Większość włamań na strony WordPress nie wynika z braku wtyczki bezpieczeństwa, tylko z nieaktualnych wtyczek ze znanymi lukami, słabych haseł i zapomnianych kont. Wtyczka bezpieczeństwa to jedna warstwa ochrony. Dobrze dobrana pomaga, źle dobrana potrafi spowolnić stronę albo zablokować właściciela.
Jak zbudować rozsądny zestaw
- Ochrona logowania – limit prób, logowanie dwuskładnikowe dla administratorów, weryfikacja botów.
- Zapora i skaner – jeśli nie zapewnia ich hosting lub Cloudflare.
- Dziennik zmian – żeby po incydencie wiedzieć, co się stało.
- Ochrona formularzy przed spamem i botami.
Nasze typy
Gdy serwer nie ma własnej zapory, sprawdzonym wyborem jest Wordfence. Jeśli potrzebujesz tylko ochrony logowania, lekka Limit Login Attempts Reloaded wystarczy. Formularze i logowanie przed botami chronimy niewidoczną weryfikacją Cloudflare Turnstile. Do czytelnego dziennika zmian polecamy Simple History. Spam w komentarzach zatrzyma lokalny filtr Antispam Bee.
Na co uważać
Nie instaluj dwóch wtyczek bezpieczeństwa z zaporą jednocześnie – blokują się nawzajem i trudno potem znaleźć przyczynę problemu. Agresywne reguły zapory i zmiany w pliku .htaccess wprowadzaj pojedynczo, z kopią pliku. Pamiętaj też, że część popularnych wtyczek w tej kategorii sama bywa celem ataków, więc aktualizacje muszą być robione od razu.
W katalogu znajdziesz również wtyczki, których lepiej nie mieć na stronie, np. porzuconą starą wersję Limit Login Attempts. Ramka na każdej karcie pokazuje aktualny stan wtyczki i znane luki.
Plan na wypadek włamania
Zanim cokolwiek się stanie, zapisz w jednym miejscu: gdzie są kopie zapasowe i jak je przywrócić, kto ma dostęp do hostingu i domeny, jak zmienić hasła administratorów i klucze bezpieczeństwa WordPressa. Po włamaniu liczy się czas, a szukanie danych dostępowych w mailach sprzed lat go zabiera. Wtyczka bezpieczeństwa może pomóc wykryć problem, ale samo czyszczenie strony wymaga przejrzenia plików, bazy danych, kont i zaplanowanych zadań. Jeśli to Cię przerasta, zgłoś się do kogoś, kto robi to regularnie, zamiast działać metodą prób i błędów.
Raz w miesiącu zajrzyj do listy wtyczek i ramek stanu w naszym katalogu. Wtyczka oznaczona jako „Uwaga” to sygnał, by zaplanować jej zamianę, zanim ktoś wykorzysta lukę.
Częste błędy
- Wspólne konto „admin” dla kilku osób zamiast osobnych kont z rolami.
- Wyłączone aktualizacje, „bo coś może się zepsuć”.
- Kopie zapasowe tylko na tym samym serwerze.
- Brak reakcji na powiadomienia o lukach.
Lista poniżej obejmuje wszystkie wtyczki bezpieczeństwa z katalogu, także te, które warto zastąpić innymi.
Wszystkie wtyczki w tej kategorii
Wordfence SecurityZapora, skaner złośliwego kodu i dwustopniowe logowanie. Najpopularniejsza wtyczka bezpieczeństwa WordPressa.W porządku 5 mln+ instalacji- Akismet Anti-spamFiltr spamu w komentarzach i formularzach. Sprawdza wpisy w chmurowej bazie spamu Automattic.W porządku 5 mln+ instalacji
- JetpackZestaw usług Automattic w jednej wtyczce: statystyki, bezpieczeństwo, kopie, CDN obrazów, formularze i połączenie z agentami AI.W porządku 3 mln+ instalacji
- Really Simple Security (dawniej Really Simple SSL)Włącza HTTPS z przekierowaniem 301, dodaje utwardzenie WordPressa, ochronę logowania i wykrywanie luk we wtyczkach.W porządku 3 mln+ instalacji
- WPS Hide LoginZmienia adres logowania z wp-login.php na własny. Lekka wtyczka, która ogranicza automatyczne próby logowania.W porządku 2 mln+ instalacji
- Limit Login Attempts ReloadedBlokuje zgadywanie haseł: po kilku nieudanych logowaniach adres IP dostaje czasową blokadę. Ma też logowanie dwuskładnikowe.W porządku 1 mln+ instalacji
- LoginizerOchrona logowania przed zgadywaniem haseł: limit prób, blokady IP, listy dozwolonych adresów. Część funkcji w wersji Pro.W porządku 1 mln+ instalacji
- Security Optimizer (SiteGround)Pakiet zabezpieczeń od SiteGround: ochrona logowania, 2FA, utwardzenie WordPressa, dziennik aktywności.W porządku 1 mln+ instalacji
- All-In-One Security (AIOS)Rozbudowany pakiet bezpieczeństwa: ochrona logowania, 2FA, zapora, wykrywanie zmian w plikach, utwardzenie WordPressa.W porządku 1 mln+ instalacji
- Antispam BeeLokalny filtr spamu w komentarzach i trackbackach, bez CAPTCHA i bez wysyłania danych do usług zewnętrznych.W porządku 700 tys.+ instalacji
- Kadence Security (dawniej iThemes / Solid Security)Pakiet bezpieczeństwa: ochrona przed zgadywaniem haseł, logowanie dwuskładnikowe, wymagania haseł i powiadomienia o zmianach.W porządku 700 tys.+ instalacji
- User Role EditorEdycja ról i uprawnień użytkowników WordPressa: dodawanie, kopiowanie i ograniczanie ról polami wyboru.W porządku 700 tys.+ instalacji
- Sucuri SecurityDarmowy audyt i skaner od Sucuri: dziennik zdarzeń, sprawdzanie plików rdzenia, zdalny skaner złośliwego kodu i utwardzenie.W porządku 600 tys.+ instalacji
- WP Armour – Honeypot Anti SpamBlokuje spam w formularzach i komentarzach ukrytym polem-pułapką, bez CAPTCHA i bez zewnętrznych usług.W porządku 400 tys.+ instalacji
- Limit Login Attempts (stara wersja)Stara wtyczka do blokowania zgadywania haseł. Zamknięta w katalogu WordPress.org, ze zgłoszoną luką bez poprawki.Uwaga 300 tys.+ instalacji
- CF7 Apps (Honeypot dla Contact Form 7)Dodatki do Contact Form 7: pole-pułapka na spam, hCaptcha, zapis zgłoszeń, przekierowania, webhooki i płatności.W porządku 300 tys.+ instalacji
- WP Activity LogSzczegółowy dziennik zmian na stronie: kto, kiedy i co zmienił, logowania, wtyczki, ustawienia, zamówienia.W porządku 300 tys.+ instalacji
- Simple HistoryCzytelny dziennik zmian na stronie: kto edytował treści, logował się, aktualizował wtyczki czy zmieniał ustawienia.W porządku 300 tys.+ instalacji
- MembersZarządzanie rolami i uprawnieniami oraz ograniczanie dostępu do treści dla wybranych ról.W porządku 300 tys.+ instalacji
- Really Simple CAPTCHAProsty generator obrazkowej CAPTCHA dla Contact Form 7. Sam autor zaznacza, że nie jest mocnym zabezpieczeniem.W porządku 300 tys.+ instalacji
- Password ProtectedZabezpiecza całą stronę jednym hasłem. Przydatne przy budowie strony lub stronie dla wąskiej grupy osób.W porządku 300 tys.+ instalacji
- Advanced Google reCAPTCHADodaje reCAPTCHA lub inną weryfikację do logowania, rejestracji, komentarzy i formularzy WooCommerce.W porządku 200 tys.+ instalacji
- Activity LogDziennik działań w panelu: logowania, zmiany treści, wtyczek i ustawień, a także operacje przez REST API i agentów AI.W porządku 200 tys.+ instalacji
- Cloudflare (oficjalna wtyczka)Łączy WordPress z Cloudflare: czyszczenie cache po zmianach, zalecane ustawienia i Automatic Platform Optimization (APO).W porządku 200 tys.+ instalacji
- ReCaptcha v2 for Contact Form 7Przywraca obsługę reCAPTCHA v2 (pole „Nie jestem robotem”) w Contact Form 7.W porządku 200 tys.+ instalacji
- Simple CAPTCHA with Cloudflare TurnstileDodaje niewidoczną weryfikację Cloudflare Turnstile do logowania, rejestracji, komentarzy i wielu wtyczek formularzy. Darmowa.W porządku 200 tys.+ instalacji
- CleanTalk Anti-SpamOchrona przed spamem w chmurze: formularze, komentarze, rejestracje, z zaporą blokującą boty. Usługa płatna po okresie próbnym.W porządku 200 tys.+ instalacji
- Disable XML-RPCWyłącza interfejs XML-RPC WordPressa jednym filtrem. Bez ustawień – działa po włączeniu.W porządku 200 tys.+ instalacji
Nic nie znaleźliśmy. Spróbuj innego słowa.