WordPress napędza ogromną część stron w internecie, także wiele stron firmowych w Polsce. To zaleta, bo jest dla niego mnóstwo dodatków i specjalistów. Ma to też ciemną stronę: popularne systemy są ulubionym celem automatycznych ataków. Dobra wiadomość jest taka, że większości problemów da się uniknąć kilkoma prostymi nawykami.

Dlaczego WordPress wymaga regularnej opieki?

  • Jest popularny, więc atakujący piszą programy, które automatycznie przeszukują internet w poszukiwaniu stron z lukami.
  • Najwięcej luk jest we wtyczkach. Według zestawień firmy Patchstack za 2025 rok ok. 9 na 10 nowo wykrytych luk w ekosystemie WordPressa dotyczyło wtyczek, a tylko nieliczne samego rdzenia WordPressa.
  • Ataki zaczynają się szybko. Po ujawnieniu luki pierwsze próby jej wykorzystania pojawiają się często w ciągu godzin lub dni. Strona aktualizowana „raz na jakiś czas” jest narażona przez tygodnie.

Co trzeba aktualizować?

  1. WordPressa, czyli sam system strony.
  2. Wtyczki: formularze, galerie, SEO, sklep i wszystkie inne dodatki.
  3. Motyw, czyli wygląd strony.
  4. PHP, czyli oprogramowanie na serwerze, na którym działa WordPress. Starsze wersje przestają dostawać poprawki bezpieczeństwa. Wersję zmienia się zwykle w panelu hostingu.

Jak bezpiecznie aktualizować WordPressa?

  1. Zrób kopię zapasową plików i bazy danych.
  2. Przy większych stronach i sklepach sprawdź aktualizację najpierw na kopii testowej strony.
  3. Aktualizuj po kolei: najpierw wtyczki, potem motyw, na końcu WordPressa. Przy problemie łatwiej znaleźć winnego.
  4. Sprawdź stronę po aktualizacji: stronę główną, formularz kontaktowy, koszyk i płatności w sklepie, wersję na telefonie.
  5. Jeśli coś nie działa, przywróć kopię i poszukaj przyczyny na spokojnie, zamiast łatać na żywej stronie.

Kopie zapasowe: jak robić je dobrze?

  • Kopiuj pliki i bazę danych. Sama baza albo same pliki nie wystarczą do odtworzenia strony.
  • Przechowuj kopie poza serwerem strony. Kopia na tym samym serwerze zniknie razem z nim przy awarii albo włamaniu.
  • Trzymaj kilka wersji wstecz. Włamanie bywa zauważone po tygodniach, więc kopia z wczoraj może być już zainfekowana.
  • Sprawdzaj przywracanie. Kopia, której nikt nigdy nie przywracał, to tylko nadzieja.
  • Pomocna zasada 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza firmą.

Jak zabezpieczyć WordPressa?

  • Mocne, unikalne hasła i logowanie dwuetapowe dla administratorów.
  • Jak najmniej kont administratora. Pracownikom, którzy tylko dodają wpisy, wystarczą niższe uprawnienia.
  • Usuń nieużywane wtyczki i motywy. Wyłączona wtyczka wciąż leży na serwerze i może mieć lukę.
  • Instaluj tylko sprawdzone wtyczki: regularnie aktualizowane, z dużą liczbą instalacji i dobrymi opiniami.
  • Aktualna wersja PHP i certyfikat bezpieczeństwa na stronie.
  • Ograniczenie prób logowania i ochrona panelu przed zgadywaniem haseł.

Strona została zhakowana. Co robić?

  1. Nie panikuj, ale działaj od razu. Jeśli strona rozsyła spam albo przekierowuje na podejrzane strony, włącz tryb serwisowy lub tymczasowo ją wyłącz.
  2. Zmień wszystkie hasła: do WordPressa, hostingu, FTP, bazy danych i poczty.
  3. Przywróć czystą kopię sprzed włamania. Jeśli jej nie ma, potrzebne będzie ręczne czyszczenie przez specjalistę.
  4. Zaktualizuj wszystko i usuń nieznane konta użytkowników, wtyczki i pliki.
  5. Sprawdź Google Search Console: raport „Problemy dotyczące bezpieczeństwa” pokaże, czy Google oznaczył stronę jako niebezpieczną. Po naprawie poproś tam o ponowne sprawdzenie.
  6. Sprawdź, czy wyciekły dane osobowe, np. klientów sklepu. Jeśli tak, RODO może wymagać zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin i poinformowania osób, których dotyczy.
  7. Znajdź przyczynę, najczęściej nieaktualną wtyczkę albo wykradzione hasło, żeby włamanie się nie powtórzyło.

Ile czasu i pieniędzy to kosztuje?

Samodzielnie: kilkanaście minut co tydzień na aktualizacje i sprawdzenie strony oraz chwila na skonfigurowanie automatycznych kopii. Zlecone specjaliście: na rynku stała opieka to zwykle ok. 100–500 zł netto miesięcznie. Więcej o kosztach w poradniku Ile kosztuje utrzymanie strony internetowej?

Czy prosta strona musi być na WordPressie?

Nie zawsze. WordPress świetnie sprawdza się tam, gdzie często dodajesz treści albo potrzebujesz wielu funkcji. Prosta strona firmowa może być zbudowana jako strona statyczna, bez bazy danych i wtyczek. Taka strona ma mniej elementów do aktualizowania i mniej miejsc, przez które można się włamać. Tak zbudowaliśmy na przykład naszą stronę m1web.pl.

Jak pomagamy w M1web

Przejmujemy opiekę nad stronami na WordPressie, także takimi, których nie budowaliśmy: zaczynamy od przeglądu, potem zabezpieczamy stronę, ustawiamy kopie zapasowe i regularne aktualizacje. Zobacz, co obejmuje opieka nad stroną internetową.