Pokud používáte WordPress, možná už jste si všimli, že se v administraci objevují zvláštní záznamy. Třeba desítky nebo dokonce stovky útoků na web v podobě neúspěšných pokusů o přihlášení během jediného dne. Není to nic neobvyklého – WordPress je nejrozšířenější redakční systém na světě a tím pádem také nejčastější terč útoků. Dobrou zprávou ale je, že většinu z nich lze zastavit jednoduchými kroky, které zvládne každý. V tomto článku si ukážeme, jak své stránky prakticky ochránit.

Proč útočníci vůbec útočí

Mnoho lidí se ptá: „Proč by někdo útočil zrovna na můj web, když nejsem velká firma?“ Odpověď je jednoduchá: většina útoků není cílená, ale plošná. Útočníci mají roboty, kteří automaticky procházejí internet a hledají slabě zabezpečené WordPressy. Jakmile najdou skulinu, využijí ji. Motivace je různá – od šíření spamu a malwaru, přes krádež uživatelských údajů, až po vytvoření sítě napadených webů (tzv. botnet), kterou pak prodávají nebo využívají k dalším útokům.

Co se stane po úspěšném útoku

Úspěšný útok může mít různé následky. Někdy vám někdo „jen“ změní heslo a zamkne vás z administrace. Často ale útočníci nasadí na web škodlivý kód, který šíří viry na zařízení vašich návštěvníků. Další variantou je přesměrování – návštěvníci kliknou na váš web, ale skončí na pochybné stránce prodávající padělky nebo hazard. Někteří hackeři využívají napadené weby k těžbě kryptoměn na pozadí. Pro vás to znamená nejen ztrátu reputace, ale i riziko, že váš web Google označí jako nebezpečný a vyřadí z vyhledávání.

Dá se to opravit?

Ano, napadený web se dá vyčistit, ale je to složité. Většinou musíte najít a odstranit škodlivý kód, obnovit web ze zálohy a zkontrolovat všechny pluginy i šablony. Je to práce pro odborníka a často časově i finančně náročná. Proto je vždy lepší prevence – zabezpečení webu od začátku je rychlejší, levnější a hlavně jistější než řešit důsledky útoku. Pokud už k napadení dojde a nemáte dostatečné zkušenosti, doporučuji obrátit se na někoho, kdo se tím profesionálně zabývá. Rychlá reakce je klíčová, protože čím déle web zůstane infikovaný, tím víc škody může napáchat.

Limit přihlášení

Útočníci často používají takzvané brute force útoky, tedy automatické zkoušení hesel. Robot se snaží zkoušet jedno heslo za druhým, dokud se netrefí. Pokud ale nastavíte omezení počtu přihlášení, má smůlu. Praktické je použít pluginy jako Limit Login Attempts Reloaded nebo Wordfence, které vám umožní nastavit například jen tři pokusy o přihlášení. Pokud se někdo třikrát netrefí, jeho IP adresa se na určitou dobu zablokuje. Tím se počet pokusů dramaticky sníží. Místo stovek útoků denně uvidíte jen jednotky, které nemají šanci uspět.

Wordfence a další bezpečnostní pluginy

Wordfence je jedním z nejlepších pluginů pro zabezpečení WordPressu. Funguje jako firewall a antivirový skener v jednom. Hlídá nebezpečné přístupy, blokuje podezřelé IP adresy, skenuje soubory a upozorní vás, pokud se na webu objeví škodlivý kód. Praktickou výhodou je i detailní přehled o pokusech o přihlášení – často se tak dozvíte, odkud útoky přicházejí a jaká uživatelská jména útočníci zkoušejí. Vedle Wordfence stojí za zmínku i pluginy jako iThemes Security nebo Sucuri Security. Každý má trochu jiné funkce, ale všechny dokážou web ochránit na úrovni, kterou běžný uživatel sám nezvládne.

Změna adresy pro přihlášení

Standardní přihlašovací adresa do WordPressu je vaše-domena.cz/wp-admin nebo vaše-domena.cz/wp-login.php. A právě tu útočníci znají nejlépe. Není nic snazšího než vyzkoušet desítky kombinací hesel přímo na této adrese. Pokud si ale adresu změníte, automatizované útoky se k vám ani nedostanou. Existují pluginy, které vám umožní nastavit vlastní URL pro přihlášení – například WPS Hide Login. Můžete si tak vytvořit vlastní cestu, třeba vase-domena.cz/moje-sekce. Není to stoprocentní ochrana, ale rozhodně zkomplikuje útočníkům život.

Přihlašovací jméno a heslo

Možná to zní jako banalita, ale právě tady se dělají nejčastější chyby. Nikdy nepoužívejte uživatelské jméno „admin“. Je to první, co útočníci zkoušejí. Vždy si vytvořte unikátní přihlašovací jméno, ideálně takové, které nikdo nedokáže snadno odhadnout. U hesla platí podobná pravidla. Zapomeňte na jednoduché kombinace typu jmeno123 nebo heslo2024. Bezpečné heslo by mělo mít alespoň 12 znaků, kombinaci velkých a malých písmen, čísel a speciálních znaků. Pokud si je nechcete pamatovat, použijte správce hesel jako Bitwarden nebo 1Password. Díky nim můžete mít pro každý web unikátní heslo, aniž byste si je museli ukládat do poznámkového bloku.

Dvoufázové ověření (2FA)

Pokud chcete zvýšit bezpečnost na maximum, nastavte si dvoufázové ověření. To znamená, že kromě hesla musíte při přihlášení zadat ještě kód z mobilní aplikace nebo potvrzení v SMS. I když útočník zjistí vaše heslo, bez druhého faktoru se do administrace nedostane. V praxi se nejčastěji používají aplikace jako Google Authenticator nebo Authy. Implementace je jednoduchá, ale efekt je obrovský.

Aktualizace a zálohy

Mnoho útoků probíhá přes staré verze pluginů nebo šablon. Vývojáři totiž chyby opravují, ale pokud aktualizace neprovedete, zůstává web zranitelný. Pravidelně proto aktualizujte jádro WordPressu, pluginy i šablony. Nezapomínejte ani na zálohování. V případě, že by se něco pokazilo, máte možnost vrátit web do funkčního stavu. Pluginy jako UpdraftPlus nebo All-in-One WP Migration vám práci usnadní.

Další praktické tipy

Zabezpečení nekončí jen u pluginů. Doporučuji také nastavit firewall přímo na úrovni hostingu, zakázat editaci souborů v administraci WordPressu, skrýt číslo verze WordPressu ve zdrojovém kódu nebo povolit přístup do administrace jen z konkrétních IP adres. Pokud například pracujete jen z kanceláře, můžete přístup omezit jen na svou IP adresu. Útočníci zvenku se tak nedostanou ani k přihlašovací stránce.

Shrnutí

Zabezpečení WordPressu není složité, ale vyžaduje systematický přístup. Pokud se budete spoléhat jen na silné heslo, dříve nebo později se útočníci dostanou dál. Spojením více kroků – omezení pokusů o přihlášení, instalace Wordfence, změna adresy pro přihlášení, dvoufázové ověření, pravidelné aktualizace a zálohy – dokážete svůj web ochránit velmi efektivně. A hlavně si ušetříte nepříjemné chvíle, kdy by vaše stránky mohly být mimo provoz nebo dokonce zneužity k šíření škodlivého obsahu.

Útočníci neřeší, zda jste velká firma, nebo malý živnostník. Jejich útoky jsou plošné a hledají nejslabší článek. Pokud necháte svůj web bez zabezpečení, je jen otázkou času, kdy se dostane na řadu i on. Proto platí: investice do prevence je vždy menší než následné řešení škod. Máte web na WordPressu a chcete jeho zabezpečení nechat na profesionálovi? Neváhejte se na mě obrátit!