Audyt bezpieczeństwa WordPress krok po kroku — co sprawdzić, zanim zapłacisz komuś za usługę

Zanim wydasz kilkaset złotych na profesjonalny audyt bezpieczeństwa, warto przejść przez podstawowe punkty kontrolne samemu — część z nich zajmie mniej niż kwadrans, a od razu pokaże, czy strona ma oczywiste luki, czy raczej wymaga głębszej analizy. To nie zastąpi pełnego audytu, ale pozwoli świadomie rozmawiać z wykonawcą i nie płacić za rzeczy, które można sprawdzić za darmo.

Krok 1: Sprawdź wersje WordPressa, motywu i wtyczek

Przestarzałe oprogramowanie to najczęstsza przyczyna włamań. Wejdź w panel administracyjny i sprawdź, czy WordPress, motyw oraz wszystkie wtyczki są aktualne. Zwróć szczególną uwagę na wtyczki, których nie używasz od dawna — nieaktywne, ale zainstalowane wtyczki też bywają furtką dla ataku.

Krok 2: Przejrzyj listę użytkowników i ich uprawnienia

Sprawdź, ilu użytkowników ma dostęp do panelu i jakie mają role. Zdarza się, że po latach współpracy z różnymi wykonawcami konto administratora ma pięć-sześć osób, z których część dawno przestała obsługiwać stronę. Usuń zbędne konta i ogranicz uprawnienia do minimum potrzebnego do pracy.

Krok 3: Zweryfikuj kopie zapasowe

Sprawdź, czy kopie zapasowe faktycznie się wykonują, gdzie są przechowywane i czy dałoby się z nich odtworzyć stronę w razie awarii. Kopia zapasowa trzymana na tym samym serwerze co strona nie chroni przed poważniejszym atakiem — warto mieć też wersję zewnętrzną.

Krok 4: Sprawdź certyfikat SSL i wymuszenie HTTPS

Upewnij się, że cała strona ładuje się po HTTPS, a nie tylko strona główna. Zdarza się, że pojedyncze podstrony albo pliki wciąż odwołują się do wersji HTTP, co generuje ostrzeżenia w przeglądarce i obniża zaufanie odwiedzających.

Krok 5: Przejrzyj logi logowania

Jeśli masz dostęp do logów serwera lub wtyczki logującej próby logowania, sprawdź, czy nie ma podejrzanej liczby nieudanych prób z nieznanych adresów IP. To sygnał, że warto wdrożyć limit prób logowania albo dwuskładnikowe uwierzytelnianie.

Krok 6: Przeskanuj stronę pod kątem złośliwego kodu

Darmowe skanery online potrafią wykryć oczywiste ślady malware — dziwne przekierowania, ukryte linki czy zmodyfikowane pliki. Jeśli skan coś znajdzie, to sygnał, że sprawa wymaga fachowej interwencji, a nie tylko odświeżenia wtyczek.

Jeśli podejrzewasz, że strona już padła ofiarą włamania, warto zapoznać się z osobnym wpisem: Strona WordPress zhakowana — co robić krok po kroku i ile kosztuje naprawa.

Krok 7: Sprawdź plik .htaccess i wp-config.php

Te dwa pliki bywają celem modyfikacji podczas włamania — dopisywane są tam niewidoczne przekierowania albo złośliwy kod. Jeśli nie czujesz się pewnie w edycji plików serwerowych, ten krok lepiej zostawić specjaliście, ale samo wykonanie kopii tych plików pozwoli później porównać zmiany.

Krok 8: Oceń separację środowiska hostingowego

Sprawdź, czy Twoja strona dzieli hosting z wieloma innymi witrynami na tym samym koncie. Zainfekowana sąsiadująca strona na współdzielonym serwerze potrafi zarazić także Twoją, dlatego warto wiedzieć, jak wygląda izolacja kont u Twojego dostawcy.

Jeśli po tym przeglądzie widzisz więcej niż dwa-trzy problemy, to dobry moment na rozmowę z kimś, kto zrobi pełny audyt i naprawi znalezione luki, zamiast łatać je pojedynczo. Warto też sprawdzić, jak wygląda bieżąca opieka nad stroną — jeśli obecny wykonawca nie reaguje na takie sygnały, przydatny może być wpis o tym, jak bezpiecznie zmienić firmę obsługującą stronę WordPress, nie tracąc pozycji w Google.

{„@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{„@type”:”Question”,”name”:”Czy samodzielny audyt bezpieczeństwa wystarczy zamiast profesjonalnego?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Nie zastąpi pełnego audytu, ale pozwala wychwycić oczywiste braki i lepiej zrozumieć, za co właściwie płacisz, zlecając usługę na zewnątrz.”}},{„@type”:”Question”,”name”:”Jak często warto powtarzać taki przegląd?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Podstawowe punkty warto sprawdzać raz w miesiącu, szczególnie po każdej większej aktualizacji wtyczek lub zmianie w zespole obsługującym stronę.”}},{„@type”:”Question”,”name”:”Czy darmowe skanery malware są wiarygodne?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Wykrywają najbardziej oczywiste przypadki, ale nie zastąpią dokładnej analizy plików i bazy danych, jaką robi się podczas profesjonalnego audytu powłamaniowego.”}},{„@type”:”Question”,”name”:”Co jeśli podczas przeglądu znajdę coś podejrzanego?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Warto od razu zabezpieczyć aktualny stan strony i skontaktować się ze specjalistą, zanim zaczniesz cokolwiek usuwać samodzielnie — nieostrożne działania mogą utrudnić późniejszą naprawę.”}}]}