Securizare WordPress: ghidul complet

WordPress pune în mișcare peste 40% din internet — exact de aceea este și cea mai atacată platformă. Vestea bună: atacurile care reușesc exploatează aproape întotdeauna aceleași câteva neglijențe, nu vulnerabilități exotice. O securizare WordPress făcută temeinic o singură dată, plus întreținere constantă, te scoate din categoria țintelor ușoare — acolo unde se întâmplă peste 95% din compromiteri.

De unde vin, de fapt, atacurile

Demontăm întâi un mit: „site-ul meu e mic, nu interesează pe nimeni". Atacurile nu sunt personale — sunt roboți care scanează non-stop internetul după versiuni vulnerabile de plugin-uri și parole slabe. Pentru un robot, site-ul tău de prezentare și un magazin cu mii de comenzi sunt totuna: un server de pe care se pot trimite spamuri, găzdui phishing sau mina criptomonede. Porțile de intrare, în ordinea frecvenței:

• Plugin-uri și teme neactualizate — de departe cauza #1; o vulnerabilitate publicată e exploatată automat în ore;
• Parole slabe sau refolosite — atacuri de tip „credential stuffing" cu parole scurse din alte platforme;
• Teme și plugin-uri piratate („nulled") — vin cu backdoor-ul preinstalat, gratuit;
• Hosting configurat prost — conturi vecine care se pot contamina reciproc, PHP vechi, lipsă de izolare.

Fundația: cele 5 măsuri obligatorii

1. Actualizări la zi — nucleu, teme, plugin-uri

Cea mai importantă măsură, fără concurență. Activează actualizările automate pentru versiunile minore de WordPress și stabilește-ți o rutină săptămânală pentru restul. Șterge (nu doar dezactiva) plugin-urile și temele nefolosite — codul dezactivat rămâne exploatabil. Evită plugin-urile abandonate: dacă n-au fost actualizate de peste un an, caută alternative.

2. Parole puternice + autentificare în doi pași (2FA)

Parole generate, unice, păstrate într-un manager de parole — pentru WordPress, hosting, FTP și e-mailul asociat. Activează 2FA măcar pentru conturile de administrator. Și o igienă simplă: fiecare om cu contul lui, cu rolul minim necesar — nu toată lumea administrator, nu conturi „comune".

3. Backup automat, extern, testat

Backup zilnic sau săptămânal (după cât de des se schimbă conținutul), stocat în afara serverului — un backup pe același server dispare odată cu el. Regula de aur: un backup netestat nu e un backup. Restaurează-l măcar o dată, de probă, ca să știi că funcționează înainte să ai nevoie de el.

4. Firewall aplicativ (WAF)

Un firewall pentru aplicații web filtrează traficul malițios înainte să atingă WordPress: încercări de exploatare, brute-force pe login, injecții SQL. Poate fi la nivel de DNS (Cloudflare și similare), la nivel de server sau ca plugin — oricare dintre variante e un salt uriaș față de nimic.

5. HTTPS peste tot

Certificatul SSL e gratuit (Let's Encrypt) și obligatoriu — nu doar pentru securitate, ci și pentru SEO și încrederea vizitatorilor. Verifică și ca site-ul să forțeze HTTPS pe toate paginile, nu doar să-l accepte.

Nivelul doi: hardening pentru WordPress

Măsurile care ridică ștacheta peste media atacatorilor automați:

• Dezactivează editarea fișierelor din admin (DISALLOW_FILE_EDIT) — un atacator care obține accesul de admin nu mai poate injecta cod direct din browser;
• Blochează execuția PHP în uploads — folderul de imagini n-are de ce să ruleze cod;
• Limitează încercările de login și schimbă URL-ul paginii de autentificare dacă primești valuri de brute-force;
• Chei de securitate (salts) regenerate și wp-config.php protejat;
• Dezactivează XML-RPC dacă nu-l folosești (majoritatea site-urilor nu-l folosesc);
• Headere de securitate pe server: X-Content-Type-Options, Referrer-Policy, Content-Security-Policy unde e fezabil.

Monitorizarea: afli tu primul, nu Google

Diferența dintre un incident minor și un dezastru este timpul de reacție. Un site nemonitorizat află că e infectat de la avertismentul roșu al Google — adică târziu și scump. Minimul util: monitorizare uptime (afli când pică site-ul), scanare periodică de malware și verificarea integrității fișierelor (afli când ceva s-a modificat fără tine). Dacă vrei să-ți faci singur o verificare acum, începe cu cele 10 semne ale unui site infectat.

Securizarea nu e un eveniment, e o rutină

Aici pică majoritatea site-urilor: securizarea făcută o dată, apoi uitată. Plugin-urile primesc vulnerabilități noi lunar, parolele se scurg, backup-urile se strică în tăcere. Lista de mai sus ține site-ul în siguranță doar dacă cineva o parcurge constant — săptămânal, nu „când ne aducem aminte".

Exact asta fac abonamentele noastre de mentenanță (de la 149 lei/lună): actualizări, backup, scanări, firewall, monitorizare non-stop și raport lunar — un abonament de sănătate pentru site. Iar dacă site-ul e deja compromis, ordinea corectă e întâi curățarea, apoi securizarea: degeaba pui lacăt pe o ușă prin care atacatorul e deja înăuntru.

Întrebări frecvente

E suficient un plugin de securitate?

Un plugin bun acoperă o parte din listă (firewall, limitare login, scanări), dar nu poate actualiza în locul tău, nu-ți testează backup-urile și nu înlocuiește parolele slabe. E o piesă din sistem, nu sistemul.

Cât costă securizarea unui site WordPress?

Intervenția unică de curățare + securizare pornește de la 250 lei (acoperă majoritatea site-urilor; pentru cele complexe primești ofertă exactă după diagnosticul gratuit). Întreținerea continuă, prin abonament, pornește de la 149 lei/lună. Ca reper: recuperarea după un incident serios costă aproape întotdeauna mai mult decât un an de prevenție.

Site-ul meu e nou. Chiar am nevoie de toate astea?

Fundația (actualizări, parole, backup, HTTPS) — da, din prima zi; roboții nu verifică vârsta site-ului înainte să atace. Hardening-ul și monitorizarea pot veni în al doilea pas, dar cu cât mai devreme, cu atât mai ieftin: pe un site curat, totul se face în câteva ore.