WordPress hardening: bezpečnostní checklist pro firemní weby (2026)

WordPress sám o sobě není nebezpečný. Většina napadených webů má společné jednoduché příčiny: neaktualizované pluginy, slabá hesla, příliš mnoho administrátorů, chybějící zálohy a nikdo, kdo by si všiml, že se něco změnilo.

Hardening znamená systematicky zmenšit plochu útoku — vypnout, co nepotřebujete, omezit oprávnění a nastavit kontrolu. Tento checklist můžete projít sami, nebo ho použít jako zadání pro dodavatele.

1. Aktualizace a odstranění nepotřebného

• Jádro WordPressu, pluginy a šablony jsou aktuální — ideálně s pravidelným termínem kontroly a testem na stagingu.
• Neaktivní pluginy a šablony jsou smazané, ne jen vypnuté. I neaktivní kód na serveru může mít zranitelnost.
• Nepoužíváte pluginy, které už autor nevyvíjí nebo byly staženy z oficiálního repozitáře.
• Nepoužíváte „nulled“ (nelegálně stažené) placené pluginy — často obsahují backdoor.
• Server běží na verzi PHP, která ještě dostává bezpečnostní aktualizace.

2. Účty a přihlášení

• Každý člověk má vlastní účet; sdílené přihlášení „admin“ neexistuje.
• Role podle principu nejmenších oprávnění — redaktor nepotřebuje roli Administrátor.
• Dvoufaktorové ověření (2FA) pro všechny účty s oprávněním upravovat obsah.
• Omezení počtu pokusů o přihlášení nebo ochrana přihlašovací stránky na úrovni WAF.
• Účty bývalých zaměstnanců a dodavatelů jsou odstraněné nebo deaktivované.

3. wp-config.php

Několik konstant výrazně zvýší odolnost:

// Zákaz úprav souborů pluginů a šablon z administrace
define( 'DISALLOW_FILE_EDIT', true );

// Na produkci bez zobrazování chyb
define( 'WP_DEBUG', false );

// Vynucení HTTPS v administraci
define( 'FORCE_SSL_ADMIN', true );

• Bezpečnostní klíče a soli (AUTH_KEY apod.) jsou unikátní; po incidentu je vygenerujte znovu.
• Prefix tabulek není jediná „ochrana“ — skutečnou ochranou jsou aktualizace a oprávnění.
• Pokud aktualizace děláte přes Git nebo CI, zvažte i DISALLOW_FILE_MODS, který zakáže instalaci a aktualizace z administrace.

4. Server a souborový systém

• Práva souborů obvykle 644, adresářů 755, wp-config.php přísněji (např. 640 nebo 600 podle hostingu).
• V adresáři wp-content/uploads se nespouští PHP.
• Výpis adresářů (directory listing) je vypnutý.
• XML-RPC je vypnuté, pokud ho nepoužíváte (Jetpack nebo mobilní aplikace ho mohou potřebovat). Bývá cílem útoků na hesla.
• Web běží jen přes HTTPS a má základní bezpečnostní hlavičky (HSTS, X-Content-Type-Options, Referrer-Policy, případně Content Security Policy).
• Databázový uživatel má práva jen ke své databázi.

5. Zálohy

• Automatické zálohy databáze i souborů.
• Alespoň jedna kopie mimo server webu (pravidlo 3-2-1: 3 kopie, 2 různá média, 1 mimo lokalitu).
• Obnova ze zálohy je vyzkoušená, ne jen nastavená. Záloha, kterou nikdo neobnovil, je jen předpoklad.

6. Ochrana na okraji: WAF a CDN

• Web aplikační firewall (u hostingu, CDN nebo jako plugin) filtruje známé útoky a boty.
• Rate limiting pro wp-login.php a xmlrpc.php.
• Administraci je možné omezit na vybrané IP adresy nebo VPN, pokud to provoz dovolí.

7. Monitoring a kontrola integrity

S WP-CLI ověříte, že soubory jádra a pluginů odpovídají oficiálním verzím:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator

• Monitoring dostupnosti a upozornění při výpadku.
• Upozornění na změny souborů nebo nové administrátorské účty.
• Logy přihlášení a změn jsou dostupné aspoň za poslední týdny.

Pokud s WP-CLI začínáte, projděte si náš návod WP-CLI pro začátečníky.

Co dělat, když už je web napadený

1. Udělejte zálohu aktuálního stavu (kvůli analýze), ale neobnovujte z ní.
2. Změňte všechna hesla — WordPress, hosting, FTP/SFTP, databáze — a vygenerujte nové klíče v wp-config.php.
3. Najděte příčinu (zranitelný plugin, uniklé heslo), jinak se útok vrátí.
4. Obnovte čistou verzi nebo vyčistěte soubory a databázi, poté zkontrolujte integritu.
5. Pokud web zpracovává osobní údaje, posuďte povinnosti podle GDPR (oznámení incidentu).

Kdy to svěřit odborníkům

Checklist pokryje základ. U firemních webů, e-shopů a webů s osobními údaji se ale vyplatí mít pravidelnou údržbu, monitoring a někoho, kdo reaguje na incident. Podívejte se na naše zabezpečení webů a aplikací.

Shrnutí

• Nejvíc pomáhají aktualizace, odstranění nepotřebných pluginů, 2FA a minimální oprávnění.
• V wp-config.php vypněte úpravy souborů z administrace a zobrazování chyb.
• Zálohy mimo server a vyzkoušená obnova jsou povinnost, ne bonus.
• Kontrolujte integritu přes WP-CLI a nastavte monitoring.

Chcete nezávislou kontrolu zabezpečení vašeho WordPressu? Kontaktujte nás.