Un site WordPress sigur se bazează pe câteva obiceiuri simple: actualizări la zi, parole puternice cu autentificare în doi pași, un singur plugin de securitate bine configurat, backup-uri externe zilnice și un hosting serios. Majoritatea atacurilor nu sunt țintite: roboții caută automat site-uri cu pluginuri vechi și parole slabe. Dacă nu ești ținta ușoară, ești deja în siguranță față de 90% dintre ele.
De ce e atacat WordPress
WordPress rulează peste 40% din site-urile lumii, deci e cea mai mare țintă. Nucleul WordPress e sigur și bine întreținut. Aproape toate breșele vin din pluginuri și teme neactualizate, din parole slabe și din teme sau pluginuri piratate („nulled”). Atacatorii folosesc site-urile compromise pentru spam, redirecționări, phishing sau minat criptomonede.
Rezumat: măsurile esențiale
- actualizări săptămânale pentru WordPress, temă și pluginuri;
- parole unice, manager de parole și 2FA pentru administratori;
- un plugin de securitate (firewall, scanare, protecția autentificării);
- backup zilnic stocat în afara serverului;
- HTTPS pe tot site-ul;
- permisiuni corecte pentru fișiere;
- un hosting de încredere, cu site-urile separate între ele.
Atenție: înainte de orice modificare de mai jos, fă un backup complet.
Măsuri de bază
1. Nu folosi numele de utilizator „admin”
„admin” e primul nume încercat de roboți. Creează un administrator nou, cu un nume greu de ghicit, autentifică-te cu el și șterge vechiul cont „admin”, atribuind conținutul noului utilizator. Setează și un „Nume afișat public” diferit de numele de utilizator.
2. Parole puternice și autentificare în doi pași
Folosește parole de cel puțin 16 caractere, unice pentru fiecare cont, generate și păstrate într-un manager de parole (Bitwarden, 1Password). Activează 2FA pentru toți administratorii și editorii: chiar dacă parola e furată, contul rămâne protejat.
3. Actualizează constant
Fiecare actualizare de securitate închide o vulnerabilitate devenită publică, adică exact cea pe care roboții o caută. Actualizează săptămânal, după backup, și testează site-ul după update. Șterge pluginurile și temele pe care nu le folosești.
4. Un plugin de securitate
Îți trebuie un singur plugin, bine configurat. Mai multe se încurcă între ele și încetinesc site-ul.
- Wordfence: firewall la nivel de aplicație, scanare malware, 2FA, limitarea autentificărilor. Versiunea gratuită e foarte bună.
- Sucuri: monitorizarea integrității fișierelor și jurnal de activitate. Firewall-ul în cloud (plătit) oprește atacurile înainte să ajungă la server.
- Solid Security (fostul iThemes Security): verificări de configurare, 2FA, protecție la forță brută.
5. Backup-uri zilnice, în afara serverului
Backup-ul e ultima linie de apărare. Programează-l zilnic, automat, cu stocare în cloud (UpdraftPlus, BlogVault, Solid Backups) sau la hosting, dacă oferă copii externe. Păstrează cel puțin 14–30 de zile de istoric și testează restaurarea.
6. HTTPS (certificat SSL)
Un certificat SSL criptează datele dintre vizitator și site: parole, formulare, plăți. E gratuit (Let’s Encrypt), obligatoriu pentru orice site serios și un semnal pozitiv pentru Google. Forțează HTTPS pe tot site-ul cu o redirecționare 301.
7. Permisiuni corecte pentru fișiere
- folderele:
755; - fișierele:
644; wp-config.php:600sau640;- niciodată
777.
8. Un hosting de încredere
Un hosting ieftin pune sute de site-uri pe același server. Dacă mai multe site-uri ale tale stau în același cont și unul e compromis, de obicei sunt infectate toate. Alege un hosting cu izolare între conturi, firewall pe server, scanare malware, PHP actual și backup-uri. Pentru site-uri care aduc venituri, un VPS gestionat sau un hosting WordPress dedicat merită investiția.
Măsuri avansate
Fă un backup înainte și după fiecare dintre modificările de mai jos.
1. Protejează fișierul wp-config.php
Pe Apache sau LiteSpeed, adaugă în .htaccess:
<Files wp-config.php>
Require all denied
</Files>Adaugă și în wp-config.php linia care dezactivează editorul de fișiere din panou:
define( 'DISALLOW_FILE_EDIT', true );2. Blochează executarea PHP în folderul uploads
Creează un fișier .htaccess în wp-content/uploads cu:
<FilesMatch "\.(php|phtml|php5|php7|phar)$">
Require all denied
</FilesMatch>Chiar dacă un atacator reușește să încarce un fișier, acesta nu poate fi executat.
3. Limitează încercările de autentificare
Blochează IP-urile după câteva încercări eșuate (Loginizer, Wordfence, Solid Security). Dezactivează și XML-RPC, dacă nu-l folosești (de exemplu pentru Jetpack sau aplicația mobilă).
4. Ascunde indiciile de la autentificare
Implicit, WordPress îți spune dacă ai greșit numele de utilizator sau parola, deci îi confirmă atacatorului că un cont există. Pluginurile de securitate pot afișa un mesaj generic. Blochează și enumerarea utilizatorilor prin ?author=1 și prin REST API.
5. Schimbă adresa de autentificare (opțional)
Mutarea paginii de login de la /wp-login.php la o adresă personalizată reduce traficul roboților. Nu e o protecție reală în sine, dar scade zgomotul din jurnale și încărcarea pe server.
6. Un firewall în fața site-ului
Cloudflare (inclusiv planul gratuit), firewall-ul Sucuri sau firewall-ul hostingului (Imunify360, ModSecurity) opresc o mare parte din atacuri înainte să ajungă la WordPress.
7. Antete de securitate
Adaugă antetele HTTP Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy și o politică Content-Security-Policy adaptată site-ului. Le setezi din server, din CDN sau dintr-un plugin.
8. Cheile de securitate
Regenerează periodic cheile și „sările” din wp-config.php (generatorul oficial: api.wordpress.org/secret-key). Toate sesiunile active se deconectează.
Dacă e deja prea târziu
Site-ul a fost spart? Urmează pașii din site WordPress spart: ce faci. Ordinea contează.
Concluzie
Securitatea WordPress nu e o setare, ci un proces: update-uri, backup-uri, monitorizare. Dacă nu ai timp pentru asta, la WooCentury ne ocupăm noi lunar, de la 59 € pe lună: update-uri testate, backup-uri zilnice externe, scanări de securitate și monitorizare uptime. Începe cu verificarea gratuită, care îți arată în 20 de secunde problemele vizibile din exterior, sau vezi pachetele de mentenanță.
