WordPress alimentează peste 43% din internet, ceea ce îl face și cea mai atacată platformă CMS din lume. Hackerii nu atacă aleatoriu, ci folosesc boti automatizați care scanează continuu vulnerabilitățile cunoscute.
Un site WordPress compromis poate fi infectat cu malware, poate trimite spam, poate fi eliminat din indexul Google sau poate fi folosit pentru atacuri asupra altor site-uri. Securizarea nu este opțională.
Securizarea WordPress: pași esențiali pentru protejarea website-ului
Securitatea WordPress este un proces continuu, nu o acțiune unică. Principiul de bază este „defense in depth”: implementezi mai multe straturi de protecție, astfel că și dacă un strat este compromis, celelalte limitează daunele.
Un site nesecurizat afectează direct și SEO. Google detectează website-urile infectate cu malware și le marchează ca nesigure în Chrome sau le elimină din index. Recuperarea după un incident de securitate este de multe ori mai costisitoare decât prevenția.
Actualizări: prima linie de apărare
Majoritatea atacurilor exploatează vulnerabilități cunoscute în WordPress core, teme și pluginuri pentru care există deja patch-uri de securitate. Ținerea la zi a tuturor componentelor este cel mai simplu și eficient mod de securizare.
Activează actualizările automate pentru versiunile minore de securitate ale WordPress. Pentru teme și pluginuri, verifică și aplică actualizările cel puțin săptămânal. Niciodată nu lăsa versiuni vechi, neactualizate, active pe site.
Dacă administrezi website-ul prin cPanel, poți activa backup-uri automate zilnice. Înainte de orice actualizare majoră, creează un backup complet al fișierelor și bazei de date.
Autentificare puternică și protecție login
Pagina de login WordPress (/wp-admin sau /wp-login.php) este prima țintă a atacurilor brute force. Limitarea tentativelor de autentificare este obligatorie.
Activează autentificarea cu doi factori (2FA) pentru toate conturile de administrator. Pluginuri precum Google Authenticator sau WP 2FA adaugă un al doilea strat de verificare după parola standard.
Schimbă URL-ul implicit de login din /wp-admin în ceva personalizat și mai greu de ghicit. Pluginuri precum WPS Hide Login fac această schimbare simplu, fără modificări de cod.
Folosește parole complexe, cu minim 16 caractere, combinând litere mari și mici, cifre și caractere speciale. Managerul de parole WordPress generează și stochează automat parole puternice.
Permisiuni fișiere și directoare
Permisiunile incorecte ale fișierelor sunt o vulnerabilitate frecventă. Setările recomandate sunt: 644 pentru fișiere și 755 pentru directoare. Fișierul wp-config.php trebuie să aibă permisiunea 600 sau 640.
Niciodată nu seta permisiuni 777 pe fișiere sau directoare pe un server de producție. Aceasta permite oricui să scrie sau execute fișiere, o vulnerabilitate critică. Verifică și corectează permisiunile prin File Manager în cPanel sau prin SSH.
Dezactivează editarea fișierelor din panoul WordPress (Aspect → Editor) adăugând define('DISALLOW_FILE_EDIT', true); în wp-config.php. Dacă un atacator obține acces la panoul de admin, nu va putea modifica direct fișierele PHP.
HTTPS și certificatul SSL
Un certificat SSL activ este obligatoriu, nu opțional. HTTPS protejează datele transmise între browser și server și este un factor de ranking confirmat de Google. Site-urile fără HTTPS sunt marcate ca „nesigure” în Chrome.
Certificatele Let’s Encrypt sunt gratuite și se pot instala din cPanel prin secțiunea SSL/TLS. Odată instalat, configurează WordPress să folosească exclusiv HTTPS și adaugă redirecturi 301 de la HTTP la HTTPS.
Plugin de securitate dedicat
Wordfence Security sau Sucuri Security adaugă un firewall la nivel de aplicație (WAF), scanare anti-malware și monitorizare în timp real a activității website-ului. Versiunile gratuite oferă protecție adecvată pentru majoritatea site-urilor.
Configurează alerte email pentru activitate suspectă: login-uri eșuate repetate, modificări de fișiere core, noi utilizatori creați. Detecția rapidă limitează daunele unui eventual incident.
Combină pluginul de securitate cu HTTPS corect configurat și cu actualizările regulate pentru o protecție solidă, în straturi. Monitorizează periodic și traficul în Google Analytics 4 pentru a detecta anomalii care ar putea indica un compromis.
Monitorizarea continuă și răspunsul la incidente
Securitatea unui website WordPress nu este o stare statică, ci un proces continuu. Configurează monitorizarea automată cu un plugin de securitate care verifică integritatea fișierelor core WordPress, detectează modificările neautorizate și alertează imediat prin email sau SMS.
Setează monitorizarea uptime-ului cu instrumente gratuite precum UptimeRobot sau Better Uptime. Acestea verifică disponibilitatea website-ului la fiecare 5 minute și trimit alerte imediate dacă website-ul devine inaccesibil, permițând intervenția rapidă înainte ca problema să afecteze traficul organic.
Realizează lunar un audit manual de securitate: verifică lista de utilizatori și rolurile lor, revizuiește pluginurile inactive (elimină-le, nu le dezactiva doar), verifică fișierele de log pentru activitate suspectă și asigură-te că toate actualizările au fost aplicate.
Securizarea bazei de date și a fișierelor server
Baza de date WordPress conține tot conținutul website-ului și credențialele utilizatorilor. Protejarea ei este la fel de importantă ca protejarea fișierelor website-ului. Schimbă prefixul tabelelor WordPress din wp_ în ceva aleatoriu la instalare sau cu ajutorul unui plugin specializat pentru website-urile existente.
Restricționează accesul la phpMyAdmin din cPanel doar de la adrese IP specifice, dacă adresa ta IP este statică. Accesul nerestricționat la phpMyAdmin reprezintă un risc semnificativ dacă parola contului cPanel este compromisă.
Configurează fișierul wp-config.php cu permisiunea 400 (doar citire de proprietar) și adaugă reguli în .htaccess pentru a bloca accesul direct la fișierele sensibile: xmlrpc.php dacă nu este utilizat, fișierele de log și fișierele de configurare care nu trebuie să fie accesibile public.
Protecția împotriva injecțiilor SQL și XSS
Injecțiile SQL și atacurile Cross-Site Scripting (XSS) sunt dintre cele mai comune vulnerabilități exploatate pe website-urile WordPress. Injecțiile SQL încearcă să manipuleze interogările bazei de date prin câmpuri de formular sau parametri URL, pentru a extrage sau modifica date sensibile.
Un firewall la nivel de aplicație (WAF) blochează aceste tentative înainte ca ele să ajungă la codul PHP sau la baza de date. Wordfence și Cloudflare WAF oferă protecție excelentă împotriva atacurilor comune. Actualizarea regulată a pluginurilor elimină vulnerabilitățile cunoscute prin care aceste atacuri pot fi executate și este cea mai simplă formă de prevenție.
Securizarea unui website WordPress este un proces continuu, nu o acțiune unică. Amenințările evoluează constant, iar măsurile de securitate trebuie să evolueze în consecință. Alocă lunar câteva ore pentru verificarea stării de securitate, aplicarea actualizărilor și revizuirea configurațiilor. Costul prevenirii este incomparabil mai mic decât costul recuperării după un incident de securitate major, care poate include pierderea datelor, penalizări SEO și prejudicii de reputație greu de remediat.
