← Visi straipsniai · ScanMend · English

WordPress saugumas mažai įmonei: praktinis sąrašas

2026 m. spalio 22 d.

WordPress – populiariausia svetainių sistema pasaulyje, todėl ir dažniausias automatizuotų atakų taikinys. Pats WordPress branduolys atnaujinamas reguliariai; daugiausia problemų kyla dėl neatnaujintų įskiepių, temų ir silpnų slaptažodžių.

1. Atnaujinimai – svarbiausias žingsnis

• Prieš atnaujindami pasidarykite atsarginę kopiją.
• Valdymo skydas → Atnaujinimai: atnaujinkite WordPress, įskiepius ir temą.
• Įskiepių puslapyje prie kiekvieno įskiepio galite spausti „Įjungti automatinius atnaujinimus“ (galimybė yra nuo WordPress 5.5).
• Nenaudojamus įskiepius ir temas ištrinkite – išjungto įskiepio failai vis tiek lieka serveryje.
• Jei įskiepis pašalintas iš WordPress.org katalogo, patikrinkite, ar jis dar prižiūrimas. Jei ne – pasirinkite alternatyvą.

2. Prisijungimas

• Kiekvienam administratoriui – atskira paskyra, stiprus unikalus slaptažodis ir dviejų veiksnių autentifikacija (ją siūlo, pvz., nemokamas „Wordfence“ įskiepis).
• Administratoriaus teises suteikite tik tiems, kam jų reikia. Kitiems parinkite tinkamą vaidmenį, pvz., „Redaktorius“ ar „Autorius“.
• Ištrinkite buvusių darbuotojų ir rangovų paskyras.

3. Uždarykite tai, ko nenaudojate

• XML-RPC (xmlrpc.php) dažnai naudojamas slaptažodžių spėliojimui. Jei nenaudojate Jetpack ar mobiliosios programėlės, išjunkite jį įskiepiu „Disable XML-RPC-API“.
• Naudotojų sąrašas. Pagal nutylėjimą WordPress REST API (/wp-json/wp/v2/users) viešai rodo naudotojų vardus. Įskiepis „Stop User Enumeration“ tai apriboja.

4. HTTPS ir saugos antraštės

Nustatymai → Bendri abu adresai turi prasidėti https://. Nemokamas įskiepis „Really Simple Security“ įjungia nukreipimą į HTTPS ir sutvarko daugumą mišraus turinio. Saugos antraštes (HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy) paprasčiausia pridėti įskiepiu „Headers Security Advanced & HSTS WP“ arba „HTTP Headers“.

5. Atsarginės kopijos

Kopijas darykite automatiškai ir laikykite ne toje pačioje svetainėje: debesyje arba kitame serveryje. Archyvai, paliekami wp-content ar svetainės šaknyje, gali būti atsisiunčiami viešai. Bent kartą pabandykite atkurti svetainę iš kopijos.

6. PHP versija

Įrankiai → Svetainės sveikata parodo, kokia PHP versija naudojama. Pagal php.net, PHP 8.2 saugumo pataisos baigiasi 2026-12-31. Naujesnę versiją pasirinksite hostingo skydelyje (hPanel – Advanced → PHP Configuration, cPanel – Select PHP Version), tik pirmiausia patikrinkite, ar jai tinka tema ir įskiepiai.

7. Slapukai ir BDAR

Jei naudojate Google Analytics, Meta Pixel ar panašius įrankius, jie turi įsijungti tik lankytojui sutikus. Nemokami įskiepiai „Complianz“ arba „CookieYes“ leidžia blokuoti sekimo skriptus iki sutikimo.

8. Stebėjimas

„Wordfence“ (nemokama versija) tikrina failų pakeitimus ir blokuoja dalį atakų. Be to, kartą per mėnesį patikrinkite svetainę ir iš išorės.