Jak sprawdzić w 10 minut, czy firmowa strona jest bezpieczna?
W artykule znajdziesz:
Poniedziałek. Dzwoni klientka. Weszła na Twoją stronę z telefonu, żeby sprawdzić cenę nowej usługi, i wylądowała na stronie z „wygraną” w loterii. Podchodzisz do komputera i sprawdzasz witrynę. Wszystko wygląda normalnie, więc przez chwilę myślisz, że za przekierowanie odpowiada złośliwe oprogramowanie na jej telefonie.
To częsty scenariusz po przejęciu strony. Złośliwy kod przekierowuje tylko część odwiedzających, na przykład tych, którzy wchodzą z telefonu albo z wyników Google. Właściciel zagląda na stronę z laptopa w biurze i niczego nie widzi. Dowiaduje się ostatni.
Poniżej znajdziesz test, który zrobisz sam w 10 minut. Nie zastąpi audytu, ale pomoże ocenić, czy możesz mieć spokojną głowę, czy masz pilną sprawę do załatwienia jeszcze dziś.
Dlaczego firmowa strona jest celem, nawet jeśli nic nie sprzedaje?
CERT Polska opublikował w kwietniu 2026 roku raport za 2025 rok. Zespół otrzymał 658 320 zgłoszeń i zarejestrował 260 783 incydenty, o 152% więcej niż rok wcześniej. To ponad 700 incydentów dziennie.
Ten wzrost ma też drugie dno. Kierownik CERT Polska Marcin Dudek mówił o tym wprost: „Obsługujemy więcej incydentów, ponieważ sami dużo lepiej wykrywamy takie zdarzenia”. Czyli nie jest tak, że internet zrobił się nagle dwa razy groźniejszy. Raczej lepiej widać to, co działo się od dawna.
Dla właściciela strony wniosek jest prosty. Aż 97% incydentów obsłużonych przez CERT Polska stanowiły oszustwa komputerowe, m.in. phishing i fałszywe sklepy. Oszuści potrzebują do takich działań miejsca w sieci, a przejęta, zaniedbana strona na WordPressie daje im cudze zasoby i domenę, która może już mieć dobrą reputację. Twoja witryna nie musi mieć sklepu, żeby komuś się przydać.
Phishing to oszustwo polegające na podszywaniu się pod zaufaną firmę lub usługę, np. bank, sklep czy portal społecznościowy. Fałszywa wiadomość albo witryna ma nakłonić użytkownika do podania loginu, hasła, danych karty lub kodu autoryzacyjnego. Oszuści często kopiują wygląd prawdziwych serwisów i używają podobnych adresów internetowych.
Większość włamań na strony nie zaczyna się od hakera, który uwziął się akurat na Twoją firmę. Zaczyna się od automatycznego programu, który odwiedza tysiące stron i sprawdza jedną rzecz: czy działa na nich konkretny dodatek w starej, dziurawej wersji. Działa jak ktoś, kto chodzi po osiedlu i w każdej klatce próbuje ten sam kod do domofonu. Gdzie zadziała, tam wchodzi.
Takie dodatki do WordPressa nazywają się wtyczkami. Dzięki nim strona ma formularz, galerię czy mechanizm tworzenia kopii zapasowych. Oto dwa przykłady luk z 2026 roku:
- WPvivid Backup & Migration – wtyczka do tworzenia kopii zapasowych, mająca wówczas ponad 800 tys. pobrań. Błąd w wersjach do 0.9.123 pozwalał włamywaczowi przesłać na serwer własny plik i potencjalnie przejąć stronę. Atak wymagał jednak włączenia funkcji odbierania kopii z innej witryny, która domyślnie była wyłączona. Ironia: wtyczka, która miała ratować stronę po awarii, sama otwierała drzwi. Błąd naprawiono w wersji 0.9.124.
- Kirki – wtyczka do budowania i zmiany wyglądu strony, mająca ponad 500 tys. pobrań. W wersjach od 6.0.0 do 6.0.6 wystarczyło znać login administratora i wysłać odpowiednio przygotowane żądanie do funkcji resetowania hasła tej wtyczki. Link do ustawienia nowego hasła trafiał wtedy na adres e-mail wskazany przez włamywacza, zamiast do właściciela konta. Według szacunków około 150 tys. stron mogło być narażonych. Błąd naprawiono w wersji 6.0.7.
W obu przypadkach wydano poprawki. Strony nadal były jednak narażone, jeśli właściciele ich nie instalowali. Wtyczka, której ufasz, też może stać się furtką. I dlatego regularne aktualizacje oraz audyty bezpieczeństwa mają sens.
Kopia zapasowa to zapis stanu strony z konkretnego momentu. Powinna obejmować zarówno pliki (np. zdjęcia i motywy), jak i bazę danych (np. treści i ustawienia). Działa jak zapis w grze. Gdy coś pójdzie źle, możesz wrócić do wcześniejszej wersji, o ile kopia jest kompletna i da się ją przywrócić.
Przydaje się po włamaniu, nieudanej aktualizacji albo przypadkowym usunięciu ważnej podstrony. Bez kopii odtwarzanie strony potrafi oznaczać składanie jej na nowo, kawałek po kawałku. Z działającą kopią możesz przywrócić wcześniejszy stan.
Minuty 0-3: sprawdź stronę z zewnątrz
Zacznij od tego, co może zobaczyć każdy odwiedzający, bez logowania.
Połączenie HTTPS i certyfikat
W pasku adresu przeglądarki wpisz adres swojej strony, zaczynając od http://. Strona powinna automatycznie przekierować Cię na adres zaczynający się od https://. Kliknij ikonę informacji o witrynie po lewej stronie adresu (jej wygląd zależy od przeglądarki) i sprawdź szczegóły połączenia oraz ważność certyfikatu. Nieaktywny certyfikat to sygnał, że ktoś zaniedbał podstawową obsługę strony.
Wejdź na stronę z telefonu
Na telefonie otwórz tryb incognito w przeglądarce, wyszukaj swoją firmę w Google i przejdź na stronę z wyników wyszukiwania. Zobacz, czy nie pojawia się nieoczekiwane przekierowanie, podobne do tego z początku artykułu. Dla porównania wejdź też bezpośrednio, wpisując adres strony.
Reputacja domeny
Otwórz Raport przejrzystości Google, wybierz sprawdzanie stanu witryny w usłudze Bezpieczne przeglądanie (Safe Browsing) i wklej adres swojej strony. Jeśli Google oznaczył ją jako niebezpieczną, przeglądarka może wyświetlać ostrzeżenia, a ruch z wyszukiwarki potrafi spaść z dnia na dzień.
Poczta w domenie
Wejdź na https://bezpiecznapoczta.cert.pl/ i wybierz sprawdzanie domeny. Wpisz adres swojej domeny, np. twojafirma.pl, bez https:// i bez ukośników. To darmowe narzędzie CERT Polska sprawdzi konfigurację SPF i DMARC, które utrudniają oszustom podszywanie się pod Twój adres e-mail. Żeby sprawdzić również DKIM, wyślij wiadomość testową na adres podany przez narzędzie. Bez odpowiednich zabezpieczeń oszustowi łatwiej rozesłać klientom fałszywą fakturę z podmienionym numerem konta i Twoim adresem jako nadawcą.
Lista użytkowników widoczna z zewnątrz
Na końcu adresu strony dopisz /wp-json/wp/v2/users (np. https://twojafirma.pl/wp-json/wp/v2/users) i naciśnij Enter. Jeśli pojawi się lista nazw użytkowników, sprawdź, czy nie pokrywają się z loginami administratorów. WordPress może udostępniać w ten sposób publiczne nazwy autorów, sama lista nie oznacza włamania.
Ujawnienie loginu ułatwia jednak atak, a przy luce podobnej do tej w Kirki jego znajomość mogła wystarczyć do przejęcia konta. Jeśli taki dostęp nie jest potrzebny, można go ograniczyć po sprawdzeniu, czy korzystają z niego funkcje strony lub wtyczki.
Minuty 3-8: zajrzyj do kokpitu WordPressa
Zaloguj się do panelu administracyjnego WordPressa. Tu spędzisz najwięcej czasu, bo właśnie tutaj często widać zaniedbania.
Narzędzia → Stan witryny
W menu po lewej stronie kliknij „Narzędzia”, a następnie „Stan witryny”. WordPress pokazuje krytyczne problemy i zalecane ulepszenia. Jeśli widzisz komunikat „Wymaga poprawy”, przeczytaj najpierw pozycje oznaczone jako krytyczne. W zakładce „Informacje” sprawdzisz też wersję PHP, czyli języka, w którym działa WordPress. Przestarzałe PHP bywa powodem, dla którego ktoś „boi się” aktualizować wtyczki.
Użytkownicy
W menu „Użytkownicy” otwórz listę kont i sprawdź ich role. Pytania kontrolne:
- Czy każde konto należy do osoby, która nadal z Tobą pracuje?
- Ile kont ma rolę „Administrator”? Zwykle wystarczą jedno lub dwa. Osobie, która pisze wpisy, najczęściej wystarczy rola „Autor” albo „Redaktor”.
- Czy jest konto o nazwie „admin”? To jeden z pierwszych loginów sprawdzanych przez automatyczne programy.
Konto freelancera, który robił stronę w 2021 roku, z pełnymi uprawnieniami i hasłem ustawionym „na chwilę”, to klasyk.
Wtyczki
W menu „Wtyczki” policz, ile dodatków masz zainstalowanych i ile czeka na aktualizację. Potem przy każdej nieaktywnej wtyczce zadaj sobie pytanie: po co tu jest? Wyłączony dodatek nadal ma pliki na serwerze i może zawierać podatny kod. Najczęściej znajdziesz tam coś w rodzaju wtyczki do świątecznego pop-upu z promocją z 2019 roku. Promocja skończyła się prawie siedem lat temu, wtyczka została i nikt jej od tamtej pory nie aktualizował.
Motywy
Otwórz w menu „Wygląd” sekcję „Motywy”. Zostaw motyw, którego używasz, i jeden domyślny motyw WordPressa jako zapasowy. Resztę, jeśli nie są potrzebne, usuń.
Dwuetapowe logowanie (2FA)
WordPress nie ma go standardowo wbudowanego, zwykle dodaje się je za pomocą wtyczki. Jeśli do panelu logujesz się samym hasłem, włączenie 2FA może wiele zmienić: nawet wykradzione hasło nie powinno już wystarczyć do zalogowania się.
Na koniec dwa szybkie sprawdzenia w przeglądarce, poza kokpitem WordPressa:
Konsola przeglądarki
Na komputerze otwórz stronę główną w Chrome, naciśnij klawisz F12 na klawiaturze (na niektórych laptopach Fn + F12) i wybierz zakładkę „Console” („Konsola”). Czerwone komunikaty sygnalizują błędy, np. JavaScriptu lub ładowania zasobów. Nie każdy błąd oznacza atak. Jeśli widzisz skrypt pobierany z nieznanej domeny, zapisz jej adres i sprawdź, do czego służy. Samo pochodzenie skryptu z zewnętrznej domeny nie dowodzi włamania.
Szybkość
Wejdź na pagespeed.web.dev, wklej adres swojej strony i uruchom analizę w PageSpeed Insights. Jeśli masz wcześniejsze wyniki, porównaj je z nowym pomiarem. Wyraźne, powtarzające się pogorszenie bez zmian po Twojej stronie może być sygnałem przeciążenia lub dodatkowego skryptu. Jeden słaby wynik jeszcze o niczym nie przesądza.
Minuty 8-10: kopia zapasowa i plan na gorszy dzień
Dwie minuty na trzy pytania. Odpowiedz na nie z głowy, bez zaglądania do panelu czy szukania dokumentacji.
- Gdzie znajduje się ostatnia kopia zapasowa i z którego jest dnia?
Kopia trzymana wyłącznie na tym samym serwerze co strona może zniknąć razem z nią. - Czy ktoś kiedykolwiek przywracał stronę z tej kopii?
Możesz mieć kopię zapasową, ale dopóki nie sprawdzisz, czy da się z niej przywrócić stronę, nie wiesz, czy faktycznie pomoże Ci w razie awarii. - Do kogo dzwonisz, gdy strona przestaje działać w piątek o 17:00?
Jeśli odpowiedź brzmi „do firmy, która ją robiła, ale nie wiem, czy jeszcze istnieje”, masz odpowiedź.
Jeśli Twoja strona ma repozytorium Git, czyli miejsce, w którym zapisuje się historię zmian w kodzie, po ataku łatwiej porównać śledzone pliki ze znaną, czystą wersją i zobaczyć, co ktoś dopisał. Git nie pokaże jednak wszystkiego, np. zmian w bazie danych czy plików, których repozytorium nie obejmuje. Bez takiej historii porównywanie kodu jest trudniejsze i często wymaga sprawdzania plików po kolei.
Czego nie sprawdzisz w 10 minut?
Te 10 minut pomaga zauważyć objawy. Nie pokazuje wszystkich przyczyn ani tego, co dzieje się po cichu. Kilku rzeczy nie sprawdzisz z poziomu samego kokpitu:
- Złośliwy kod ukryty w plikach lub bazie danych. Może być doklejony do pliku motywu albo zapisany w bazie. Do wykrycia potrzebna jest analiza plików i danych strony, często wsparta skanerem.
- Błędy PHP widoczne tylko w logach serwera. Strona może działać, choć w tle pojawiają się błędy. Nie każdy jest luką, ale niektóre wskazują na usterki lub błędną konfigurację.
- Bezpieczeństwo samych wtyczek. Aktualna wersja nie zawsze oznacza brak podatności. Trzeba sprawdzić, czy dla danego dodatku zgłoszono znane luki i czy autor nadal go rozwija.
- Dostęp do bazy danych. Hasło do niej bywa niezmieniane od dnia instalacji i znane osobom, które od dawna nie powinny mieć dostępu do serwera.
Do tego dochodzi regularność. Jednorazowa kontrola starzeje się z każdą kolejną luką, a o nowych podatnościach serwisy takie jak Sekurak piszą regularnie. Dlatego w Solveit na start robimy audyt bezpieczeństwa: sprawdzamy konta i role, błędy PHP i JavaScriptu, stan witryny, motywy, wtyczki, wydajność oraz reputację domeny i poczty.
Profilaktycznie zmieniamy hasło do bazy danych, konfigurujemy 2FA, ograniczamy dostęp do niepotrzebnych punktów API (czyli adresów, przez które programy komunikują się ze stroną) i zakładamy albo porządkujemy repozytorium Git. Na koniec prowadzimy godzinny warsztat online o bezpieczeństwie strony i poczty dla Twojego zespołu.
Potem pilnujemy aktualizacji i regularnie skanujemy stronę w poszukiwaniu złośliwego kodu. Jeśli mimo to dojdzie do ataku, usuwamy szkodliwy kod, ustalamy, którędy ktoś wszedł, przywracamy stronę do stanu sprzed ataku i w razie potrzeby dokładamy zabezpieczenia.
Nie wiesz, co oznacza wynik Twojego testu?
Nie masz pewności, które problemy wymagają szybkiej reakcji, a które mogą poczekać? Nie musisz samodzielnie analizować wszystkich komunikatów i zastanawiać się, od czego zacząć.
Napisz do nas przez formularz. W ramach audytu sprawdzimy zabezpieczenia Twojej strony, wskażemy wykryte problemy i wyjaśnimy, co warto naprawić w pierwszej kolejności.
Wiadomość wysłana
Świetnie, że do nas piszesz. Mamy Twoją wiadomość, teraz nasza kolej: przeanalizujemy ją i wrócimy z konkretami. W międzyczasie możesz nas lepiej poznać w social mediach.
Czy 10 minut wystarczy? Wystarczy, żeby wychwycić niektóre poważne zaniedbania: zbędne konta administratorów, porzucone wtyczki czy brak 2FA. Nie wystarczy, żeby stwierdzić, że strona jest czysta. Traktuj ten test jak przegląd auta przed długą trasą: sprawdzisz opony i płyny sam, ale tego, co słychać w zawieszeniu, nie zdiagnozujesz z parkingu.
Najczęstsze pytania
Jak sprawdzić, czy moja strona została zhakowana?
Otwórz ją na telefonie w trybie incognito, najpierw z wyników Google, a następnie po wpisaniu adresu. Sprawdź domenę w Raporcie przejrzystości Google i przejrzyj konta w WordPressie w poszukiwaniu nieznanych administratorów. Żeby ustalić, czy doszło do włamania, trzeba czasem przeanalizować również pliki, bazę danych i logi serwera.
Czy darmowa wtyczka bezpieczeństwa wystarczy?
Pomaga, zwłaszcza przy 2FA i blokowaniu prób logowania. Nie zastąpi aktualizacji ani przeglądu pozostałych dodatków. Sama też wymaga aktualizowania.
Jak często aktualizować WordPressa i wtyczki?
Poprawki bezpieczeństwa instaluj możliwie szybko po wydaniu, najlepiej w ciągu kilku dni, a w przypadku poważnej luki niezwłocznie. W przypadku WPvivid producent udostępnił poprawkę sześć dni po pierwszym kontakcie ze strony badaczy, ale nieaktualizowane instalacje nadal pozostawały podatne, jeśli spełniały warunki wykorzystania tej luki.
Komentarze (0)