Stara strona na WordPressie: zabezpieczyć czy przenieść? Bezpieczeństwo WordPress

Bezpieczeństwo WordPress na starej stronie to temat, który zwykle wraca dopiero wtedy, gdy coś się stanie: strona przekierowuje na obce adresy, przeglądarka pokazuje ostrzeżenie albo hosting blokuje konto. Właściciel staje wtedy przed decyzją: zabezpieczyć to, co jest, czy przenieść stronę na nowy system. Obie drogi bywają rozsądne. Poniżej opisujemy objawy zaniedbanej strony, minimum zabezpieczeń, porównanie kosztów i bezpieczną przeprowadzkę.

Objawy zaniedbanej strony na WordPressie

WordPress sam w sobie nie jest niebezpieczny. Problemem jest strona, której nikt nie aktualizuje od lat. Sprawdź, czy rozpoznajesz te objawy:

• w panelu widać kilkanaście czekających aktualizacji, których nikt nie instaluje,
• motyw został kupiony lata temu i autor przestał go rozwijać,
• część wtyczek nie była aktualizowana od dawna albo zniknęła z repozytorium,
• serwer działa na starej wersji PHP, a hosting przysyła ostrzeżenia,
• nikt nie wie, kto ma dostęp do panelu administratora,
• nie ma kopii zapasowej albo nikt nie sprawdzał, czy da się ją odtworzyć,
• strona ładuje się wolno, zwłaszcza na telefonie,
• boisz się kliknąć „Aktualizuj”, bo ostatnio coś się zepsuło.

Jedno, dwa zaznaczenia to sygnał do przeglądu. Pięć i więcej oznacza, że strona jest w stanie, w którym każde włamanie jest kwestią czasu, a nie pecha.

Minimum bezpieczeństwa WordPress

Jeśli strona ma zostać na WordPressie, choćby na kilka miesięcy przed decyzją o przeprowadzce, zacznij od podstaw. Ta lista nie wymaga dużego budżetu:

1. Kopia zapasowa przed czymkolwiek. Pełna kopia plików i bazy danych, przechowywana poza serwerem. Sprawdź, czy da się ją odtworzyć.
2. Przegląd kont. Usuń konta byłych pracowników i wykonawców. Każdy administrator ma mieć własne konto, silne hasło i, jeśli to możliwe, logowanie dwuetapowe.
3. Aktualizacje na kopii. Najpierw na wersji testowej: rdzeń WordPressa, motyw, wtyczki. Dopiero gdy wszystko działa, na stronie produkcyjnej.
4. Usunięcie zbędnych dodatków. Każda nieużywana wtyczka i motyw to dodatkowy kod, który może mieć lukę. Wyłączona wtyczka nadal leży na serwerze, więc trzeba ją usunąć.
5. Aktualne PHP. Wersję PHP zmienia się w panelu hostingu, ale najpierw trzeba sprawdzić zgodność motywu i wtyczek.
6. Certyfikat SSL i wymuszenie HTTPS.
7. Ograniczenie prób logowania i zmiana domyślnego adresu panelu albo zabezpieczenie go po stronie serwera.
8. Monitorowanie. Powiadomienie, gdy strona przestanie działać, i regularne skanowanie plików.

Ostatni krok to ustalenie, kto będzie to robić co miesiąc. Jednorazowe porządki dają niewiele, jeśli za rok strona znów będzie w tym samym stanie. Na czym polega stała opieka i co powinna obejmować, opisujemy w poradniku o utrzymaniu strony internetowej.

Co zrobić, gdy strona już została zhakowana

Jeśli widzisz objawy włamania, działaj spokojnie, ale szybko. Kolejność ma znaczenie:

1. Zabezpiecz dowody i kopię. Zrób kopię plików i bazy w obecnym stanie, nawet zainfekowaną. Przyda się do ustalenia, co się stało.
2. Zmień hasła. Do panelu WordPressa, hostingu, FTP, bazy danych i poczty powiązanej z domeną. Usuń nieznane konta administratorów.
3. Powiadom hosting. Wiele firm hostingowych pomaga w takich sytuacjach i może wskazać zainfekowane pliki.
4. Oczyść stronę albo odtwórz ją z czystej kopii. Samo usunięcie widocznych objawów zwykle nie wystarcza, bo włamywacze zostawiają ukryte furtki.
5. Znajdź przyczynę. Najczęściej jest nią nieaktualna wtyczka, motyw albo przejęte hasło. Bez usunięcia przyczyny włamanie wróci.
6. Sprawdź Google Search Console. W raporcie problemów z bezpieczeństwem zobaczysz, czy Google oznaczył stronę. Po oczyszczeniu można poprosić o ponowną weryfikację.

Jeśli na stronie są dane klientów, na przykład z formularzy lub sklepu, włamanie może oznaczać naruszenie ochrony danych osobowych i obowiązki wobec UODO. To nie jest porada prawna, w takiej sytuacji warto od razu skonsultować się z prawnikiem.

Zabezpieczyć czy przenieść: jak zdecydować

Decyzja zależy od stanu strony, planów firmy i tego, ile kosztuje utrzymanie obecnego rozwiązania.

Sytuacja	Lepszy wybór
Strona jest w miarę aktualna, motyw wspierany, wygląd i treści pasują do firmy	zabezpieczyć i objąć stałą opieką
Strona działa, ale wygląd i treści są przestarzałe, a i tak planujesz zmiany	przenieść przy okazji odświeżenia
Motyw porzucony, najważniejsze funkcje oparte na nieaktualnych wtyczkach	przenieść
Strona była już zhakowana, a przyczyny nie ustalono	przenieść, po wcześniejszym oczyszczeniu i zabezpieczeniu
Na stronie działa rozbudowany sklep lub wiele integracji opartych na WordPressie	zabezpieczyć i planować zmiany etapami
Strona jest wolna i ma słabe wyniki w Google mimo dobrych treści	przenieść, zachowując treści i adresy

Jeśli wahasz się, czy w ogóle zmieniać stronę, czy wystarczy ją poprawić, przydatny będzie nasz poradnik nowa strona czy modernizacja.

Koszt utrzymania a koszt przeniesienia

Porównując koszty, warto patrzeć na kilka lat, zamiast wyłącznie na pierwszą fakturę.

Zostaję na WordPressie. Jednorazowe porządki i aktualizacje zaniedbanej strony, a potem stała opieka. U nas opieka techniczna to 199–699 zł netto miesięcznie, zależnie od zakresu. Do tego płatne licencje wtyczek i motywu, jeśli są potrzebne, oraz hosting z obsługą PHP i bazy danych. Przy stronach z wieloma wtyczkami każda większa aktualizacja może wymagać poprawek.

Przenoszę stronę. Jednorazowy koszt nowej strony: strona firmowa to u nas 3 900–7 500 zł netto, rozbudowany serwis 9 000–18 000 zł netto. W zamian strona statyczna albo lżejsza technologia oznacza mniej elementów do aktualizowania, a więc zwykle tańszą opiekę i mniejsze ryzyko. Porównanie WordPressa z rozwiązaniem, którego używamy, opisujemy w artykule Astro czy WordPress.

Przy przeniesieniu nie zaczynasz od zera. Treści, zdjęcia, adresy i pozycje w Google można zachować, a przy okazji poprawić to, co od dawna przeszkadzało.

Jak przenieść stronę bez utraty pozycji

Przeprowadzka strony to moment, w którym najłatwiej stracić ruch z Google. Kilka zasad, których się trzymamy:

• Spis wszystkich adresów starej strony, także tych, do których prowadzą linki z zewnątrz.
• Zachowanie adresów lub przekierowania 301 z każdego starego adresu na odpowiednik w nowej strukturze.
• Przeniesienie treści, tytułów i opisów, a nie pisanie wszystkiego od nowa bez potrzeby.
• Sprawdzenie pliku robots.txt i znaczników noindex na nowej stronie przed publikacją.
• Zgłoszenie nowej mapy witryny w Google Search Console i obserwacja raportów przez kilka tygodni po starcie.

Szczegółowy plan krok po kroku znajdziesz w poradniku o migracji strony bez utraty pozycji.

Przykład: kancelaria Adwokaci BC

Dobrym przykładem jest nasza realizacja dla kancelarii Adwokaci BC z Katowic. Strona działała wcześniej na WordPressie i miała zablokowane indeksowanie podstron, przez co Google nie widział dużej części treści. Przenieśliśmy ją z WordPressa na nowy system. Nowa strona ma 43 podstrony, w tym kalkulator kosztów windykacji, a podstrony są dostępne dla wyszukiwarki.

Ten przypadek pokazuje też, że problemy starej strony wykraczają poza bezpieczeństwo. Ustawienia sprzed lat, o których nikt nie pamięta, potrafią po cichu blokować widoczność w Google.

Podsumowanie

Stara strona na WordPressie nie musi od razu iść do wymiany. Jeśli motyw i wtyczki są wspierane, wystarczą porządki, aktualizacje, kopie zapasowe i stała opieka. Gdy strona opiera się na porzuconych dodatkach, była już zhakowana albo i tak wymaga odświeżenia, przeniesienie zwykle wychodzi rozsądniej w perspektywie kilku lat. W obu przypadkach zacznij od kopii zapasowej i przeglądu kont.

Jeśli chcesz ocenić, która droga jest lepsza dla Twojej strony, zobacz, jak pracujemy przy stronach internetowych, albo zamów darmowy audyt strony.