Ocena ryzyka IT dla WordPressa: prosta metoda
Prosta ocena ryzyka IT dla witryn WordPress: aktywa, zagrożenia, skala 1–3, środki i osoby odpowiedzialne oraz przykładowy rejestr ryzyka krok po kroku.
Redakcja secaudit.eu
Redakcja secaudit.eu przygotowuje i sprawdza poradniki o bezpieczeństwie WordPressa i zgodności z przepisami UE. Wydawcą secaudit.eu jest AngelForce OÜ — firma programistyczna z Tallinna (Estonia).
Artykuły: Redakcja secaudit.eu
WordPress HTTPS: mixed content i przekierowania
WordPress HTTPS bez błędów: darmowy certyfikat, bezpieczna zamiana adresów w WP-CLI, jedno przekierowanie 301, pętle za proxy, mixed content i kontrola ważności.
WordPress znowu zainfekowany? Znajdź backdoor
WordPress znowu zainfekowany po czyszczeniu? Sprawdź, gdzie ukrywają się backdoory: auto_prepend_file, mu-plugins, fałszywe wtyczki, cron, sąsiednie strony.
Enumeracja użytkowników WordPress: REST API i URL autorów
Enumeracja użytkowników WordPress: jak sprawdzić, które loginy ujawniają REST API, adresy autorów, mapa witryny i błędy logowania, oraz jak bezpiecznie to zamknąć.
Uprawnienia plików WordPress: 644, 755 i właściciel
Uprawnienia plików WordPress wyjaśnione: co znaczą 755 i 644, kto powinien być właścicielem, jak bezpiecznie je zresetować i czemu 777 nie naprawia uploadu.
Umowa powierzenia danych dla agencji WWW (art. 28 RODO)
Kiedy agencja WWW potrzebuje umowy powierzenia przetwarzania danych (art. 28 RODO), co zawrzeć w załączniku o bezpieczeństwie, jak ująć podprocesorów i incydenty.
Przekierowania spamowe w WordPress: jak je znaleźć i usunąć
Przekierowania spamowe w WordPress: odtwórz warunkowe przekierowanie w curl i DevTools, znajdź je w .htaccess, PHP, bazie danych lub CDN i nie dopuść do ich powrotu.
Zabezpieczenie wp-config.php: 10 ustawień do sprawdzenia
Zabezpieczenie wp-config.php w 10 kontrolach: unikalne klucze i sole, debugowanie na produkcji, FORCE_SSL_ADMIN, uprawnienia plików, zbędne kopie i bezpieczna edycja.
Pieczęć bezpieczeństwa strony WWW: co naprawdę dowodzi
Co potrafi udowodnić pieczęć bezpieczeństwa strony, a czego nie: rodzaje pieczęci, cztery cechy rzetelnej pieczęci i sprawdzenie jej w minutę.
Role użytkowników WordPress: porządki w kontach admina
Bezpieczeństwo ról użytkowników WordPress: znajdź wszystkich adminów, usuń konta byłych pracowników i agencji, unieważnij hasła aplikacji i rób kwartalny przegląd.
Kopie zapasowe WordPressa, które da się przywrócić
Kopie zapasowe WordPressa pod kątem przywracania: pliki i baza danych, zasada 3-2-1 z niezmienną kopią zdalną, szyfrowanie, testy odtwarzania i art. 32 RODO.
Nagłówki bezpieczeństwa WordPress: CSP, HSTS i inne
Nagłówki bezpieczeństwa WordPress: bezpieczne wartości startowe HSTS, CSP, Referrer-Policy i Permissions-Policy, miejsce konfiguracji i unikanie awarii strony.
Ochrona WordPress przed brute force: co potrafi wtyczka
Ochrona WordPressa przed atakami brute force warstwa po warstwie: limity logowania, XML-RPC multicall, enumeracja użytkowników w REST i granice wtyczek wobec DDoS.
PHP2Shell: co muszą teraz zrobić właściciele stron WordPress
PHP2Shell (CVE-2026-109618, CVE-2026-109619) pozwala wykonać kod na niezałatanym PHP. Jak sprawdzić wersję, zaktualizować, zrestartować i wykryć atak.
DISALLOW_FILE_EDIT: wyłączenie edytora plików WordPress
Jak dodać DISALLOW_FILE_EDIT do wp-config.php, przed czym ta stała nie chroni i kiedy warto użyć DISALLOW_FILE_MODS bez psucia aktualizacji WordPressa.
Weryfikacja sum kontrolnych WordPressa: zmodyfikowane pliki
Jak sprawdzić sumy kontrolne WordPressa przez WP-CLI lub API WordPress.org, odczytać ostrzeżenia o plikach zmodyfikowanych i dodatkowych oraz przeinstalować rdzeń.
Web shell w WordPressie w uploads: wykrywanie i blokada
Jak znaleźć web shell w wp-content/uploads w WordPressie: bezpieczne polecenia, blokada PHP w Apache i nginx, uprawnienia plików i zamknięcie luki.
Spam SEO w WordPressie: ukryte linki do kasyn i leków
Spam SEO w WordPressie: znajdź ukryte linki do kasyn i leków, sprawdź, co widzi Googlebot, wyczyść bazę i pliki oraz poproś Google o weryfikację.
Raport z audytu bezpieczeństwa WordPress: dowody do zachowania
Jak przygotować raport z audytu bezpieczeństwa WordPress: sześć rejestrów do prowadzenia, dobre dowody, pytania dostawców i ubezpieczyciela oraz szablon.
Zhakowany WordPress? 12 oznak włamania na stronę
Zhakowany WordPress? 12 oznak włamania, od nieznanych kont administratora po ukryte przekierowania: jak sprawdzić każdą z nich i co zrobić w pierwszej godzinie.
Zhakowany WordPress? Zgłoszenie naruszenia RODO w 72 godziny
Zhakowana strona na WordPressie? Kiedy włamanie jest naruszeniem RODO, od kiedy biegnie termin 72 godzin, co zgłosić, co udokumentować i kogo zawiadomić.
Uwierzytelnianie dwuskładnikowe dla administratorów WordPressa
Jak wdrożyć uwierzytelnianie dwuskładnikowe w WordPressie: aplikacje TOTP, klucze dostępu, kody zapasowe, słabości SMS, kto potrzebuje 2FA, wdrożenie i NIS2.
Usuwanie malware z WordPressa: plan krok po kroku
Usuwanie malware z WordPressa w ośmiu krokach: izolacja strony, zabezpieczenie dowodów, szukanie drogi włamania, czyszczenie z zaufanych źródeł, nowe hasła i ochrona.
Art. 32 RODO a WordPress: co znaczy „odpowiednie bezpieczeństwo”
Art. 32 RODO w praktyce WordPressa: szyfrowanie, aktualizacje, kontrola dostępu, przetestowane kopie zapasowe, regularne skany, dokumentacja i umowy powierzenia.
Podatne wtyczki WordPress: audyt, aktualizacja, wymiana
Jak postępować z podatnościami we wtyczkach WordPress: prowadzić spis, szybko aktualizować, usuwać nieużywane i porzucone wtyczki i wiedzieć, co robić bez poprawki.
OWASP Top 10:2025 w WordPressie: co oznacza każde ryzyko
OWASP Top 10:2025 w realiach WordPressa: jak każde ryzyko wygląda we wtyczkach, motywach i ustawieniach oraz co mogą sprawdzić właściciele stron i programiści.
NIS2 a strona na WordPressie: czy dyrektywa Państwa obejmuje?
Dyrektywa NIS2 a WordPress: jak sprawdzić, czy firma, agencja lub hosting podlega przepisom, czego oczekiwać jako dostawca i które środki z art. 21 dotyczą strony.
Google Fonts a RODO: lokalne czcionki w WordPressie
Google Fonts a RODO: co orzekł sąd w Monachium, dlaczego Data Privacy Framework nie zamyka sprawy i jak znaleźć oraz hostować czcionki lokalnie w WordPressie.
Cyber Resilience Act: obowiązki sprzedawców wtyczek WordPress
Cyber Resilience Act dla sprzedawców wtyczek i motywów WordPress: obowiązek zgłaszania od 11 września 2026 r., wymogi od grudnia 2027 r. i lista zadań na teraz.
Bezpieczeństwo WordPressa: lista kontrolna dla firm w UE (2026)
Praktyczna lista kontrolna bezpieczeństwa WordPressa dla firm w UE: 25 kroków – hosting, aktualizacje, 2FA, monitoring, kopie zapasowe i dokumentacja pod RODO i NIS2.