WordPress je nejrozšířenější CMS na světě – a proto je také častým cílem útoků. Dobře nastavené zabezpečení WordPress dokáže výrazně snížit riziko napadení, výpadků i ztráty dat. V tomto praktickém přehledu najdete nejčastější hrozby, chyby, kterým se vyvarovat, i doporučení, jak se účinně bránit včetně tipů na pluginy.
Co si z článku odnesete
- Jaké chyby v zabezpečení WordPress dělají správci webů nejčastěji.
- Konkrétní kroky a návyky, které zásadně zvyšují bezpečnost.
- Doporučené pluginy, služby a praktický checklist.
Proč je zabezpečení WordPress klíčové
Úspěšný útok neznamená jen výměnu domovské stránky. V sázce jsou osobní data, reputace značky, SEO i tržby. Slabé zabezpečení WordPress vede k malwaru, spamu ve výsledcích vyhledávání, blacklistu u bezpečnostních služeb a dalším finančním ztrátám.
Nejčastější chyby v zabezpečení WordPress
1) Neaktuální WordPress, pluginy a šablony
Většina hacků cílí na známé zranitelnosti. Odkládání aktualizací výrazně zvyšuje riziko.
2) Slabá hesla a sdílené účty
„admin/admin123“ je otevřená brána. Sdílené přístupy bez kontroly práv zvyšují dopad kompromitace.
3) Chybějící 2FA a omezení přihlášení
Bez dvoufázového ověření a limitu pokusů o přihlášení útočníci snadno zkouší brute force útoky.
4) Nezajištěný hosting a staré PHP
Levný hosting bez izolace účtů, WAF nebo automatických záloh je slabý článek. Zastaralé PHP má známé díry.
5) Výchozí nastavení a zbytečné funkce
- Výchozí přihlašovací URL /wp-login.php bez další ochrany.
- Zapnuté XML-RPC usnadňuje automatizované útoky.
- Umožněný editor souborů ve WordPressu (theme/plugin editor).
6) Nulled pluginy/šablony a přístup přes nezabezpečené FTP
Warezy bývají infikované backdoory. Nešifrované FTP posílá přihlašovací údaje „poštou na pohlednici“.
7) Chybějící bezpečnostní hlavičky a slabé HTTPS
Bez HSTS, CSP nebo X-Frame-Options je web zranitelnější vůči XSS, clickjackingu a dalším útokům. Certifikát TLS musí být správně nasazen.
Doporučené pluginy pro zabezpečení WordPress
Pluginy nejsou všelék, ale správně nastavené výrazně posílí zabezpečení WordPress. Vybírejte podle pověsti, aktualizací a podpory.
- Wordfence – firewall, malware skener, blokování IP, limit pokusů o přihlášení.
- iThemes/Solid Security – komplexní balíček (2FA, hardening, detekce změn souborů).
- Sucuri Security – monitorování integrity, audit logy, WAF v placené verzi.
- WP Cerber nebo All In One WP Security – ochrana přihlášení, antispam, hardening.
- Limit Login Attempts Reloaded – jednoduchá a účinná ochrana proti brute force.
- UpdraftPlus – spolehlivé zálohování na cloud (Google Drive, S3, Dropbox).
Pro antispam zvažte Akismet a pro formuláře plugin s podporou reCAPTCHA/hCaptcha.
Základní opatření zabezpečení WordPress krok za krokem
1) Aktualizace a údržba
- Zapněte automatické záplaty menších verzí a bezpečnostních aktualizací.
- Nechte pouze používané pluginy/šablony; zbytek odinstalujte, ne jen deaktivujte.
- Pravidelně kontrolujte changelogy a reputaci pluginů.
2) Přihlášení a správa účtů
- Zapněte 2FA (aplikace typu Authy/Google Authenticator nebo e-mailový OTP).
- Vynucujte silná hesla a používejte správce hesel.
- Princip minimálních oprávnění: role „Administrator“ jen pro nutné úkony.
- Přejmenujte výchozího uživatele „admin“ a skryjte autorské ID ve výpisech.
3) Hardening instalace
- Zakázat editor souborů ve WP administraci a omezit zápisová práva.
- Změnit přihlašovací URL a omezit přístup do /wp-admin podle IP (na úrovni serveru).
- Vypnout XML-RPC, pokud ho nepotřebujete (nebo omezit jen na ověřené služby).
- Nastavit bezpečnostní hlavičky (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy).
- Vynutit HTTPS všude a přesměrovat http → https.
4) Zálohování a recovery
- 3-2-1 strategie: 3 kopie, 2 různá média, 1 offsite (cloud).
- Testujte obnovu na stagingu, nečekejte na incident.
- Ukládejte zálohy šifrovaně a automatizujte jejich vytváření.
5) Monitoring a WAF
- Zapněte audit logy: přihlášení, změny souborů, instalace pluginů.
- Web Application Firewall (např. Cloudflare WAF) filtruje škodlivý provoz ještě před serverem.
- Upozornění e-mailem/Slackem na podezřelé události.
6) Server a hosting
- Aktuální PHP a databáze, pravidelné bezpečnostní aktualizace.
- Izolace účtů, antivirus/antimalware na úrovni hostingu, pravidla pro rate limiting.
- Vyhněte se nezabezpečenému FTP, používejte SFTP/SSH.
Jak poznat napadení a rychle reagovat
- Náhlé zpomalení, neznámé administrátorské účty, přesměrování na cizí weby.
- Změny souborů, které jste nedělali; upozornění od hostingu, Google Search Console nebo Wordfence.
Postup: okamžitě odstavte administraci (dočasná ochrana heslem, maintenance), prohledejte web bezpečnostním skenerem, obnovte ze zálohy a poté aktualizujte, zresetujte hesla a API klíče. Následně proveďte dodatečné kroky hardeningu a audit logů, aby se podobný incident neopakoval.
Checklist: rychlé posílení zabezpečení WordPress
- Aktualizovaný WordPress, pluginy, šablony a PHP.
- 2FA + silná hesla + omezení pokusů o přihlášení.
- Odstraněné nepoužívané doplňky, zákaz editoru souborů.
- WAF + bezpečnostní plugin + aktivní audit logy.
- HTTPS všude + bezpečnostní hlavičky + vypnuté XML-RPC (pokud netřeba).
- Automatické zálohy testované obnovou na stagingu.
- Žádné „nulled“ doplňky, pouze ověřené zdroje.
Tipy navíc pro dlouhodobé zabezpečení WordPress
- Oddělte produkci a staging; změny testujte před nasazením.
- Pracujte s právy na souborovém systému a logujte nasazení.
- Nastavte alerty v Google Search Console a monitor dostupnosti.
Nemáte čas vše hlídat? Zvažte profesionální správa a údržba WordPressu včetně pravidelných aktualizací, záloh a monitoringu. Stabilní procesy jsou základní vrstva pro kvalitní zabezpečení WordPress a klidné spaní.
Časté mýty, které ohrožují zabezpečení WordPress
- „Malý web nikoho nezajímá.“ – Automatizované útoky cílí na všechny.
- „Mám jeden bezpečnostní plugin, to stačí.“ – Důležitá je kombinace opatření a správná konfigurace.
- „Zálohu mám u hostingu, víc netřeba.“ – Ověřené a oddělené zálohy jsou nutnost.
Závěrem
Komplexní zabezpečení WordPress není jednorázový úkon, ale proces: prevence, monitoring, včasné aktualizace a připravený plán obnovy. Začněte jednoduchými kroky z checklistu a postupně přidejte firewall, hlavičky a hardening. Každé malé zlepšení snižuje riziko a šetří náklady na řešení incidentů.
Se zpracováním tohoto článku pomohl AI WordPress plugin DAISEO Tvorba obsahu od Dejtonaweb
