Cum securizezi un site WordPress: ghid practic 2026

Securizezi un site WordPress cu parole lungi și 2FA pe contul de admin, actualizări la zi pentru nucleu, teme și pluginuri, SSL pe tot site-ul, backup zilnic păstrat în afara serverului și limitarea încercărilor de login. Nu ai nevoie de cunoștințe de sysadmin pentru asta. WordPress rulează o bună parte din site-urile lumii, așa că e ținta preferată a atacurilor automate, iar mai jos ai pașii în ordinea în care i-aș face și de ce contează fiecare.

De ce sunt atacate site-urile WordPress

Majoritatea atacurilor nu sunt personale. Boții scanează continuu internetul și încearcă aceleași vulnerabilități cunoscute pe mii de site-uri pe minut. Caută parole slabe, pluginuri sau teme neactualizate și formulare de login expuse. Nu trebuie să fii o țintă importantă ca să fii lovit, e suficient să fii vulnerabil.

Un site compromis are urmări concrete: pagini cu spam și redirecturi spre site-uri dubioase, emailuri de phishing trimise de pe serverul tău, date ale clienților furate și, foarte des, o penalizare în Google care îți taie traficul. Recuperarea costă mult mai mult timp și bani decât prevenția, așa că merită să tratezi securitatea WordPress ca pe o rutină, nu ca pe o reacție după incident.

Parole puternice și autentificare în doi pași (2FA)

Contul de administrator e prima linie de apărare. O parolă refolosită sau ușor de ghicit e cea mai des întâlnită cale de intrare.

• Folosește parole lungi și unice pentru fiecare cont (admin WordPress, panoul de găzduire, email, FTP). Minimum 16 caractere, generate cu un manager de parole.
• Renunță la numele de utilizator „admin”. Creează un cont nou de administrator, cu alt nume, apoi șterge-l pe cel implicit.
• Activează 2FA (autentificare în doi pași) pe contul de admin, cu o aplicație de tip authenticator. Chiar dacă cineva îți află parola, fără al doilea factor nu intră.
• Ține puțini administratori. Fiecare cont cu drepturi mari e o ușă în plus. Dă fiecărui utilizator doar rolul de care are nevoie (autor, editor).

Actualizări la zi: nucleu, teme și pluginuri

Multe site-uri WordPress sparte rulau o versiune veche a unui plugin cu o vulnerabilitate cunoscută, deja reparată. Atacatorii nu descoperă nimic nou, ci folosesc breșe publicate, pentru care există deja patch.

Cum gestionezi actualizările

• Actualizează nucleul WordPress, temele și pluginurile imediat ce apar versiuni noi, mai ales cele marcate ca reparații de securitate.
• Șterge ce nu folosești. Un plugin sau o temă inactivă rămâne cod pe server și poate fi exploatată. Dezinstaleaz-o complet, nu doar dezactiva.
• Instalează doar din surse de încredere: directorul oficial WordPress sau dezvoltatori cunoscuți. Pluginurile „nulled” (versiuni piratate ale celor premium) vin foarte des cu backdoor inclus.
• Testează înainte de un update major dacă ai un magazin online important: cu un backup recent revii rapid dacă actualizarea strică ceva.

SSL, conexiuni criptate și transferuri sigure

Certificatul SSL criptează traficul dintre vizitator și site, așa că parolele și datele de plată nu pot fi interceptate. În 2026, SSL e standard: browserele marchează site-urile fără HTTPS ca nesigure, iar Google le dezavantajează în căutări.

Verifică dacă tot site-ul merge pe HTTPS, nu doar pagina de checkout, și dacă ai redirect automat de la HTTP la HTTPS. La o găzduire serioasă, instalarea și reînnoirea certificatului sunt automate. Vezi cum funcționează un certificat SSL inclus și emis automat, fără să te ocupi tu de reînnoiri. Pe lângă SSL, renunță la FTP-ul necriptat și folosește SFTP când urci fișiere pe server.

Backup zilnic: plasa ta de siguranță

Nicio măsură nu te protejează 100%. Diferența dintre un incident mic și un dezastru o face backup-ul. Cu o copie recentă care funcționează, un site spart se restaurează în câteva minute; fără ea, poți pierde definitiv munca de ani de zile.

• Fă backup zilnic automat pentru fișiere și baza de date. Un backup manual „o dată pe lună” nu te ajută când chiar ai nevoie.
• Păstrează copiile în afara serverului. Un backup ținut doar pe același server dispare odată cu el dacă serverul e compromis sau se strică.
• Testează restaurarea măcar o dată. Un backup din care nu poți recupera nimic nu e backup.
• Păstrează mai multe versiuni (ultimele 7-30 de zile), pentru că o infectare poate fi descoperită abia după câteva zile.

Limitarea login-ului și protecția la atacuri brute-force

Pagina wp-login.php e lovită constant de boți care încearcă mii de combinații de parole. Câteva măsuri simple reduc mult riscul:

• Limitează numărul de încercări de login și blochează temporar IP-urile care greșesc parola de mai multe ori.
• Adaugă 2FA: chiar dacă botul ghicește parola, se oprește la al doilea factor.
• Schimbă adresa implicită de login sau protejează zona de administrare cu o parolă suplimentară la nivel de server.
• Dezactivează editarea fișierelor din dashboard (constanta DISALLOW_FILE_EDIT), ca un atacator care a intrat să nu poată injecta cod direct din interfață.

Filtrarea trebuie făcută cu grijă, ca să nu blochezi clienți reali. De aceea e bine ca firewall-ul și regulile de protecție să fie configurate la nivel de găzduire, nu doar dintr-un plugin care mai și încarcă site-ul.

Rolul găzduirii: o parte mare din securitate ține de server

Poți face totul corect în WordPress și să rămâi vulnerabil dacă serverul e prost securizat sau supraaglomerat. O găzduire bună face o parte din muncă în fundal:

• Firewall la nivel de server, care oprește atacurile înainte să ajungă la WordPress.
• Izolarea conturilor, ca un site vecin compromis de pe același server să nu ajungă la al tău.
• Versiuni PHP noi și actualizate, pentru că PHP-ul vechi e o sursă importantă de vulnerabilități.
• Backup automat și monitorizare, plus suport tehnic care reacționează repede la un incident.
• NVMe și LiteSpeed, care nu țin doar de viteză: un server stabil suportă mai bine valurile de trafic ostil.

O găzduire WordPress securizată face din multe dintre măsurile de mai sus setări implicite, în loc de sarcini pe care le bifezi tu manual. Alegerea găzduirii e, deci, și o decizie de securitate, nu doar una de preț.

Checklist rapid de securitate WordPress

• Parole lungi și unice + 2FA pe contul de admin
• Fără utilizatorul „admin” și cu rolul minim necesar pentru fiecare cont
• Nucleu, teme și pluginuri actualizate; cele nefolosite, șterse
• SSL activ pe tot site-ul, cu redirect automat la HTTPS
• Backup zilnic automat, păstrat în afara serverului și testat
• Încercări de login limitate + zona de administrare protejată
• Găzduire cu firewall, izolare și PHP actualizat

Securitatea WordPress e o rutină: o pui la punct o dată și apoi o întreții. Dacă bifezi pașii de mai sus, riscul scade mult. Cel mai simplu început e să muți site-ul pe o găzduire WordPress securizată, cu firewall, backup și SSL incluse, ca o parte din listă să se facă automat.