/ Aktualności
Włamania na WordPressa, które wiele mnie nauczyły
- Data:
Sprzątałam po włamaniach na strony klientów. Częste przyczyny to: brak aktualizacji, słaby hosting i brak kopii. Przeczytaj jak uniknąć podobnych błędów i jak dobrze zadbać o stronę na WordPressie.
„Tylko nie WordPress, słyszałam, że ciągle go włamują.” Coraz częściej słyszę to na pierwszej rozmowie z klientem. Rozumiem ten strach, bo sama sprzątałam po włamaniach na strony klientów. Ale kiedy patrzę na te historie z perspektywy czasu, żadna nie zaczęła się od tego, że „WordPress jest dziurawy”.
Zaczęło się od trzech rzeczy:
- Nikt nie aktualizował strony ani do niej nie zaglądał.
- Strona stała na tanim hostingu, który nie robił porządnych kopii zapasowych.
- Klient zakładał, że strona to jednorazowy wydatek, jak ulotka.
1. Strona działa, po co płacić?
Po oddaniu strony zaproponowałam klientowi prostą opiekę: raz na dwa, trzy miesiące wchodzę, aktualizuję, sprawdzam, czy wszystko działa.
Odmówił. Usłyszałam argument, który zna chyba każdy, kto robi strony: „przecież działa, poradzę sobie sam”.
Oczywiście, właściele firm nie mają tyle czasu, aby regularnie sprawdzać strony lub pilnować swoich pracowników. Jeden taki wypadek, trwał dwa lata; przez ten czas na stronie nikt nie zaktualizował ani jednej wtyczki. Każda z nich to kawałek kodu napisany przez kogoś innego. Kiedy twórca znajduje w nim lukę, wypuszcza poprawkę. Ale poprawka nic nie daje, jeśli nikt jej nie zainstaluje. A boty wiedzą o luce równie szybko jak twórcy.
Czego mnie to nauczyło? Strona bez opieki, przy AI, który ma coraz większy dostęp do sieci, gdzie coraz trudniej jest zadbać o cyber bezpieczeństwo taka pozostawiona strona sama sobie to mini rachunek, który przychodzi wyrównać wcześniej czy później. Dziś od początku mówię klientom wprost, że WordPress bez przeglądu to jak samochód bez przeglądu technicznego. Może jeździć do czasu, aż…się zepsuje 😉
2. Brak kopii zapasowych od hostingu
Druga historia boli bardziej, bo można było jej uniknąć jednym pytaniem zadanym przy zakupie hostingu.
Klientka prowadzi salon kosmetyczny. Strona stała na tanim hostingu i wydawało się, że wszystko jest w porządku. Po włamaniu okazało się, że hosting robił kopię zapasową raz na pół roku. Raz na pół roku.
Co to oznacza w praktyce? Przywrócenie strony z kopii cofało ją o 7 miesięcy. Znikało wszystko, co zostało dodane w tym czasie: nowe zabiegi, zmiany w cenniku, wpisy, zamówienia, zdjęcia. Do tego nie było pewności, czy kopia sprzed pół roku sama była czysta.
Czego mnie to nauczyło: hosting to nie jest miejsce, na którym się oszczędza. Różnica między hostingiem za grosze a porządnym to często kilkadziesiąt złotych rocznie. Różnica przy włamaniu to pół roku pracy. Dziś nie stawiam stron klientów na hostingu, który nie robi codziennych kopii.
3. WordPress potrzebuje opieki
Choćbym nie wiem jak się starała zabezpieczyć WordPressa to jest to darmowe narzędzie, do którego AI ma pełny dostęp w sieci. Każdy może znaleźć lukę w aktualizacji, jakieś wtyczce i przy hostingu, który nie blokuje botów i logowań tym bardziej jest to niebezpieczne.
Nie będę udawać, że WordPress to system „ustaw i zapomnij”. Według raportu Patchstack w 2025 roku w samym rdzeniu WordPressa znaleziono tylko 6 luk, wszystkie o niskiej wadze. Zdecydowana większość podatności (91%) dotyczyła wtyczek.
Dlatego mój wniosek jest prosty:
- WordPress jest bezpieczny, jeśli ktoś go pilnuje. Regularnie, a nie „kiedyś”.
- Tym kimś powinien być profesjonalista. Kliknięcie „aktualizuj wszystko” bez kopii i bez sprawdzenia strony potrafi ją zepsuć równie skutecznie jak włamanie.
- Jeśli nie chcesz nikogo, kto zagląda do strony, nie wybieraj WordPressa. To uczciwsze niż udawanie, że problem nie istnieje.
WordPress ma ogromne możliwości, jest łatwy w obsłudze i dla wielu osób zostanie niezastąpiony. Jednak mimo wszystko, jeśli nie zamierzasz prowadzić bardzo aktywnego bloga, usług, sama aktualizować na bieżąco dane, polecam zwykłą, statyczną stronę. Raz na kilka miesięcy zbierasz aktualizację i przekazujesz specjaliście dodanie czy to wpisu, czy update.
Koszt może być niższy niż aktualizacje na bieżąco 🙂
| Regularna opieka | Brak opieki i włamanie |
|---|---|---|
Koszt pieniężny | [Twoja cena za przegląd] × 4–6 razy w roku | [Twoja cena za usunięcie infekcji] + ewentualna odbudowa treści |
Czas | kilka godzin rocznie, po mojej stronie | [ile dni] bez działającej strony |
Treści | zawsze jest świeża kopia | ryzyko utraty miesięcy pracy |
bez zmian | ostrzeżenia, spam w wynikach, spadki pozycji | |
Klienci | nic nie zauważają | widzą ostrzeżenie albo obcą stronę |
4. Jak wygląda opieka nad WordPressem? Moje minimum
To nie jest nic skomplikowanego. To jest po prostu regularne. Tak wygląda mój przegląd strony na WordPressie:
- Kopia zapasowa przed czymkolwiek. Pełna: pliki i baza danych, zapisana poza serwerem.
- Aktualizacje rdzenia WordPressa, wtyczek i motywu, pojedynczo, a nie jednym kliknięciem.
- Porządek we wtyczkach. Usuwam te, które nie są używane albo których twórca przestał je rozwijać. Każda zbędna wtyczka to dodatkowe drzwi do domu.
- Kontrola kont. Sprawdzam, kto ma dostęp do panelu, usuwam stare konta, włączam logowanie dwuetapowe.
- Test po aktualizacji. Klikam najważniejsze podstrony, wysyłam testowe zapytanie z formularza, sprawdzam wersję na telefonie.
- Skan bezpieczeństwa i szybki rzut oka na to, czy Google nie zgłasza problemów.
- Krótka notatka dla klienta: co zostało zrobione i czy coś wymaga decyzji.
Pomiędzy przeglądami powinny działać automatyczne kopie zapasowe (codziennie) i monitoring, który da znać, gdy strona przestanie działać.
5. Pytania do hostingu, zanim postawisz na nim stronę
Pytanie | Dobra odpowiedź | Czerwona flaga |
|---|---|---|
Jak często robicie kopie zapasowe? | codziennie | raz w tygodniu lub rzadziej |
Jak długo je przechowujecie? | co najmniej 14–30 dni wstecz | tylko ostatnia kopia |
Czy mogę samodzielnie przywrócić kopię? | tak, z panelu, w kilka minut | tylko przez zgłoszenie, płatnie |
Czy macie ochronę przed atakami (firewall, skan malware)? | tak, w cenie | „to po stronie klienta” |
Jak szybko odpowiada support? | w godzinach, także po polsku | kilka dni, tylko formularz |
Nawet przy dobrym hostingu warto mieć własną kopię poza serwerem. Jeśli hosting padnie albo włamanie obejmie całe konto, kopia u tego samego dostawcy może nie wystarczyć.
6. A może w ogóle nie WordPress?
Czasem to dobra odpowiedź. Strona statyczna to gotowe pliki HTML bez bazy danych i bez wtyczek działających na serwerze. Prawie nie ma w niej czego atakować, więc nie wymaga regularnych aktualizacji.
Ma sens, gdy:
- strona to wizytówka albo oferta, a treść zmieniasz kilka razy w roku,
- nie potrzebujesz sklepu, rezerwacji ani strefy klienta,
- wolisz zapłacić za pojedynczą zmianę niż za stałą opiekę.
WordPress wygrywa, gdy publikujesz regularnie, samodzielnie edytujesz treści albo potrzebujesz sklepu czy rezerwacji. Wtedy po prostu wliczam opiekę w koszt strony od pierwszego dnia.
Jedno pytanie rozstrzyga większość rozmów z klientami: kto i jak często będzie zmieniał treść na stronie?
Najczęstsze pytania
Jak często aktualizować WordPressa? Przegląd z aktualizacjami raz na 2–3 miesiące to minimum dla małej strony. Krytyczne poprawki bezpieczeństwa warto wgrywać od razu, bo boty zaczynają wykorzystywać znane luki bardzo szybko, często w ciągu kilku godzin.
Czy mogę aktualizować stronę samodzielnie? Możesz, jeśli przed każdą aktualizacją robisz kopię i po niej sprawdzasz, czy strona działa. Najwięcej awarii widzę po kliknięciu „aktualizuj wszystko” bez kopii.
Skąd mam wiedzieć, że moja strona została zainfekowana? Najczęstsze sygnały: dziwne wyniki w Google (np. obce produkty pod Twoją domeną), przekierowania na inne strony, ostrzeżenie w przeglądarce, mail od hostingu o zablokowaniu konta.
Jak sprawdzić, jak często mój hosting robi kopie? Zajrzyj do opisu pakietu albo napisz do supportu. Jeśli odpowiedź brzmi „raz w tygodniu” albo rzadziej, czas na zmianę.
Ile kosztuje opieka nad stroną? Opieka rozliczana jest godzinowo. Możesz wybrać pakiety – np. 1 godzina miesięcznie lub więcej (jeśli masz sklep).
Nie wiesz, w jakim stanie jest Twoja strona?
Zapraszam do kontaktu – sprawdzę wersje wtyczek, kopie zapasowe i hosting, i powiem wprost, co wymaga uwagi.
Autor: Anna Sieradzka
GRAFINARNIA