Securizare site WordPress: auditul și rutina lunară

Un site WordPress de firmă îl securizezi în două etape. Prima o faci o singură dată: un audit, ca să știi în ce stare e site-ul, și o întărire, ca să închizi ce ai găsit. A doua e o rutină lunară: actualizări testate, backup, monitorizare și un raport.

Dacă site-ul a fost deja spart, pașii de urgență sunt în articolul despre ce faci când site-ul WordPress este spart. Curățarea făcută de echipa Emiral, cu pachete și prețuri, este pe pagina serviciului de devirusare.

De ce actualizările nu ajung

Pe un site WordPress, riscul vine mai ales din pluginuri. În raportul Patchstack cu datele din 2025, 91% dintre vulnerabilitățile noi au fost în pluginuri.

Actualizările ajută, dar nu acoperă tot. La 46% dintre vulnerabilitățile din același raport, dezvoltatorul nu avea încă o remediere când problema a devenit publică. Iar atacatorii sunt rapizi: aproximativ jumătate dintre vulnerabilitățile cu impact mare au fost exploatate în primele 24 de ore.

Nici protecția de la hosting nu oprește tot. Într-un test Patchstack pe firme populare de hosting, au fost blocate doar 26% dintre atacurile asupra vulnerabilităților.

Un site spart pierde și din Google. Paginile afectate pot apărea cu o etichetă de avertizare în rezultatele căutării. Google îți cere să rezolvi problema pe tot site-ul. Dacă repari doar câteva pagini, site-ul nu revine nici măcar parțial în rezultate.

Auditul de început

Începi cu versiunile. Versiunile vechi de WordPress nu mai primesc actualizări de securitate. Notezi versiunea WordPress, a temei și a fiecărui plugin și o compari cu ultima disponibilă. Tot acum vezi ce pluginuri sunt instalate degeaba și care nu mai sunt actualizate de autor.

Apoi treci prin lista de utilizatori. Te uiți mai ales la administratori. Un fost colaborator care a rămas administrator are acces la tot site-ul, chiar dacă nu a mai intrat de un an.

La partea tehnică verifici:

• fișierele modificate recent și codul injectat în fișiere sau în baza de date;
• backupurile: ce conțin, unde sunt și când s-a făcut ultimul;
• certificatul SSL;
• raportul „Probleme de securitate” din Google Search Console.

La final ai o listă de corecturi, cu cele mai riscante sus.

Întărirea site-ului

Începi cu autentificarea. Renunți la utilizatorul „admin”. Fiecare cont are o parolă puternică și unică, ținută într-un manager de parole. Administratorii intră cu autentificare în doi factori. Limitezi încercările de autentificare din firewallul aplicației web (WAF), din CDN sau de pe serverul web. Chiar și atacurile care nu reușesc pot copleși site-ul cu cereri.

Dezactivezi editorul de fișiere din panoul de administrare. WordPress are o setare pentru asta. Editorul permite rularea de cod, așa că e adesea primul instrument folosit de cine a reușit să intre.

Mai rămân trei măsuri simple: permisiuni cât mai restrânse pe fișiere, administrare doar prin HTTPS și ștergerea pluginurilor pe care nu le folosești.

Dai fiecărui om rolul de care are nevoie. Cine scrie doar pe blog poate lucra cu rolul de autor: își publică și își administrează propriile articole. Administratori rămân cât mai puțini.

Rutina lunară

Actualizări testate

Ții pluginurile și tema la ultima versiune. Înainte să pornești actualizările automate, asigură-te că poți reveni la versiunea anterioară a site-ului dacă ceva se strică.

O actualizare are o ordine simplă: faci backup, actualizezi, verifici paginile principale și formularul de contact, apoi notezi ce s-a schimbat. Un formular care nu mai trimite după o actualizare îl afli abia când te întrebi de ce nu mai vin cereri. La un magazin WooCommerce verifici și coșul, plata și emailul de confirmare a comenzii.

Remedierile de securitate nu așteaptă ziua de actualizări din lună. Le aplici când apar și le verifici la fel.

Backup

Un backup complet are baza de date și fișierele. Ai nevoie de amândouă ca să refaci site-ul. Salvezi baza de date regulat și mereu înainte de o actualizare.

Pentru un site mic, cu puține articole, ajunge un backup pe săptămână. Un site cu activitate mare are nevoie de backup zilnic. Păstrezi copii în locuri diferite.

Din când în când faci o restaurare de probă. Afli așa dacă backupul chiar funcționează, înainte să ai nevoie de el.

Monitorizare

Și un site bine întărit poate fi spart. De aceea urmărești fișierele: un instrument ca OSSEC te anunță când se schimbă ceva în ele. Jurnalele (logurile) îți arată ce s-a făcut pe site, cine a făcut și când.

Mai urmărești dacă site-ul e online, rulezi scanări periodice pentru malware și te uiți în raportul de securitate din Search Console.

Raportul lunar

Un raport lunar bun îți spune:

• ce s-a actualizat și ce a rămas neactualizat, cu motivul;
• când s-a făcut ultimul backup și dacă restaurarea de probă a mers;
• câte încercări de atac au fost blocate;
• ce conturi au avut activitate neobișnuită;
• ce a găsit scanarea pentru malware.

La final, raportul propune ce e de făcut luna viitoare, de exemplu un plugin abandonat care trebuie înlocuit.

Cum alegi cine se ocupă de securitate

Dacă vorbești cu o firmă pentru audit și monitorizare, întreabă ce verifică la audit și cere rezultatul în scris. Află unde sunt backupurile și dacă ai acces la ele. Cere un exemplu de raport lunar. Întreabă cine răspunde când apare o problemă și pe ce canal.

Întreabă și cum testează actualizările. La un site de prezentare, testul acoperă paginile și formularele care aduc cereri. La un magazin online, tot drumul până la comandă.

Cum lucrăm la Emiral

La Emiral, securizarea începe cu un audit. Dacă găsim cod injectat, îl curățăm. Apoi întărim site-ul și îl trecem în monitorizare lunară, cu raport. Mentenanța o face o echipă dedicată, alta decât cea care construiește site-urile. Ce include serviciul găsești pe pagina Securizare site WordPress.

Întrebări frecvente