Securitatea unui site WordPress

Un site WordPress se securizează prin actualizări constante ale nucleului, temei și pluginurilor, parole unice cu autentificare în doi pași, backup automat păstrat în afara serverului, drepturi minime pentru fiecare utilizator și protecție la pagina de autentificare. Majoritatea site-urilor compromise cad din cauza unui plugin neactualizat, nu a unui atac sofisticat.

Este util să înțelegi de la început că nimeni nu te atacă personal. Site-urile mici sunt lovite de roboți care scanează internetul în căutarea unei vulnerabilități cunoscute, exact ca un hoț care încearcă clanțele pe rând. Nu contează că vinzi piese auto într-un oraș mic: contează doar dacă rulezi versiunea în care există o breșă publicată acum trei luni.

Cum arată, de fapt, un atac asupra unui site mic

În marea majoritate a cazurilor pe care le curățăm, scenariul este identic. Un robot găsește o versiune veche de plugin, încarcă un fișier PHP într-un director de uploaduri, apoi îl folosește ca să creeze un utilizator administrator ascuns și să injecteze linkuri sau redirecționări. Proprietarul află de obicei târziu: fie dintr-un avertisment în browser, fie pentru că traficul din căutări scade brusc.

Cel mai costisitor nu este atacul, ci consecințele lui: pagini scoase din index, avertismente de securitate afișate vizitatorilor și un site pe care nu îl mai poți publica până nu îl cureți complet. Refacerea încrederii durează mult mai mult decât remedierea tehnică, iar partea de percepție ține deja de gestionarea reputației online.

Actualizările rezolvă cea mai mare parte a problemei

Nucleul WordPress, tema și toate pluginurile trebuie ținute la zi. Sună banal, dar exact aici pierd site-urile: cineva a amânat o actualizare de teamă că se strică ceva, apoi a uitat, iar după șase luni rulează o versiune cu vulnerabilitate publicată. Regula sănătoasă este verificare săptămânală și aplicare în maximum câteva zile pentru actualizările de securitate.

Cum actualizezi fără să strici site-ul

Fă backup complet înainte, actualizează întâi pluginurile mari, unul câte unul, și verifică imediat paginile critice: formularul de contact, coșul, finalizarea comenzii. Pentru site-urile comerciale merită un mediu de test unde rulezi actualizările înainte de producție. Și încă un principiu simplu: șterge, nu doar dezactiva, pluginurile și temele nefolosite — codul dezactivat rămâne pe server și poate fi exploatat.

Conturi, parole și drepturi

Cele mai multe intruziuni prin login se opresc cu măsuri elementare, pe care le poți aplica astăzi:

• ✓ Elimină utilizatorul „admin” și orice cont generic; folosește nume distincte pentru fiecare persoană.
• ✓ Parole lungi, unice, generate și păstrate într-un manager de parole, nu într-un fișier pe desktop.
• ✓ Autentificare în doi pași activată obligatoriu pentru toate conturile de administrator.
• ✓ Rol minim necesar: un redactor nu are nevoie de drepturi de administrator ca să scrie articole.
• ✓ Ștergerea imediată a conturilor rămase de la colaboratori sau de la agenția anterioară.
• ✓ Limitarea încercărilor de autentificare și schimbarea adresei implicite a paginii de login.

Verifică periodic și lista utilizatorilor: un cont de administrator pe care nu îl recunoști, creat la o oră ciudată, este primul semn că cineva a intrat deja.

Backupul este singura plasă de siguranță reală

Toate celelalte măsuri reduc probabilitatea unui incident. Backupul este singurul care îți garantează că poți reveni la un site funcțional. Copiile trebuie să includă atât fișierele, cât și baza de date, să se facă automat, la o frecvență potrivită ritmului de actualizare, și să fie stocate în afara serverului pe care rulează site-ul.

Întărirea configurației

Peste igiena de bază se adaugă un set de măsuri care închid căile obișnuite de atac. Nu sunt complicate, dar se fac o singură dată, corect:

• HTTPS pe tot site-ul, cu redirecționare forțată și certificat reînnoit automat.
• Dezactivarea editorului de fișiere din panoul de administrare.
• Blocarea execuției fișierelor PHP în directorul de uploaduri.
• Permisiuni corecte pe fișiere și directoare, fără drepturi de scriere acolo unde nu e nevoie.
• Restricționarea sau dezactivarea interfeței XML-RPC, dacă nu o folosește nimic.
• Firewall la nivel de aplicație sau de server, cu reguli pentru boți și pentru încercările repetate de autentificare.
• Jurnal de activitate, ca să vezi cine ce a modificat și când.

Dacă site-ul este construit de la zero, o parte dintre aceste măsuri pot fi incluse din start în proiect: alegerea pluginurilor menținute activ, cod curat și structură simplă contează mai mult decât orice soluție adăugată ulterior. Este un argument practic pentru care merită discutate cerințele de securitate încă din faza de web design, nu după lansare.

Semne că site-ul a fost compromis și ce faci

Redirecționări către pagini străine care apar doar de pe mobil sau doar din rezultatele căutării, fișiere noi cu nume aleatorii, creșteri neexplicate ale traficului către adrese inexistente, e-mailuri trimise de pe domeniu fără știrea ta, avertismente în consola de webmaster — toate sunt semnale clare. La fel și un site care a devenit brusc lent fără nicio modificare din partea ta.

Pașii de urgență, în ordine

Pune site-ul în mentenanță, schimbă toate parolele (hosting, FTP, bază de date, administratori), fă o copie a stării compromise pentru analiză, apoi restaurează un backup anterior incidentului. Actualizează tot, elimină conturile necunoscute și abia apoi repune site-ul online. Dacă nu poți identifica punctul de intrare, restaurarea singură nu ajută: vei fi reinfectat în câteva zile prin aceeași breșă.

Când datele clienților au fost expuse, intră în discuție și obligațiile de notificare prevăzute de legislația privind protecția datelor, pe care le-am detaliat în materialul despre GDPR pentru site-uri.

Securitatea este un proces, nu o instalare

Un plugin de securitate instalat și uitat creează doar impresia de siguranță. Ce funcționează este rutina: verificare săptămânală a actualizărilor, control lunar al utilizatorilor și al jurnalelor, testarea trimestrială a backupului și o revizuire anuală a pluginurilor instalate. Pentru firmele care nu au om tehnic intern, un abonament de mentenanță și securitate site rezolvă exact aceste sarcini repetitive.

Merită menționat și efectul secundar: un site întreținut este și mai rapid, pentru că scapi de pluginurile abandonate și de codul care nu mai e folosit. Legătura dintre curățenia tehnică și performanță este directă, așa cum arătăm în ghidul despre ghidul de optimizare a vitezei site-ului.

Întrebări frecvente despre securitatea WordPress

Este WordPress mai nesigur decât alte platforme?

Nu prin natura lui. Rulează pe o parte foarte mare din site-urile lumii, deci este ținta preferată a atacurilor automate, iar nucleul primește corecții rapid. Problemele apar din pluginuri de calitate slabă și din site-uri lăsate ani fără actualizări, nu din platformă în sine.

Am nevoie de un plugin de securitate plătit?

Nu neapărat. Un site de prezentare bine întreținut se descurcă și cu variantele gratuite plus o configurație corectă la nivel de server. Pentru magazine online, unde procesezi comenzi și date de clienți, un firewall plătit și scanarea periodică devin o cheltuială rezonabilă.

Cât de des ar trebui făcut backup?

La un site de prezentare care se modifică rar, zilnic pentru baza de date și săptămânal pentru fișiere este suficient. La un magazin online cu comenzi zilnice ai nevoie de copii mai dese ale bazei de date, altfel pierzi comenzi la restaurare. Păstrează cel puțin 30 de zile de istoric.

Ce fac dacă Google a marcat site-ul ca nesigur?

Curăți complet infecția, închizi punctul de intrare, apoi ceri o reevaluare din consola pentru webmasteri. Avertismentul dispare de regulă în câteva zile după verificare, dar traficul revine mai lent. De aceea, prevenția costă întotdeauna mai puțin decât remedierea.