Zabezpečenie WordPressu

WordPress je v súčasnosti najpopulárnejším redakčným systémom (CMS) na svete. Jeho otvorenosť (open-source) priťahuje obrovskú komunitu vývojárov, ktorí neustále prinášajú nové funkcie. Táto popularita je však dvojsečnou zbraňou – robí z WordPress stránok častý cieľ kybernetických útokov. Mnohé doplnky totiž môžu obsahovať bezpečnostné diery alebo byť navrhnuté tak, aby získali prístup k vašim údajom.

Pripravili sme pre vás pár kľúčových odporúčaní, ktoré výrazne zvýšia úroveň zabezpečenia vášho webu.

Základné bezpečnostné kroky

1. Kvalitný hosting ako základ
Výber hostingu by nemal byť len o cene. Kvalitný poskytovateľ je vašou prvou líniou obrany. Mal by automaticky ponúkať pravidelné zálohovanie (pre rýchlu obnovu po útoku) a podporu SSL certifikátu (šifrovaný prenos dát medzi serverom a návštevníkom). V krízových situáciách je kľúčová aj rýchla technická podpora.

2. Prejdite na SFTP
Pri nahrávaní súborov sa vyhnite klasickému FTP, ktoré posiela dáta nešifrovane. Bezpečnejšou alternatívou je SFTP (využívajúci SSH) alebo FTPS (šifrovanie cez SSL/TLS). Tieto protokoly chránia vaše prístupové údaje pred odchytením.

3. Zmena predvoleného prefixu databázy
WordPress štandardne používa pre databázové tabuľky predponu wp_. Útočníci to vedia a zameriavajú sa na ne pri SQL útokoch. Pri inštalácii alebo pomocou bezpečnostných pluginov zmeňte tento prefix na niečo unikátne, napríklad mojweb_.

4. Vyhnite sa používateľskému menu „admin“
Meno „admin“ je prvý tip každého bota, ktorý sa pokúša o prebitie do systému (Brute Force útok). Zvoľte si unikátny login, ktorý neobsahuje názov vašej domény ani vaše meno. Kombinujte znaky, aby ste zťažili prácu automatizovaným skriptom.

5. Sila hesla je rozhodujúca
Zabudnite na heslá typu „123456“ alebo „heslo“. Silné heslo by malo byť náhodnou kombináciou veľkých a malých písmen, číslic a špeciálnych znakov (napr. Wp*9!_zQ2#). Ak sa bojíte, že ho zabudnete, použite správcu hesiel alebo mnemotechnickú pomôcku, ktorú poznáte len vy.

Pokročilé metódy ochrany

6. Správne nastavenie prístupových práv
Súbory a priečinky na serveri nesmú byť otvorené pre každého. Nastavenie „777“ (plný prístup) je bezpečnostné riziko. Štandardne sa odporúčajú práva 755 pre priečinky a 644 pre súbory. Tým obmedzíte možnosť nepovoleného zápisu do vášho systému.

7. Skryte vstup do administrácie
Každý vie, že prihlásenie prebieha cez /wp-admin. Zmenou tejto URL adresy na niečo vlastné (napr. /moj-vstup-2026) výrazne znížite počet pokusov o prihlásenie od cudzích osôb a robotov.

8. Limitujte počet pokusov o prihlásenie
Útočníci používajú softvér, ktorý dokáže vyskúšať stovky hesiel za minútu. Nastavte si pravidlo, že po troch neúspešných pokusoch sa IP adresa útočníka na určitý čas zablokuje. Týmto jednoduchým krokom väčšinu automatizovaných útokov zastavíte.

9. Používajte CAPTCHA ochranu
Pridanie overovacieho prvku (napr. Google reCAPTCHA) do prihlasovacieho formulára zabezpečí, že sa do systému pokúša vstúpiť človek a nie skript. Je to efektívny filter proti „brute force“ útokom.

10. Záloha, záloha a ešte raz záloha
Zálohovanie je vaša posledná záchranná brzda. Aj pri najlepšom zabezpečení sa môže niečo pokaziť. Vždy majte k dispozícii aktuálnu kópiu webu a databázy uloženú mimo vášho hlavného servera.