Securitate WordPress: 12 măsuri și ce faci dacă site-ul e spart

Majoritatea site-urilor WordPress sparte nu sunt atacate personal, ci găsite automat de roboți care caută pluginuri neactualizate și parole slabe. Mai jos ai 12 măsuri practice care închid aceste uși și pașii de urmat dacă site-ul tău a fost deja compromis.

12 măsuri care contează cu adevărat

1. Actualizează tot: nucleul, pluginurile și temele

Cele mai multe breșe vin din pluginuri sau teme cu vulnerabilități deja cunoscute și reparate. Doar că proprietarul site-ului nu a instalat încă actualizarea. Pornește actualizările automate pentru versiunile minore ale WordPress și pentru pluginurile de încredere (Panou de control → Actualizări, respectiv linkul „Activează actualizările automate” din lista de pluginuri). Pe celelalte verifică-le măcar o dată pe săptămână.

2. Parole lungi și unice

Folosește un manager de parole și generatorul din WordPress. Fiecare cont are parola lui: WordPress, panoul de găzduire, FTP/SFTP, baza de date și e-mailul. Evită numele firmei, al site-ului sau cuvintele din dicționar.

3. Autentificare în doi pași (2FA)

Un cod dintr-o aplicație de autentificare oprește aproape toate atacurile cu parole furate. Activează 2FA cel puțin pentru administratori, printr-un plugin de încredere. Activează-l și pe contul din zona de client și pe cel din panoul de găzduire, dacă e disponibil.

4. Mai puține pluginuri și teme

Fiecare plugin e cod în plus care poate avea o vulnerabilitate. Șterge (nu doar dezactiva) pluginurile și temele pe care nu le folosești. Păstrează o singură temă de rezervă.

5. Doar din surse de încredere

Instalează pluginuri și teme din directorul oficial wordpress.org sau de la dezvoltatori cunoscuți. Nu folosi niciodată versiuni „nulled” (piratate) ale temelor plătite, pentru că vin des cu cod malițios inclus. Înainte de instalare, uită-te la data ultimei actualizări și la recenzii.

6. Fiecare utilizator cu drepturile minime

WordPress are roluri: Administrator, Editor, Autor, Colaborator, Abonat. Cine scrie articole nu are nevoie de rol de Administrator. Șterge conturile vechi, ale foștilor colaboratori sau ale agenției care a făcut site-ul. Nu folosi „admin” ca nume de utilizator.

7. Copii de siguranță pe care le ții tu

Backupul e asigurarea ta, iar conform termenilor noștri de utilizare, de el te ocupi tu. Salvează atât fișierele, cât și baza de date, păstrează copiile în afara serverului (pe calculator sau într-un spațiu cloud) și ține mai multe versiuni. O infecție poate rămâne nedescoperită câteva săptămâni. Din când în când, încearcă o restaurare de probă.

8. Permisiuni corecte pentru fișiere

Ghidul oficial de securizare recomandă 755 pentru directoare și 644 pentru fișiere. Pentru wp-config.php, permisiunile trebuie să fie cât mai restrictive (ghidul indică de regulă 400 sau 440, în funcție de server). Nu seta niciodată 777, chiar dacă un tutorial îți spune asta.

9. Dezactivează editorul de fișiere din panou

Dacă cineva intră în contul tău de administrator, editorul de teme și pluginuri îi permite să scrie cod PHP direct pe server. Adaugă în wp-config.php:

define( 'DISALLOW_FILE_EDIT', true );

Modificările de cod le faci apoi prin SFTP sau din managerul de fișiere al găzduirii.

10. Limitează încercările de autentificare

Roboții încearcă mii de parole pe wp-login.php. Un plugin de securitate sau de limitare a autentificărilor blochează temporar adresele IP după câteva încercări greșite. Combinat cu 2FA, atacul prin forță brută devine practic inutil.

11. Conexiuni criptate peste tot

Folosește HTTPS pe tot site-ul, ca parolele să nu circule necriptat. Pentru transferul de fișiere, alege SFTP sau FTPS în locul FTP-ului simplu. Nu te autentifica în panoul de administrare din rețele Wi-Fi publice fără să fii sigur de conexiune.

12. Monitorizează

• Un plugin de jurnal de activitate îți arată cine s-a autentificat și ce a modificat.
• Scanarea fișierelor semnalează fișiere noi sau modificate în wp-admin, wp-includes și în teme.
• Google Search Console te anunță dacă Google detectează probleme de securitate pe site.
• Un serviciu de monitorizare a disponibilității îți trimite e-mail când site-ul nu mai răspunde.

Ce faci dacă site-ul a fost spart

Semne tipice: redirecționări către site-uri dubioase, avertismente Google, utilizatori administratori pe care nu i-ai creat, e-mailuri spam trimise de pe server. Pașii de mai jos urmează recomandările din ghidul WordPress pentru site-uri compromise:

1. Păstrează-ți calmul și notează ce vezi, de când și ce ai schimbat recent (un plugin nou, o temă).
2. Fă o copie a stării actuale, chiar infectată, înainte de orice curățenie.
3. Scanează și calculatorul tău cu antivirusul. Uneori parolele sunt furate chiar de pe el.
4. Schimbă toate parolele: WordPress (pentru toți utilizatorii), panoul de găzduire, FTP/SFTP, baza de date. Regenerează cheile de securitate din wp-config.php ca să deconectezi pe toată lumea.
5. Curăță sau restaurează. Dacă ai un backup curat, de dinaintea infecției, restaurează-l. Altfel, înlocuiește wp-admin și wp-includes cu fișiere proaspete de aceeași versiune, reinstalează pluginurile și temele din surse oficiale și verifică .htaccess și fișierele din wp-content/uploads (acolo nu ar trebui să existe fișiere PHP).
6. Actualizează tot și schimbă din nou parolele după curățenie.
7. Cere reverificarea în Google Search Console, dacă site-ul a fost marcat.
8. Scrie-ne la [email protected] dacă ai nevoie de jurnale de acces sau dacă serverul trimite spam. Pentru găzduirea partajată, e important să știm.

Checklist de securitate WordPress

• Nucleu, pluginuri și teme actualizate, cu actualizări automate unde se poate.
• Parole unice și 2FA pentru administratori.
• Pluginuri și teme nefolosite șterse, doar din surse de încredere.
• Utilizatori cu roluri minime, fără conturi vechi.
• Backup cu fișiere și bază de date, păstrat în afara serverului și testat.
• Permisiuni 755/644, wp-config.php restricționat, DISALLOW_FILE_EDIT activ.
• Încercări de autentificare limitate, HTTPS și SFTP.
• Jurnal de activitate, scanare și monitorizare active.

Vrei un mediu gândit pentru WordPress? Vezi pachetele de găzduire WordPress. Dacă ai întrebări despre ce include fiecare pachet, consultă întrebările frecvente sau scrie-ne.