Audyt bezpieczeństwa WordPress: 7 błędów, które go unieważniają

Siedem telefonów w ciągu miesiąca, w których klient pyta o naprawę zhakowanej strony, choć pół roku wcześniej zamawiał „audyt bezpieczeństwa” u innego wykonawcy — to nie przypadek, tylko powtarzalny wzorzec. W większości tych przypadków audyt formalnie się odbył, tylko nie spełnił swojej roli. Poniżej błędy, które to powodują, i jak je wyeliminować.

1. Traktowanie audytu jako reakcji, nie prewencji

Najczęstszy scenariusz: audyt zamawiany jest dopiero po włamaniu, jako element naprawy. To wtedy nie jest już audyt bezpieczeństwa, tylko audyt powłamaniowy — inny zakres, inna cena, inny cel. Regularny audyt prewencyjny, wykonywany raz na pół roku lub rok, kosztuje mniej i pozwala wyłapać luki, zanim ktoś je wykorzysta.

2. Wybór najtańszego automatycznego skanu zamiast audytu ręcznego

Automatyczne skanery wykrywają znane sygnatury złośliwego kodu i przestarzałe wtyczki, ale nie sprawdzą logiki uprawnień użytkowników, konfiguracji serwera czy nietypowego backdoora ukrytego w plikach motywu. Skan za 100-200 zł daje fałszywe poczucie bezpieczeństwa. Pełny audyt ręczny to zwykle kilkukrotnie wyższy koszt, ale realnie weryfikuje stan strony.

3. Brak dostępu i danych dla audytora

Audyt bez dostępu do panelu hostingowego, logów serwera i backupów sprzed incydentu jest audytem połowicznym. Wykonawca ocenia wtedy tylko to, co widać z zewnątrz i z poziomu WordPressa, pomijając ślady, które mogłyby wskazać źródło problemu lub potwierdzić jego brak.

4. Pomijanie audytu przy zmianie wykonawcy

Przejęcie strony od poprzedniej firmy bez sprawdzenia, co zostało po niej w kodzie i uprawnieniach, to częsty punkt wejścia dla problemów, które ujawniają się dopiero po miesiącach. Zanim nowy wykonawca zacznie cokolwiek wdrażać, warto zlecić przegląd bezpieczeństwa jako część bezpiecznej zmiany firmy obsługującej stronę.

5. Brak wdrożenia rekomendacji z raportu

Raport z audytu, który trafia do szuflady, nie chroni przed niczym. Zdarza się, że klient płaci za audyt, dostaje listę dziesięciu punktów do poprawy i wdraża dwa najprostsze. Audyt ma sens tylko wtedy, gdy rekomendacje są wdrażane w całości lub w uzgodnionej kolejności priorytetów.

6. Niedookreślony zakres audytu

Zamawiający często zakłada, że „audyt bezpieczeństwa” obejmuje wszystko — hosting, DNS, integracje, kod. W praktyce zakres zależy od umowy, a różnice bywają duże.

7. Audyt bez uwzględnienia integracji zewnętrznych

Sklep podłączony do systemu płatności, CRM-u i kampanii reklamowych ma więcej punktów wejścia niż sama instalacja WordPressa. Audyt, który pomija te integracje, nie odpowiada na pytanie, czy dane klientów są bezpieczne. To istotne zwłaszcza tam, gdzie trwają płatne kampanie — jeśli strona padnie w trakcie kampanii PPC, konsekwencje są kosztowne, co dobrze pokazuje temat opisany w artykule o zhakowanej stronie WordPress.

Jak wybrać wykonawcę, który tych błędów nie popełni

Warto pytać wprost o zakres audytu, format raportu i to, czy wykonawca pomoże wdrożyć rekomendacje, a nie tylko je opisze. Sygnały ostrzegawcze przy wyborze każdego wykonawcy usług internetowych — nie tylko audytora — opisujemy w tekście o czerwonych flagach przy zlecaniu strony internetowej.