Majoritatea site-urilor WordPress compromise cad prin plugin-uri neactualizate, parole slabe la wp-admin și teme piratate cu backdoor. Toate trei se închid cu câteva setări și o rutină de întreținere, nu cu un plugin „de securitate” instalat la întâmplare.
Scanerele automate caută versiuni de plugin-uri cu vulnerabilități publicate și le exploatează în ore de la anunț, indiferent cât de mic e site-ul. Al doilea drum e wp-login.php, unde boții încearcă liste de parole scurse; xmlrpc.php permite sute de încercări într-o singură cerere. Al treilea e tema piratată, care vine cu cod ascuns ce deschide un shell sau injectează linkuri spam. Permisiunile 777 completează tabloul: orice cont de pe același server poate scrie în fișierele tale.
Începi cu actualizările, pentru că ele închid vulnerabilitățile cunoscute. Urmează accesul: parole lungi, 2FA, limitare de login, dezactivarea xmlrpc.php dacă nu folosești aplicația mobilă. Apoi întărești fișierele: permisiuni corecte, DISALLOW_FILE_EDIT în wp-config.php, fără execuție PHP în wp-content/uploads. La final pui un WAF la nivel de hosting, care filtrează cererile rău intenționate înainte să ajungă la PHP, și verifici că backup-ul zilnic se poate restaura.
Dacă site-ul are formulare, conturi de client sau magazin, prelucrezi date personale și intri sub art. 32 GDPR, care cere măsuri tehnice adecvate riscului. ANSPDCP a sancționat în România lipsa acestor măsuri, deci un WordPress neactualizat care pierde date de client nu e doar o problemă tehnică. Un magazin care emite facturi prin e-Factura are și obligația de a păstra XML-urile transmise la ANAF, ceea ce face backup-ul o cerință legală.
| Măsură | Ce atac oprește | Unde se configurează |
|---|---|---|
| Actualizări nucleu, teme, plugin-uri | Exploatarea vulnerabilităților publicate | Panoul WordPress sau WP-CLI |
| 2FA + limitare de login | Brute force pe wp-login.php | Plugin de autentificare |
| Dezactivare xmlrpc.php | Încercări în masă printr-o singură cerere | .htaccess sau serverul web |
| Permisiuni 755/644, DISALLOW_FILE_EDIT | Scriere și editare de fișiere din panou | Sistem de fișiere, wp-config.php |
| Blocare PHP în uploads | Execuția fișierelor încărcate | .htaccess sau serverul web |
| WAF la nivel de hosting | SQL injection, XSS, boți | Panoul de hosting |
find /var/www/exemplu.ro -type d -exec chmod 755 {} \;
find /var/www/exemplu.ro -type f -exec chmod 644 {} \;
chmod 600 /var/www/exemplu.ro/wp-config.phpdefine('DISALLOW_FILE_EDIT', true);
define('FORCE_SSL_ADMIN', true);<FilesMatch "\.php$">
Require all denied
</FilesMatch>Un plugin de slider neactualizat de un an a permis încărcarea unui fișier PHP în uploads; site-ul redirecționa clienții spre pagini de pariuri. Restaurarea din backup-ul zilnic, actualizarea și blocarea execuției PHP în uploads au rezolvat incidentul în aceeași zi.
Utilizatorul „admin” cu o parolă de opt caractere a fost ghicit prin xmlrpc.php. Atacatorul a creat un cont ascuns de administrator și a publicat linkuri spam în articole vechi. 2FA și dezactivarea xmlrpc.php au oprit repetarea.
Îl scoți temporar offline, schimbi toate parolele, inclusiv la baza de date și la FTP, restaurezi dintr-un backup anterior compromiterii și actualizezi tot înainte să-l repui online. Verifici utilizatorii cu rol de administrator și cron-urile din wp_options. Fără backup curat, cauți fișierele modificate recent.
Un singur plugin bun pentru 2FA și limitarea încercărilor de login e suficient, dacă restul măsurilor sunt făcute: actualizări, permisiuni, WAF la hosting. Mai multe plugin-uri de securitate care se suprapun încetinesc site-ul și nu adaugă protecție reală.
Actualizările de securitate le aplici în ziua în care apar, după un backup. Restul le poți grupa săptămânal. Activezi actualizările automate minore ale nucleului și verifici periodic că plugin-urile pe care le folosești sunt încă întreținute de autori.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.