Bezpečnost WordPressu se často redukuje na instalaci jednoho „security“ pluginu. Ve skutečnosti potřebujete několik navazujících opatření: aktuální software, omezené účty, bezpečné přihlášení, obnovitelné zálohy a přehled o změnách. Jestli spravujete více webů, jeden slabý přístup nebo zastaralý plugin může zasáhnout celou skupinu. Začněte proto inventurou a nastavte pořadí, které přinese největší snížení rizika.
Nejdřív zjistěte, co chráníte
Sepište všechny instalace WordPressu včetně testovacích kopií a zapomenutých subdomén. U každé zaznamenejte verzi WordPressu a PHP, aktivní šablonu, pluginy, správce, hostingový účet, databázi a způsob zálohování. Zkontrolujte i vypnuté pluginy a šablony: nevyužívaný kód na serveru je vhodné po ověření odstranit. Nenechávejte veřejně dostupnou starou kopii webu, o níž nikdo neví.
| Oblast | První konkrétní krok | Jak poznáte výsledek |
|---|---|---|
| Software | Opravit zastaralé jádro, pluginy, šablony a PHP | Evidence verzí a kontrola funkcí po změně |
| Účty | Každému člověku vlastní účet s potřebnou rolí | Žádné sdílené administrátorské heslo |
| Přihlášení | Silná hesla a druhý faktor pro správce | Ověřená obnova přístupu při ztrátě zařízení |
| API přístup | Oddělené odvolatelné přihlašovací údaje | Seznam aktivních integrací a jejich vlastníků |
| Zálohy | Kopie mimo hosting a test obnovy | Úspěšná obnova na odděleném prostředí |
| Monitoring | Upozornění na výpadek a podezřelé změny | Funkční doručení testovacího alarmu |
Tabulka není nákupní seznam pluginů. U každého řádku se ptejte, kdo opatření vlastní a kdy ho naposledy ověřil. Více překrývajících se bezpečnostních pluginů může naopak zhoršit výkon nebo blokovat legitimní REST API.
Účty a přihlášení: nejlevnější důležitá změna
Každý redaktor má mít vlastní účet. Účet určený k psaní článků obvykle nepotřebuje instalovat pluginy ani měnit nastavení. Role administrátora patří jen lidem, kteří skutečně spravují provoz webu. Když člověk odejde nebo externista dokončí práci, zrušte mu přístup; kontrolujte také účty založené pro jednorázovou migraci.
- Hesla: použijte unikátní dlouhé heslo pro každý důležitý účet a správce hesel; nesdílejte jedno heslo mezi magazíny.
- Druhý faktor: zapněte jej pro správce a vyzkoušejte záložní způsob přístupu. Bez plánu obnovy si můžete zamknout vlastní web.
- Hosting a doména: jejich účty chraňte stejně důsledně jako WordPress. Útočník s přístupem k hostingu obejde opatření v administraci.
- Odchody a změny rolí: mějte krátký postup, který zahrne WordPress, FTP/SFTP, databázi, DNS a externí služby.
Pro automatické publikování přes REST API jsou určena aplikační hesla WordPressu nebo jiná schválená metoda integrace. Aplikační heslo je vázané na účet, lze je jednotlivě odvolat a má fungovat pouze přes HTTPS. Nedávejte skriptu hlavní přihlašovací heslo správce. U každé integrace pojmenujte její účel a při ukončení ji odvolejte. Pokud používáte technický účet, jeho veřejné autorství článků řešte odděleně od autentizace.
Aktualizace a výběr pluginů
Největší praktický rozdíl často udělá pravidelná údržba. Sledujte podporované verze WordPressu, PHP a doplňků. U pluginu si před instalací ověřte aktivní údržbu, kompatibilitu s vaším prostředím, pověst autora a rozsah oprávnění. Plugin z neznámého zdroje či nelegálně upravená placená verze je zbytečné riziko. Před odinstalací zkontrolujte, jestli neobsahuje data, která musíte exportovat.
Pro větší síť se hodí standardizovat šablonu a základní sadu pluginů, ale jednotná sada znamená i společný bod selhání. Při objevení chyby v často používaném doplňku postupujte koordinovaně, nejprve si ověřte dostupnost opravy a pak aktualizujte všechny dotčené weby s kontrolou. Podrobné pořadí popisuje návod k aktualizacím.
Souborová oprávnění, HTTPS a konfigurace
Přístup k souborům přes SFTP či SSH přidělujte jen potřebným osobám a nepoužívejte stejné údaje v mnoha nástrojích. Přístupová práva na serveru nastavujte podle doporučení hostingu; plošné nastavení zápisu pro všechny uživatele není řešení potíží s aktualizací. Soubor wp-config.php obsahuje citlivé údaje a musí být chráněný. Vypněte zobrazování detailních chyb návštěvníkům, ale zachovejte bezpečný interní záznam chyb pro diagnostiku.
Web i administrace mají běžet přes HTTPS. Po instalaci certifikátu ověřte, že HTTP přesměrovává na HTTPS a že se na stránkách nenačítají nezabezpečené součásti. Certifikát je jen jedna vrstva; neřeší slabá hesla ani děravý plugin. Ochranná pravidla CDN či firewallu mohou omezit automatizované pokusy, ale po změně vždy otestujte formuláře, administraci a API.
Záloha a reakce na podezření z napadení
Uchovávejte několik historických verzí záloh a jednu mimo původní hosting. Když se škodlivá změna odhalí až za týden, poslední záloha může už obsahovat napadený stav. Pravidelný test obnovy je součást bezpečnosti, nikoli jen provozní pohodlí.
- Při podezření zaznamenejte čas, projevy, změněné soubory, nové uživatele a dostupné logy. Neodstraňujte důkazy bez kopie.
- Zajistěte přístup k hostingu a doméně z bezpečného zařízení. Podle rozsahu incidentu dočasně omezte zápisy nebo provoz.
- Prověřte účty WordPressu, aplikací, SFTP a databáze; odvolejte neznámé přístupy a změňte hesla.
- Ověřte čistou zálohu nebo čisté balíčky ze spolehlivého zdroje. Při nejistotě zapojte odborníka a hosting.
- Po obnově aktualizujte zranitelnou součást a sledujte, zda se problém nevrací.
Samotné smazání podezřelého souboru nestačí, pokud útočník stále zná heslo nebo má další účet. U webu s osobními údaji řešte incident také podle skutečného dopadu a příslušných povinností; přesné právní kroky patří do posouzení konkrétní situace.
Jak posoudit bezpečnostní plugin a firewall
Bezpečnostní plugin může hlídat změny souborů, pokusy o přihlášení nebo pravidla firewallu. Před instalací si ale napište, jaký problém má řešit. Jestli potřebujete druhý faktor, zvolte řešení, které ho skutečně poskytuje a má postup obnovy. Jestli potřebujete kontrolu souborů, ověřte, jak se budou řešit legitimní změny po aktualizaci. Souhrnné číslo „bezpečnostní skóre“ není náhradou za kontrolu konfigurace.
Firewall na úrovni hostingu nebo CDN může zastavit část požadavků dříve, než zatíží WordPress. Může ale blokovat i redakční nástroj, legitimní roboty nebo REST API. Po aktivaci otestujte administraci, mobilní prohlížeč, nahrání obrázku a automatické publikování. Uchovávejte záznam, jak pravidlo dočasně vypnout při chybné blokaci. Pokud provozujete více webů, zásadní pravidlo nejprve ověřte na jednom reprezentativním webu.
Oddělte odpovědnost hostingu a správce webu
Poskytovatel obvykle spravuje část infrastruktury: fyzický server, operační systém a nabízenou konfiguraci. Správce webu odpovídá za vlastní účty, pluginy, šablonu, přístupy k integracím a obsah. U managed WordPress služby může být rozsah širší, ale vždy ho zjistěte ve smluvních podmínkách. Slovo „zabezpečený hosting“ neříká, kdo opraví zranitelný plugin nainstalovaný ve vašem webu. Rozsah odpovědnosti se výrazně mění u spravovaného a nespravovaného VPS.
Při výběru služby se ptejte: kdo aktualizuje PHP, kdo řeší malware, kdo může obnovit jednotlivou instalaci a za jak dlouho, jsou dostupné logy, lze zapnout druhý faktor do zákaznického účtu a lze omezit přístup k souborům? Odpovědi vám pomohou postavit skutečný provozní postup, nikoli srovnávat marketingové štítky. Bezpečnostní ochrana WordPressu je silná jen jako nejslabší přístup mimo něj, zejména hostingový účet, e-mail používaný k obnově hesla a registrátor domény.
Měsíční bezpečnostní kontrola
- Projít seznam administrátorů a aplikačních hesel.
- Zkontrolovat zastaralé či nepoužívané pluginy a šablony.
- Ověřit poslední zálohu a její externí kopii.
- Podívat se do Zdraví webu a na opakované chyby v logu.
- Otestovat upozornění na výpadek a postup obnovy přístupu.
U desítek webů by měl být výsledek jedním přehledem, nikoli pamětí správce. Bezpečnostní stav se mění každou instalací pluginu, přidáním účtu a aktualizací, proto jednorázový audit nevydrží napořád. Provozní alarmy, výpadky a chyby automatického vydávání sledujte podle návodu k monitoringu magazínů.
Modelový audit pěti nejrizikovějších přístupů
Pokud máte omezený čas, začněte u účtů, které umějí změnit celý web. Zkontrolujte správce hostingu, registrátora domény, e-mail pro reset hesla, administrátory WordPressu a technické integrace s právem publikovat. U každého napište vlastníka, poslední použití, druhý faktor a způsob odvolání. Často se ukáže, že bývalý externista má stále přístup k SFTP nebo že jeden technický token používá několik nástrojů bez evidence.
Pak přístup upravte po jednom a po každé změně ověřte funkčnost. Zrušení tokenu může zastavit automatické články; výměna hesla DNS účtu nesmí vyřadit člověka, který obnovuje certifikát. Model není návod k bezhlavému vypínání. Cílem je odstranit neznámé a nadměrné oprávnění s měřitelným výsledkem: žádné sdílené heslo, žádný účet bez vlastníka a možnost každou integraci samostatně odvolat.
Časté chyby, které se vyplatí odstranit jako první
Jeden administrátorský účet pro všechny redaktory
Nelze zjistit, kdo provedl změnu, a při odchodu člověka musíte sdílené heslo měnit všem. Vytvořte osobní účty s přiměřenou rolí. Přístupy zkontrolujte i v externích nástrojích, které do WordPressu zapisují.
Bezpečnostní plugin bez plánu obnovy
Blokace přihlášení může vyřadit i správce. Před zapnutím tvrdších pravidel si vyzkoušejte alternativní přístup přes hosting a znáte postup dočasného vypnutí pluginu. Tento postup uložte mimo samotný web.
Veřejně dostupná testovací kopie
Staging může obsahovat reálné uživatele a údaje z formulářů. Omezte přístup, vypněte odesílání zpráv a po skončení testu kopii smažte nebo aktualizujte. Zapomenutá stará verze představuje další cestu k útoku.
Stejné heslo ve WordPressu a hostingu
Únik jednoho hesla pak otevře dva nezávislé přístupy. Použijte správce hesel, unikátní přihlašovací údaje a druhý faktor všude, kde je k dispozici. Prioritou jsou hosting, registrátor domény a e-mail použitý pro obnovu hesel.
Časté otázky
Stačí nainstalovat bezpečnostní plugin?
Ne. Plugin může pomoci s konkrétní kontrolou či upozorněním, ale nenahradí aktualizace, oddělené účty, vícefaktorové přihlášení, zálohy a plán obnovy. Nejprve zjistěte, co už poskytuje hosting, aby se nástroje zbytečně nedublovaly.
Musí mít každý redaktor administrátorská práva?
Nemusí. Každému člověku přidělte vlastní účet a nejnižší roli, která stačí pro jeho práci. Administrátorský přístup vyhraďte správcům a po odchodu spolupracovníka jej včas odeberte.
Co udělat jako první při podezření na napadení?
Omezte další změny, zaznamenejte příznaky a zajistěte dostupné logy a zálohy. Z bezpečného prostředí změňte ohrožené přístupy, prověřte správce i hosting a při rozsáhlejším incidentu zapojte odborníka. Neobnovujte starou kopii naslepo, dokud nevíte, kudy se útočník dostal dovnitř.
Je automatická aktualizace pluginů vždy vhodná?
Záleží na významu webu a možnosti rychlé obnovy. Menší běžné weby mohou z automatických aktualizací těžit, ale důležité pluginy a složitější sestavy potřebují kontrolu kompatibility, zálohu a následný test veřejných funkcí.
Jak zabezpečit síť desítek WordPressů?
Veďte přehled vlastníků, účtů, verzí a termínů kontroly. Sjednoťte základní pravidla přístupů a záloh, ale každý web pravidelně otestujte zvlášť; jeden neaktuální plugin nebo sdílené heslo může ohrozit více magazínů.
