny w MailerLite). Trzy rzeczy, które warto wiedzieć:
- Domena i hosting u jednego dostawcy: DNS ustawia się sam i nie musisz nic robić.
- Domena u jednego, hosting u drugiego: w panelu dostawcy domeny przełączasz zarządzanie na zewnętrzny serwer DNS i wpisujesz adresy DNS hostingu.
- Edycja pojedynczych rekordów (np. dla poczty czy MailerLite): szukaj w panelu hostingu sekcji ze stronami WWW lub serwerami i opcji "Edytuj rekordy DNS" przy domenie. Panele hostingów zmieniają wygląd częściej, niż nagrywane są kursy, więc jeśli czegoś nie widzisz tam, gdzie było kiedyś, użyj wyszukiwarki w panelu albo zapytaj support.
Jeszcze jedna lekcja z forum dla osób z kilkoma domenami: WordPressa instaluj na swojej głównej, wykupionej domenie, a nie na domenie serwerowej (tej technicznej, w stylu serwerXXXX.nazwa-hostingu.pl). Pozostałe domeny ustaw jako przekierowania na główną. Jeśli support hostingu instaluje WordPressa za Ciebie i pyta, gdzie go postawić, odpowiedź brzmi: na docelowej domenie strony. Prostowanie tego później jest możliwe, ale wymaga przenosin i zabawy z katalogami na serwerze, więc lepiej ustawić dobrze za pierwszym razem.
Próby włamania: kiedy panikować (spoiler: prawie nigdy)
Wracamy do maila z początku: "16 failed login attempts from IP...". Co się właściwie stało? Boty nieustannie skanują internet i próbują logować się do każdego napotkanego WordPressa na typowe loginy i hasła. Twoja wtyczka ograniczająca próby logowania wykryła serię prób, zablokowała adres IP i wysłała Ci raport. Innymi słowy: zabezpieczenie zadziałało. Takie próby to codzienność każdej strony na świecie i ich obecność nie oznacza, że ktoś uwziął się akurat na Ciebie.
Kiedy zachować czujność naprawdę: gdy próby logowania dotyczą Twojego prawdziwego loginu (nie "admin"), gdy pojawiają się nieznane konta użytkowników, gdy strona zaczyna przekierowywać w dziwne miejsca albo w plikach pojawia się coś, czego nie wgrywałaś. To sygnały do natychmiastowego działania: zmiana haseł, skan bezpieczeństwa, kontakt z hostingiem.
A na co dzień wystarczy dobra profilaktyka. Oto ona.
Lista zabezpieczeń na jedno popołudnie
- Login inny niż "admin". Zauważ, że boty w raportach prawie zawsze atakują użytkownika "admin". Jeśli Twój login jest inny, połowa automatycznych ataków trafia w próżnię. Jeśli nadal masz "admin", utwórz nowe konto administratorki z unikalnym loginem, zaloguj się na nie i usuń stare (WordPress zapyta, komu przypisać treści).
- Silne, unikalne hasło przechowywane w menedżerze haseł. Długie zdanie bije krótkie dziwactwa.
- Wtyczka ograniczająca próby logowania (np. Limit Login Attempts Reloaded). Konkretny adres IP zablokujesz w jej ustawieniach, w zakładce z logami, wpisując go do pola blokad. I mała uwaga z praktyki: darmowe wersje takich wtyczek lubią dramatyzować liczbą "ataków", zachęcając do zakupu wersji pro. Traktuj liczby orientacyjnie, a spokój czerp z pozostałych punktów tej listy.
- Aktualizacje na bieżąco: WordPress, motyw, wtyczki. Większość realnych włamań wykorzystuje stare, dziurawe wersje wtyczek, a nie łamanie haseł.
- Usuń wtyczki i motywy, których nie używasz. Każda nieużywana wtyczka to potencjalne drzwi. Przed usunięciem sprawdź, czy nie pełni jakiejś cichej funkcji na stronie.
- Aktualna wersja PHP w panelu hostingu. Nowsze wersje są szybsze i łatane na bieżąco. Zmiana to jedno kliknięcie, a po niej sprawdź, czy strona działa poprawnie.
- Wyłącz rejestrację kont i komentarze, jeśli ich nie potrzebujesz (Ustawienia → Ogólne i Dyskusja). Mniej otwartych drzwi, mniej spamu.
- Automatyczne kopie zapasowe z zapisem poza serwerem strony. Kopia to Twoje bezpieczeństwo ostateczne: cokolwiek się stanie, wracasz do wczoraj. Szczegóły opisuję w artykule o kopii zapasowej WordPressa.
- Dwuskładnikowe logowanie (2FA) dla kont administracyjnych, wtyczką typu WP 2FA. Kod z telefonu zatrzymuje nawet bota, który zgadł hasło.
Tak, to wszystko. Nie potrzebujesz drogich wtyczek "security suite" z setką opcji, które spowalniają stronę. Te dziewięć punktów pokrywa realne ryzyka strony małego biznesu.
Audyt bezpieczeństwa z pomocą AI
Lista wyżej jest uniwersalna, ale Twoja strona jest konkretna: inny hosting, inne wtyczki, inne funkcje. Zamiast zgadywać, czego jeszcze Ci brakuje, zrób z czatem AI spersonalizowany audyt. Prompt, którego uczę:
Prowadzę stronę na WordPressie: [typ: blog / sklep WooCommerce / platforma kursowa], hosting [nazwa], motyw [nazwa], kluczowe wtyczki: [lista]. Logowanie zabezpieczam przez [co masz: limit prób / 2FA / nic]. Kopie zapasowe: [jak często i gdzie]. Przygotuj audyt bezpieczeństwa: oceń moją konfigurację punkt po punkcie, wskaż braki uporządkowane od największego ryzyka i podaj dla każdego konkretny krok naprawczy możliwy do wykonania w panelu WordPressa lub hostingu. Nie proponuj rozwiązań wymagających edycji kodu bez wyraźnego zaznaczenia ryzyka.
Model językowy zestawi Twoją konfigurację z typowymi wektorami ataku i zwróci listę priorytetów, co działa znacznie lepiej niż ogólny poradnik, bo odnosi się do Twojego zestawu narzędzi. Dwie żelazne zasady: nie podawaj w prompcie haseł, kluczy API ani pełnych adresów panelu logowania, a każdą sugestię dotyczącą plików lub bazy danych wdrażaj dopiero po zrobieniu kopii zapasowej. Ten sam schemat audytu z AI, rozszerzony o całą infrastrukturę biznesu online, przechodzimy w Akademii WordPress + AI.
Krok po kroku
- Sprawdź kłódkę i https na swojej stronie; jeśli ich nie ma, włącz certyfikat SSL w panelu hostingu (a przy świeżej domenie odczekaj do 24 godzin).
- Zmień login administratora, jeśli brzmi "admin", i ustaw silne hasło w menedżerze haseł.
- Zainstaluj wtyczkę ograniczającą próby logowania i włącz 2FA dla kont administracyjnych.
- Zaktualizuj WordPressa, motyw, wtyczki i wersję PHP, a nieużywane wtyczki usuń.
- Ustaw automatyczne kopie zapasowe z zapisem poza serwerem.
- Przeprowadź audyt z AI według mojego prompta i wdróż wskazane braki, zaczynając od najwyższego ryzyka.
