Securitatea WordPress de la A la Z: abecedarul complet

Securitatea unui site WordPress pare, la prima vedere, o listă interminabilă de termeni tehnici: firewall, backup, 2FA, permisiuni, XML-RPC, headere, salts. Fiecare articol pe care îl citești adaugă încă trei lucruri „obligatorii” și, la final, nu mai știi de unde să începi.

Așa că am încercat altceva: un abecedar al securității WordPress. Câte o literă, câte un concept, explicat pe scurt: ce este, de ce contează și ce faci concret. Îl poți citi de la cap la coadă sau îl poți folosi ca listă de verificare, bifând literă cu literă.

Dacă vrei ghidul pas cu pas, în ordinea în care se face o securizare reală, îl găsești în Securizarea unui site WordPress de la zero. Abecedarul de mai jos e complementar: o hartă rapidă a tot ce contează.

Unele litere sunt pentru oricine are un site. Altele sunt mai tehnice și le-am marcat ca atare. Dacă nu te descurci cu partea tehnică, e perfect normal: e partea pe care o face, de regulă, cine îți întreține site-ul.

A — Actualizări

Ce este: versiunile noi ale nucleului WordPress, ale temei și ale pluginurilor.

De ce contează: majoritatea site-urilor sparte sunt sparte printr-o vulnerabilitate deja cunoscută și deja reparată, doar că actualizarea n-a fost aplicată. Atacatorii scanează automat internetul după versiunile vechi, uneori la câteva ore după publicarea unei breșe.

Ce faci: actualizezi regulat, ideal săptămânal, iar actualizările de securitate în aceeași zi. Înainte de actualizare faci backup, iar după actualizare verifici că site-ul funcționează. Mai multe în De ce actualizările WordPress nu sunt opționale.

B — Backup

Ce este: o copie completă a site-ului (fișiere și bază de date), din care îl poți reface dacă ceva merge prost.

De ce contează: e plasa de siguranță pentru tot restul listei. Orice altă măsură poate eșua. Un backup bun te scoate din aproape orice situație.

Ce faci: regula 3-2-1: trei copii, pe două tipuri de suport, dintre care una în afara serverului. Backup-ul stocat pe același cont de găzduire ca site-ul cade odată cu site-ul. Iar backup-ul pe care nu l-ai restaurat niciodată e doar o speranță. Vezi de ce 90% dintre site-uri n-au un backup funcțional și diferența dintre backup și versionare.

C — Conturi de administrator

Ce este: utilizatorii cu rolul „Administrator”, care pot face orice pe site.

De ce contează: fiecare cont de administrator e o ușă către tot site-ul. Foștii angajați, foștii dezvoltatori și agențiile cu care nu mai lucrezi au adesea în continuare conturi active.

Ce faci: intră în Utilizatori și verifică lista. Șterge conturile pe care nu le mai folosește nimeni. Nu folosi numele „admin”. Fiecare persoană are contul ei, nu împărțiți același cont. Am povestit un caz real în Un an de acces neautorizat, descoperit în prima săptămână de mentenanță.

D — Dezactivarea editorului de fișiere

Ce este: WordPress are un editor încorporat, din care poți modifica direct codul temei și al pluginurilor din panoul de administrare. (tehnic)

De ce contează: dacă cineva fură o parolă de administrator, primul lucru pe care îl face e să bage cod malițios prin acest editor sau să instaleze un plugin de tip „file manager”.

Ce faci: în fișierul wp-config.php adaugi:

define( 'DISALLOW_FILE_EDIT', true );

Varianta mai strictă, pe care o folosim pe site-urile administrate, blochează și instalarea sau actualizarea pluginurilor din panou. Se dezactivează temporar doar în fereastra de actualizări:

define( 'DISALLOW_FILE_MODS', true );

E — Emailul domeniului

Ce este: setările DNS care spun lumii cine are voie să trimită emailuri în numele domeniului tău: SPF, DKIM și DMARC.

De ce contează: fără ele, oricine poate trimite emailuri care par să vină de la firma ta, inclusiv facturi false către clienți. Iar emailurile tale legitime ajung mai des în Spam.

Ce faci: verifici și configurezi cele trei înregistrări. Ghidul complet: SPF, DKIM, DMARC: de ce emailurile tale ajung la spam.

F — Firewall

Ce este: un firewall aplicativ (WAF) filtrează traficul înainte să ajungă la site și blochează cererile cunoscute ca atacuri.

De ce contează: oprește o mare parte din atacurile automate și îți câștigă timp atunci când apare o vulnerabilitate nouă, până aplici actualizarea.

Ce faci: folosești un WAF la nivel de server, la nivel de serviciu extern (de tip CDN) sau, minimum, un plugin de securitate cu firewall. Diferențele le găsești în Firewall aplicativ (WAF): ce este și cum îl alegi.

G — GDPR

Ce este: regulile europene privind datele personale: formulare, cookie-uri, comenzi, newslettere.

De ce contează: un site spart care scurge date ale clienților nu e doar o problemă tehnică, ci și una legală. Iar securitatea datelor e o obligație explicită în GDPR.

Ce faci: colectezi doar datele de care ai nevoie, le ștergi pe cele vechi, protejezi accesul la ele. Detalii în GDPR pe un site WordPress: ce trebuie să ai obligatoriu.

H — Headere de securitate

Ce este: instrucțiuni invizibile pe care serverul le trimite browserului, de exemplu „nu afișa site-ul în cadrul altui site” sau „folosește doar HTTPS”. (tehnic)

De ce contează: protejează vizitatorii împotriva unor atacuri precum clickjacking sau injectarea de scripturi. Se configurează o singură dată și lucrează permanent.

Ce faci: configurezi cel puțin Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options (sau frame-ancestors) și Referrer-Policy. Ghidul: Security headers HTTP.

I — Inventarul pluginurilor

Ce este: lista tuturor pluginurilor instalate, active sau nu.

De ce contează: fiecare plugin e cod scris de altcineva, care rulează pe site-ul tău. Pluginurile dezactivate, dar neșterse, sunt în continuare pe server și pot fi exploatate. Pluginurile abandonate de autori nu mai primesc reparații.

Ce faci: o dată pe trimestru treci prin listă și te întrebi, pentru fiecare: îl folosesc? Mai e actualizat de autor? Are o alternativă mai bună? Ce nu folosești, ștergi. Ce e abandonat, înlocuiești. Vezi și pluginurile esențiale în 2026 și povestea pluginului uitat din 2019.

J — Jurnale și monitorizare

Ce este: înregistrările a ce se întâmplă pe site (autentificări, modificări, erori) și sistemele care te anunță când ceva nu e în regulă.

De ce contează: fără ele, afli de un atac de la clienți, de la Google sau deloc. Cu ele, poți reconstitui ce s-a întâmplat și poți reacționa repede.

Ce faci: activezi un jurnal de activitate (cine s-a logat, ce a modificat), o monitorizare de disponibilitate (te anunță când site-ul cade) și verifici periodic Google Search Console, la secțiunea de probleme de securitate.

K — Cheile de securitate (Keys & Salts)

Ce este: un set de chei aleatorii din wp-config.php, pe care WordPress le folosește pentru a cripta sesiunile de autentificare. (tehnic)

De ce contează: dacă bănuiești că cineva a intrat pe site, schimbarea cheilor deconectează imediat pe toată lumea, inclusiv pe atacator.

Ce faci: generezi chei noi de la adresa oficială https://api.wordpress.org/secret-key/1.1/salt/ și le înlocuiești pe cele vechi în wp-config.php. E primul pas după orice incident.

L — Login

Ce este: pagina de autentificare (wp-login.php), cea mai atacată pagină a oricărui site WordPress.

De ce contează: roboții încearcă zilnic mii de combinații de nume și parole pe aproape orice site WordPress.

Ce faci: limitezi numărul de încercări eșuate, adaugi protecție anti-robot (CAPTCHA sau o alternativă invizibilă) și, dacă lucrați mereu din aceleași locuri, poți restricționa accesul la panou după adresa IP. Ghidul complet: Cum protejezi pagina de login WordPress.

M — Malware

Ce este: cod malițios ascuns în fișierele sau în baza de date a site-ului: redirecționări, spam, pagini false, uși din spate.

De ce contează: multe infecții nu se văd cu ochiul liber. Site-ul arată normal pentru tine, dar trimite vizitatorii din Google spre alte site-uri sau servește pagini de spam doar roboților de căutare.

Ce faci: scanezi periodic, atât din WordPress (cu un plugin de securitate), cât și de la nivel de server. Semnele de alarmă le găsești în 7 semne că site-ul tău WordPress a fost spart, iar metodele de detecție în Malware pe WordPress: cum îl detectezi.

N — Nulled (pluginuri și teme piratate)

Ce este: versiuni „gratuite” ale pluginurilor și temelor plătite, descărcate de pe site-uri neoficiale.

De ce contează: e una dintre cele mai frecvente surse de infectare. Codul „spart” poate conține uși din spate, iar actualizările lipsesc sau vin din surse dubioase. Am întâlnit, de exemplu, pluginuri de formulare piratate care trimiteau verificările de licență către servere străine, necunoscute.

Ce faci: instalezi pluginuri și teme doar din directorul oficial WordPress sau direct de la producător. Dacă nu-ți permiți versiunea plătită, folosește o alternativă gratuită legitimă. Și verifică ce ai deja instalat.

O — Oameni și roluri

Ce este: rolurile WordPress (Administrator, Editor, Autor, Colaborator, Abonat) și cine ce rol are.

De ce contează: regula celui mai mic privilegiu. Cine scrie articole nu are nevoie de drepturi de administrator. Un cont de editor compromis face mult mai puține pagube decât unul de administrator.

Ce faci: dai fiecărei persoane doar rolul de care are nevoie. Iar oamenii sunt, de fapt, primul strat de securitate: un angajat care recunoaște un email de phishing face cât zece pluginuri. Vezi cum recunoști un email fals care țintește WordPress-ul tău.

P — Parole și autentificare în doi pași

Ce este: parole lungi și unice, plus un al doilea factor de verificare (un cod din aplicație, o cheie fizică, un email de confirmare).

De ce contează: parolele refolosite sunt furate din alte site-uri sparte și încercate automat peste tot. Autentificarea în doi pași oprește aproape toate aceste încercări, chiar dacă parola a fost furată.

Ce faci: folosești un manager de parole și activezi 2FA pentru toți administratorii. Nu doar în WordPress, ci și în contul de găzduire (cPanel), la registrarul domeniului și pe emailul folosit pentru resetări. Ghidul: Autentificarea în doi factori (2FA).

Q — Query-uri și baza de date

Ce este: baza de date MySQL sau MariaDB în care stă tot conținutul site-ului și utilizatorul cu care WordPress se conectează la ea. (tehnic)

De ce contează: atacurile de tip SQL injection încearcă să citească sau să modifice baza de date prin formulare sau parametri prost validați. Iar o bază de date cu acces prea larg amplifică pagubele.

Ce faci: utilizatorul bazei de date are drepturi doar pe baza site-ului respectiv, cu o parolă puternică. Baza de date nu e accesibilă din internet. Pentru instalările noi, poți folosi un prefix de tabele diferit de wp_, deși e o măsură minoră, nu o protecție reală.

R — Restaurare testată

Ce este: verificarea practică a faptului că poți readuce site-ul din backup.

De ce contează: e diferența dintre „avem backup” și „ne revenim în două ore”. Multe backup-uri se dovedesc incomplete exact în ziua în care e nevoie de ele.

Ce faci: o dată la câteva luni restaurezi un backup pe un mediu de test și verifici că totul funcționează: pagini, imagini, comenzi, formulare. Notezi cât a durat. Asta e informația de care ai nevoie în ziua unui incident.

S — Staging

Ce este: o copie a site-ului, separată de cel public, pe care testezi actualizările și modificările.

De ce contează: îți permite să actualizezi des fără teama că strici site-ul live. Teama de a strica site-ul e, de fapt, motivul principal pentru care oamenii amână actualizările.

Ce faci: multe firme de găzduire oferă staging cu un clic. Copia de test trebuie protejată cu parolă și ascunsă de Google, ca să nu apară în rezultate ca site duplicat.

T — Teme

Ce este: tema activă și temele instalate, dar nefolosite.

De ce contează: și temele au vulnerabilități, la fel ca pluginurile. Temele nefolosite rămân pe server și pot fi exploatate.

Ce faci: păstrezi tema activă și, eventual, o singură temă implicită WordPress, de rezervă. Restul le ștergi. Modificările de cod le faci într-o temă copil (child theme), ca să poți actualiza tema principală fără să le pierzi.

U — Uploads (dosarul de încărcări)

Ce este: dosarul wp-content/uploads, unde ajung imaginile și fișierele încărcate. (tehnic)

De ce contează: e un loc preferat de atacatori pentru a ascunde fișiere PHP malițioase, pentru că e un dosar în care se poate scrie.

Ce faci: blochezi rularea fișierelor PHP în acest dosar. Pe serverele Apache sau LiteSpeed, cu un fișier .htaccess pus în wp-content/uploads:

<FilesMatch "\.(php|phtml|php[0-9])$">
    Require all denied
</FilesMatch>

Pe serverele Nginx, regula echivalentă se pune în configurarea serverului.

V — Versiunea PHP

Ce este: versiunea limbajului de programare în care rulează WordPress pe server.

De ce contează: versiunile vechi de PHP nu mai primesc reparații de securitate. Un site pe PHP 7.4 sau 8.0 rulează pe o bază care nu mai e întreținută de nimeni.

Ce faci: verifici în panoul de găzduire sau în Unelte → Sănătate site. În 2026, recomandarea e PHP 8.3 sau mai nou. PHP 8.2 mai primește doar reparații de securitate până la finalul lui 2026. Testează schimbarea pe staging, pentru că pluginurile vechi pot avea probleme cu versiunile noi.

W — wp-config.php

Ce este: fișierul de configurare cu datele de acces la baza de date și cheile de securitate. (tehnic)

De ce contează: e cel mai sensibil fișier din site. Cine îl citește are acces la baza de date.

Ce faci: permisiuni restrictive pe fișier (de exemplu 400 sau 440, în funcție de server), acces blocat din browser și, în general, permisiuni corecte pe tot site-ul: 644 pentru fișiere și 755 pentru dosare. Nu lăsa niciodată copii de tipul wp-config.php.bak sau wp-config.old pe server. Pot fi descărcate ca text simplu.

X — XML-RPC

Ce este: o interfață veche (xmlrpc.php), prin care aplicații externe pot comunica cu WordPress. (tehnic)

De ce contează: e folosită frecvent pentru atacuri de ghicire a parolelor, pentru că permite mai multe încercări într-o singură cerere.

Ce faci: dacă nu o folosești, o blochezi la nivel de server sau dintr-un plugin de securitate. Atenție: unele servicii o folosesc. De exemplu, Jetpack are nevoie de ea, iar unele aplicații mobile de publicare la fel. În cazul ăsta, o lași deschisă doar pentru serviciile respective.

Y — „Yoast și ceilalți”: pluginurile populare

Ce este: pluginurile instalate pe milioane de site-uri (SEO, formulare, constructoare de pagini, magazine).

De ce contează: sunt, de obicei, bine întreținute. Dar tocmai pentru că sunt peste tot, o singură vulnerabilitate într-un plugin popular devine ținta atacurilor automate în masă, în câteva ore de la publicare.

Ce faci: „popular” nu înseamnă „nu trebuie urmărit”. La pluginurile instalate pe foarte multe site-uri, actualizările de securitate trebuie aplicate cât mai repede. Un exemplu recent de vulnerabilitate gravă, chiar în nucleul WordPress: wp2shell.

Z — Ziua zero: planul pentru incident

Ce este: un plan scris pentru ziua în care, în ciuda tuturor măsurilor, ceva se întâmplă. „Zero-day” e numele vulnerabilităților exploatate înainte să existe o reparație.

De ce contează: în primele ore după un incident, panica produce cele mai multe greșeli: backup-uri suprascrise, dovezi șterse, parole schimbate în ordinea greșită.

Ce faci: scrii, pe o pagină, cine trebuie sunat, ce se oprește primul, unde e backup-ul, cum se schimbă toate parolele (WordPress, găzduire, baza de date, FTP, email) și cheile de securitate, și cum anunți clienții, dacă e cazul. Despre cel mai grav scenariu, criptarea site-ului, am scris în Ransomware: riscul real pentru un site WordPress.

Bonus: ce NU e pe listă, deși apare des

Ascunderea versiunii WordPress. Ajută foarte puțin. Atacurile automate nu verifică versiunea, încearcă direct vulnerabilitatea. Mai important e să ai o versiune la zi decât să o ascunzi.

Schimbarea adresei de login ca unică protecție. Reduce zgomotul roboților, dar nu înlocuiește 2FA și limitarea încercărilor.

Zece pluginuri de securitate în paralel. Se încurcă între ele, încetinesc site-ul și dau o falsă senzație de siguranță. Unul bun, configurat corect, plus măsurile de la nivel de server, e mult mai eficient.

Lista de verificare rapidă

Dacă vrei să știi unde te afli, bifează:

• WordPress, tema și pluginurile sunt la zi
• Backup extern, automat, restaurat cu succes în ultimele 3 luni
• Doar conturile de administrator necesare, fără „admin”
• 2FA activ pentru toți administratorii, în WordPress și în găzduire
• Editorul de fișiere dezactivat
• SPF, DKIM și DMARC configurate pentru domeniu
• Firewall activ
• Headere de securitate configurate
• Niciun plugin sau temă nefolosită, nicio componentă piratată
• Monitorizare de disponibilitate și jurnal de activitate
• PHP 8.3 sau mai nou
• PHP blocat în dosarul de încărcări
• Login protejat și XML-RPC blocat (dacă nu e folosit)
• Plan scris pentru incidente

Dacă ai bifat tot, ești în fața marii majorități a site-urilor de pe internet. Dacă ai mai puțin de jumătate, începe cu A, B, C și P: actualizări, backup, conturi și 2FA. Acestea patru opresc, singure, majoritatea atacurilor reale.

Întrebări frecvente

Trebuie să le fac pe toate deodată?
Nu. Începe cu cele patru de bază (actualizări, backup, conturi, 2FA), apoi adaugă câte una pe săptămână. În două luni ai acoperit tot abecedarul.

Un plugin de securitate rezolvă tot?
Nu. Un plugin bun acoperă câteva litere (firewall, login, scanare, jurnal), dar nu face backup extern testat, nu configurează emailul domeniului, nu actualizează PHP și nu scrie planul de incident. Securitatea e un proces, nu un plugin.

Partea tehnică o pot face singur?
Literele marcate „tehnic” presupun acces la fișierele site-ului sau la server. O greșeală în wp-config.php sau în .htaccess poate opri site-ul. Dacă nu te simți confortabil, e partea pe care e bine s-o faci cu cineva care se ocupă de asta zilnic.

Cât de des verific lista?
Actualizările, săptămânal. Conturile și pluginurile, trimestrial. Restaurarea backup-ului, o dată la câteva luni. Restul, o dată pe an sau după orice schimbare mare.

Concluzia, pe scurt

Securitatea WordPress nu e un singur lucru pe care îl faci și ai terminat. E un abecedar de obiceiuri: unele se fac o singură dată (editorul dezactivat, headerele, PHP blocat în uploads), altele se repetă mereu (actualizări, backup, verificarea conturilor). Niciuna nu e complicată în sine. Greu e doar să le ții pe toate în minte, an după an.

Dacă vrei să știi câte litere din abecedar are deja bifate site-ul tău, pornește de la un audit gratuit WebFixer.