Zabezpieczenie strony WordPress. Działająca nie znaczy bezpieczna.

Co sprawdzam na stronie WordPress, zanim zrobi to włamywacz

Większość ataków na strony firmowe jest zautomatyzowana: boty szukają znanych luk w nieaktualnych wtyczkach i słabych haseł, a nie konkretnej firmy. Dlatego sprawdzam dokładnie te miejsca:

• Wtyczki, motywy i WordPress. Porównuję wersje z bazą znanych luk (CVE). Nieaktualna wtyczka z opublikowaną luką to najprostsza droga do przejęcia strony.
• Logowanie do panelu. Czy panel da się atakować zgadywaniem haseł i czy konta mają tylko potrzebne uprawnienia.
• Kopie zapasowe. Czy są, jak często powstają i czy leżą poza serwerem strony. Kopia na tym samym serwerze ginie razem ze stroną.
• Co strona mówi o sobie obcym. Certyfikat SSL, nagłówki bezpieczeństwa, widoczne wersje oprogramowania, przypadkiem udostępnione pliki.
• Firmowe adresy e-mail w wyciekach. Sprawdzam, czy hasła do firmowych skrzynek nie krążą w znanych wyciekach danych.

Protokół Bezpieczna Strona: 8 kroków od zgody do stałej opieki

1. Ustalamy zakres i podpisujesz upoważnienie.
2. Biały wywiad (OSINT): co o stronie widać w otwartych źródłach.
3. Skan z zewnątrz, bez logowania i bez prób włamania.
4. Analiza WordPressa, wtyczek i ustawień.
5. Ocena ryzyka każdego znaleziska: od krytycznego do informacyjnego, według OWASP Top 10.
6. Raport z planem naprawy i 30 minut omówienia online.
7. Naprawa i ponowny test, żeby potwierdzić, że luka jest zamknięta.
8. Opieka i kontrola bezpieczeństwa: nowe luki pojawiają się co tydzień, a groźne zabezpieczam w ciągu 24 godzin w dni robocze (48 godzin w weekendy i święta).

Raport z audytu dostajesz w ciągu 10 dni roboczych od podpisania upoważnienia.

Audyt, naprawa czy opieka: który wariant wybrać

Do cen doliczam 23% VAT. Oba pakiety opieki porównasz na stronie Opieka i bezpieczeństwo stron.

Co zawiera opieka i kontrola bezpieczeństwa: Ochrona i Ochrona Pro

Ochrona i Ochrona Pro to stała opieka nad stroną na WordPressie z kontrolą bezpieczeństwa. W obu pakietach dostajesz:

• Groźne luki zabezpieczone w 24 h w dni robocze, a w weekendy i święta w 48 h. Aktualizuję, a gdy producent nie wydał jeszcze poprawki, blokuję lukę w zaporze albo wyłączam podatny element. Luki średnie i niskie usuwam przy cotygodniowej aktualizacji.
• Codzienną kopię zapasową poza serwerem strony i aktualizacje raz w tygodniu, zawsze po wykonaniu kopii.
• Zaporę, utwardzenie ustawień i skan złośliwego kodu, do tego monitoring dostępności i skan znanych luk co 6 godzin.
• Przywrócenie strony z kopii po awarii lub włamaniu w cenie i raport co miesiąc: co zaktualizowałam, co zablokowała zapora, czy kopie się udały.

Ochrona Pro dodaje szybszą reakcję na awarię (do 4 godzin roboczych zamiast 8), 3 godziny drobnych prac w miesiącu zamiast 1, usunięcie skutków włamania do 4 godzin w cenie, kolejny audyt co 12 miesięcy w cenie, dziennik aktywności w panelu, kwartalny skan z omówieniem i pomoc w sprawdzeniu, czy firma podlega KSC2.

Pełne porównanie Ochrony i Ochrony Pro, punkt po punkcie, znajdziesz na stronie Opieka i bezpieczeństwo stron.

Kiedy ta usługa nie jest dla Ciebie

• Strona nie działa na WordPressie. Ochrona i Ochrona Pro są dla WordPressa. Opiekę nad stroną w Astro albo na innej technologii wyceniam indywidualnie.
• Potrzebujesz testu penetracyjnego całej firmy albo ustawowego audytu KSC. To zadanie dla zespołu z certyfikowanymi audytorami. Pomogę przygotować warstwę strony.
• Masz prostą wizytówkę bez formularzy, zmienianą raz w roku. Stała opieka to dla niej za dużo. Wystarczy jednorazowy audyt z naprawą.

Dlaczego przed audytem podpisujesz upoważnienie

Bezpłatny przegląd obejmuje tylko to, co widzi każdy odwiedzający stronę. Audyt idzie dalej, a sprawdzanie cudzej strony bez zgody właściciela może być przestępstwem. Dlatego audyt robię tylko na podstawie podpisanego upoważnienia, które określa zakres i tryb testów. Domyślnie nie próbuję się włamywać: testy aktywne robię tylko za osobną zgodą, w ustalonym oknie czasowym i po wykonaniu kopii.

Podpis zajmuje kilka minut: odręczny ze skanem, kwalifikowany albo bezpłatny profil zaufany.

KSC2 i NIS2: co daje zabezpieczenie strony, a czego nie

Od kwietnia 2026 obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2. Ustawa wymaga systemu zarządzania bezpieczeństwem w całej firmie, a strona jest tylko jednym z jego elementów. Zabezpieczę stronę i pomogę sprawdzić, czy przepisy Cię dotyczą. Nie wystawiam ustawowego sprawozdania z audytu.

Kto pilnuje Twojej strony

Jestem Iwona Dobrowolska, założycielka ZoiGo Creative Solutions. W marketingu internetowym pracuję od 2014 roku: buduję strony firmowe i opiekuję się nimi. Do monitoringu, kopii i zapory używam WP Umbrella, a luki sprawdzam w bazie Patchstack.

Odpowiadam osobiście i zawsze wiesz, kto ma dostęp do Twojej strony. Dostępy trzymam w menedżerze haseł, logowanie zabezpieczam drugim składnikiem, a po zakończeniu współpracy usuwam swoje konta. Wyniki audytu znamy tylko Ty i ja.

Najczęstsze pytania o zabezpieczenie strony WordPress