WPBeginner - WordPress Tutorials for Beginners

Trusted WordPress tutorials, when you need them most.
Beginner’s Guide to WordPress
WPB Cup
25 Million+
Websites using our plugins
16+
Years of WordPress experience
3000+
WordPress tutorials
by experts

14 ważnych wskazówek, jak zabezpieczyć Twój obszar administracyjny WordPress (aktualizacja)

By Editorial Staff | | Reader Disclosure

ChatGPT Perplexity X LinkedIn WhatsApp

Twój obszar administracyjny WordPress jest jak pokój kontrolny Twojej witryny internetowej. Jeśli hakerzy włamią się do niego, mogą zmienić ustawienia, wykraść dane, a nawet zablokować Cię. Dlatego zabezpieczenie go jest jedną z najmądrzejszych rzeczy, jakie możesz zrobić.

Widzieliśmy, jak wielu właścicieli witryn internetowych staje w obliczu zagrożeń bezpieczeństwa, nie zdając sobie sprawy z tego, jak wrażliwy jest ich obszar administracyjny. Ataki siłowe, wstrzykiwanie złośliwego oprogramowania i nieautoryzowane logowanie są bardziej powszechne niż mogłoby się wydawać.

Dobra wiadomość? Nie musisz być ekspertem od zabezpieczeń, aby zabezpieczyć swoją witrynę. Kilka prostych modyfikacji może znacznie utrudnić atakującym wejście na stronę.

W tym przewodniku podzielimy się podstawowymi wskazówkami i hackami, aby zabezpieczyć twój obszar administracyjny WordPress. Te kroki pomogą ci zapewnić bezpieczeństwo twojej witryny, danych i spokoju umysłu.

Tips and hacks to protect WordPress admin area

Omówimy wiele wskazówek, a za pomocą poniższych szybkich odnośników możesz przeskakiwać między nimi:

1. Zapora sieciowa

Zapora monitoruje ruch na witrynie internetowej i blokuje podejrzane żądania przed dotarciem do twojej witryny.

Chociaż istnieje kilka wtyczek zapory WordPress, takich jak Wordfence, zalecamy korzystanie z Cloudflare.

Jest to największa i najpotężniejsza zapora oparta na chmurze, która chroni twoją witrynę internetową.

Website Application Firewall

Cały ruch Twojej witryny przechodzi najpierw przez serwer proxy w chmurze Cloudflare, który analizuje każde żądanie i blokuje podejrzane żądania przed dotarciem do Twojej witryny internetowej.

Chroni to twoją witrynę internetową przed możliwymi próbami włamania, phishingiem, złośliwym oprogramowaniem i innymi złośliwymi włączeniami. Aby uzyskać instrukcje konfiguracji krok po kroku, zobacz nasz artykuł o tym, jak skonfigurować darmowy CDN Cloudflare dla twojej witryny internetowej.

Inną świetną opcją jest Sucuri, z którego wcześniej korzystaliśmy. Aby uzyskać więcej informacji, zobacz nasz artykuł o tym, dlaczego przeszliśmy z Sucuri na Cloudflare.

2. Zabezpieczony hasłem katalog administracyjny WordPress

Inną wskazówką, która okazała się niezwykle skuteczna, jest dodanie hasła zabezpieczającego do katalogu administracyjnego WordPress.

Domyślnie obszar administracyjny jest już zabezpieczony twoim hasłem WordPress. Jednak dodanie zabezpieczenia hasłem do katalogu administratora dodaje kolejną warstwę zabezpieczeń do twojej strony logowania.

Po pierwsze, musisz logować się do kokpitu cPanel twojego hostingu WordPress, a następnie kliknąć ikonkę “Katalogi zabezpieczone hasłem” lub “Prywatność katalogów”.

Directory privacy

Następnie należy wybrać twój katalog wp-admin, który zwykle znajduje się w katalogu /public_html/.

Na kolejnym ekranie należy zaznaczyć pole obok opcji “Zabezpiecz hasłem ten katalog” i podać nazwę zabezpieczonego katalogu.

Następnie kliknij przycisk “Zapisz”, aby ustawić uprawnienia.

Password protect directory settings

Następnie należy nacisnąć przycisk Wstecz, a następnie utworzyć użytkownika. Zostaniesz poproszony o podanie nazwy użytkownika/hasła, a następnie kliknięcie przycisku “Zapisz”.

Teraz, gdy ktoś spróbuje przejść do katalogu administratora WordPress lub wp-admin na twojej witrynie internetowej, zostanie poproszony o wpisz nazwę użytkownika i hasło.

Enter password

Aby uzyskać bardziej szczegółowe instrukcje, zapoznaj się z naszym przewodnikiem na temat zabezpieczania hasłem katalogu administracyjnego WordPress (wp-admin).

3. Zawsze używaj silnych haseł

Always use strong passwords

Widzieliśmy użytkowników używających zwykłych słów słownikowych jako haseł, a niektóre z nich były zbyt małe i łatwe do odgadnięcia.

Zawsze używaj silnych haseł do wszystkich twoich kont online, w tym witryny WordPress. Zalecamy używanie kombinacji liter, cyfr i znaków specjalnych w twoich hasłach. Utrudni to hakerom odgadnięcie twojego hasła.

Początkujący użytkownicy często pytają nas, jak zapamiętać te wszystkie hasła.

Najprostsza odpowiedź brzmi: nie musisz. Istnieje kilka naprawdę świetnych aplikacji do zarządzania hasłami, które możesz zainstalować na swoim komputerze i telefonie.

Więcej informacji na ten temat można znaleźć w naszym przewodniku na temat najlepszego sposobu zarządzania hasłami dla początkujących użytkowników WordPressa.

4. Weryfikacja dwuetapowa na ekranie logowania do WordPressa

WordPress login screen with Google Authenticator enabled

Weryfikacja dwuetapowa, znana również jako weryfikacja dwuskładnikowa, uwierzytelnianie dwuskładnikowe lub 2FA, dodaje kolejną warstwę zabezpieczeń do twoich haseł.

Używamy ochrony 2FA nie tylko na naszych witrynach internetowych WordPress, ale na wszystkich naszych kontach, na których dostępna jest opcja 2FA.

Zamiast używać samego hasła, prosi o wpisz kodu weryfikacyjnego wygenerowanego przez aplikację Google Authenticator na twoim telefonie.

Nawet jeśli ktoś jest w stanie odgadnąć twoje hasło do WordPressa, nadal będzie potrzebował kodu Google Authenticator, aby się do niego dostać.

Aby uzyskać szczegółowe instrukcje krok po kroku, zapoznaj się z naszym przewodnikiem na temat konfigurowania weryfikacji dwuetapowej w WordPress przy użyciu Google Authenticator.

5. Limit prób logowania

Limit login attempts

Domyślnie WordPress pozwala użytkownikom wpisz hasła tyle razy, ile chcą. Oznacza to, że ktoś może próbować odgadnąć twoje hasło WordPress, wpisz różne kombinacje. Pozwala to również hakerom na używanie automatycznych skryptów do łamania haseł.

Aby to poprawić, należy zainstalować i włączyć wtyczkę Limit Login Attempts Reloaded. Po włączaniu przejdź na stronę Ustawienia ” Blokada logowania, aby skonfigurować ustawienia wtyczki.

Aby uzyskać szczegółowe instrukcje, zapoznaj się z naszym przewodnikiem na temat tego, dlaczego powinieneś ograniczyć próby logowania w WordPress. Aby dowiedzieć się więcej o wtyczce, możesz również zapoznać się z naszą szczegółową recenzją Limit Login Attempts.

6. Ograniczenie dostępu do logowania do adresów IP

Inną sztuczką, która działa świetnie, jest to, że wszyscy użytkownicy z dostępem do obszaru administracyjnego mają naprawione adresy IP. Zasadniczo można ograniczyć dostęp do obszaru administracyjnego, ograniczając go do określonych adresów IP.

Wystarczy dodać ten kod do twojego pliku .htaccess:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Syed's IP address
allow from xx.xx.xx.xxx
# whitelist David's IP address
allow from xx.xx.xx.xxx
</LIMIT>
Hosted with ❤️ by WPCode
1-click Use in WordPress

Nie zapomnij zastąpić wartości xx twoim własnym adresem IP. Jeśli używasz więcej niż jednego adresu IP, aby uzyskać dostęp do Internetu, upewnij się, że dodałeś je również.

Szczegółowe instrukcje można znaleźć w naszym przewodniku na temat ograniczania dostępu do panelu administracyjnego WordPress za pomocą .htaccess.

7. Wyłącz podpowiedzi logowania

Disabled login hints

Przy nieudanej próbie logowania WordPress wyświetla błędy, które informują użytkowników, czy ich nazwa użytkownika lub hasło były nieprawidłowe. Te wskazówki dotyczące logowania mogą zostać wykorzystane przez kogoś do złośliwych prób, takich jak ataki brute force.

Możesz łatwo ukryć te podpowiedzi logowania, dodając następujący kod do pliku functions. php twojego motywu lub używając wtyczki fragmentów kodu, takiej jak WPCode (zalecane):

function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
Hosted with ❤️ by WPCode
1-click Use in WordPress

Aby uzyskać więcej informacji, zapoznaj się z naszym przewodnikiem na temat dodawania własnego kodu w WordPressie bez niszczenia twojej witryny internetowej.

8. Wymaganie od użytkowników używania silnych haseł

Jeśli prowadzisz witrynę WordPress z wieloma autorami, użytkownicy ci mogą edytować swoje konta użytkowników i używać słabego hasła. Hasła te mogą zostać złamane i dać komuś dostęp do obszaru administracyjnego WordPress.

Aby to poprawić, możesz zainstalować i włączyć wtyczkę SolidWP. Następnie możesz wykonać kroki opisane w naszym kompletnym przewodniku na temat wymuszania silnych haseł na użytkownikach w WordPress.

9. Resetuj hasło dla wszystkich użytkowników

Zamierzasz zadbać o zabezpieczenia haseł w Twojej witrynie WordPress dla wielu użytkowników? Możesz łatwo poprosić wszystkich twoich użytkowników o zresetowanie swoich haseł.

Najpierw należy zainstalować i włączyć wtyczkę Emergency Password Reset. Po włączaniu należy przejść do strony Użytkownicy “ Awaryjne resetowanie hasła i kliknąć przycisk “Zresetuj wszystkie hasła”.

Reset all passwords

Aby uzyskać szczegółowe instrukcje, zapoznaj się z naszym przewodnikiem na temat resetowania haseł dla wszystkich użytkowników w WordPressie

10. Aktualizuj WordPress

WordPress często wydaje nowe wersje oprogramowania. Każde nowe wydanie rdzenia WordPress zawiera ważne poprawki błędów, nowe funkcje i poprawki zabezpieczeń.

Korzystanie ze starszej wersji WordPressa na twojej witrynie naraża cię na znane exploity i potencjalne luki w zabezpieczeniach. Aby to naprawić, musisz upewnić się, że korzystasz z najnowszej wersji WordPressa.

Więcej na ten temat można znaleźć w naszym przewodniku na temat tego, dlaczego zawsze należy korzystać z najnowszej wersji WordPressa.

Podobnie, wtyczki WordPress są również często aktualizowane w celu wprowadzenia nowych funkcji lub poprawek zabezpieczeń i innych problemów. Upewnij się, że twoje wtyczki WordPress są również aktualne.

💡 Uwaga: Czy wolisz pozostawić twoją konserwację WordPress profesjonalistom? Nasze usługi serwisowe WPBeginner mogą zająć się wszystkim, od aktualizacji po usuwanie złośliwego oprogramowania, dzięki czemu możesz po prostu skupić się na prowadzeniu swojej witryny internetowej.

11. Tworzenie własnych stron logowania i rejestracji

Wiele witryn WordPress wymaga od użytkowników rejestracji. Na przykład witryny członkowskie, witryny do zarządzania nauką i sklepy internetowe wymagają od użytkowników utworzenia konta.

Użytkownicy ci mogą jednak używać swoich kont do logowania się do obszaru administracyjnego WordPress. Nie jest to duży problem, ponieważ będą mogli robić tylko rzeczy dozwolone przez ich rolę użytkownika i możliwości.

Jednak uniemożliwia to prawidłowe ograniczenie dostępu do stron logowania i rejestracji, ponieważ strony te są potrzebne użytkownikom do rejestracji, zarządzania profilami i logowania się.

Prostym sposobem na poprawienie tego jest stworzenie własnych stron logowania i rejestracji, aby klienci mogli rejestrować się i logować bezpośrednio z twojej witryny internetowej.

Aby uzyskać szczegółowe instrukcje krok po kroku, zapoznaj się z naszym przewodnikiem na temat tworzenia własnych stron logowania i rejestracji w WordPress.

12. Dowiedz się więcej o rolach i uprawnieniach użytkowników WordPressa

WordPress posiada potężny system zarządzania użytkownikami z różnymi rolami i możliwościami. Dodając nowego użytkownika do twojej witryny WordPress, możesz wybrać dla niego rolę użytkownika. Ta rola użytkownika określa, co może on robić na twojej witrynie WordPress.

Przypisanie nieprawidłowych ról użytkownika może dać ludziom więcej możliwości niż potrzebują. Aby tego uniknąć, musisz zrozumieć, jakie możliwości wiążą się z różnymi rolami użytkowników w WordPress.

Więcej informacji na ten temat można znaleźć w naszym przewodniku dla początkujących na temat ról i uprawnień użytkowników WordPress.

13. Ograniczenie dostępu do kokpitu WordPressa

Niektóre witryny WordPress mają pewnych użytkowników, którzy potrzebują dostępu do kokpitu i niektórych użytkowników, którzy tego nie potrzebują. Jednak domyślnie wszyscy oni mają dostęp do obszaru administracyjnego.

Aby to poprawić, należy zainstalować i włączyć wtyczkę Remove Dashboard Access. Po włączaniu przejdź do strony Ustawienia ” Dostęp do kokpitu i wybierz, które role użytkowników będą miały dostęp do obszaru administracyjnego w twojej witrynie.

Aby uzyskać bardziej szczegółowe instrukcje, zapoznaj się z naszym przewodnikiem na temat ograniczania dostępu do kokpitu w WordPress.

14. Logowanie się bezczynnych użytkowników

Idle user logout

WordPress nie wylogowuje automatycznie użytkowników, dopóki ci nie wylogują się lub nie zamkną okna przeglądarki. Może to stanowić problem w przypadku witryn WordPress zawierających poufne informacje. Dlatego witryny internetowe i aplikacje instytucji finansowych automatycznie wylogowują użytkowników, jeśli nie byli włączeni.

Aby to poprawić, możesz zainstalować i włączyć wtyczkę Inactive Logout. Po włączaniu przejdź do strony Ustawienia “ Nieaktywne wylogowanie i wpisz czas, po którym użytkownicy mają być automatycznie wylogowywani.

Więcej szczegółów można znaleźć w naszym artykule na temat automatycznego logowania się bezczynnych użytkowników w WordPress.

Mamy nadzieję, że ten artykuł pomógł ci poznać kilka nowych wskazówek i hacków, aby zabezpieczyć twój obszar administracyjny WordPress. Zachęcamy również do zapoznania się z naszym przewodnikiem po zabezpieczeniach WordPress krok po kroku dla początkujących oraz z naszą ekspercką listą najlepszych wtyczek zabezpieczających WordPress.

If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.

Popular on WPBeginner Right Now!

Disclosure: Our content is reader-supported. This means if you click on some of our links, then we may earn a commission. See how WPBeginner is funded, why it matters, and how you can support us. Here's our editorial process.

The Ultimate WordPress Toolkit

Get FREE access to our toolkit - a collection of WordPress related products and resources that every professional should have!

Download Now

Reader Interactions

134 komentarzeLeave a Reply

  3. This is great information which I will be implementing ASAP!I have already experienced having my blog hacked so have been worried about these issues.Many thanks!!

    Odpowiedz

  8. I’m currently learning wp development. I want to make a ecommerce site with wordpress using the WP e-Commerce plugin. Does anyone know if these tips will keep my ecommerce site secure.

    Odpowiedz

  9. Wow – this is an AWESOME post! Thank you so much for sharing all this information – and some great plugins as well!

    In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one. ;)

    Odpowiedz

  10. The problem with plugins is that they’re not always compatible with every version, and they aren’t always updated.

    Odpowiedz

    • Most plugins are compatible with newer versions, and if the developer decides to leave development of the plugin, others often pick up and create a plugin with fixes for the future releases. You just have to stay active in the community.

      Odpowiedz

      Admin

  12. There are also some paid plugins – i.e. “WP Secure” which also claims it is going to make your WP secure from hackers. It also works on the summary of couple of the principles above – i.e. custom made login page, one IP confirmation etc.

    Is it worthy to purchase? = anybody knows if it is easier to use for non-techie than some of the above mentioned?

    Odpowiedz

  14. Hi
    Thanks a lot for your tips.
    Regarding tip 8, I wonder how to insert the code
    `add_filter(’login_errors’,create_function(’$a’, “return null;”));`
    What is the complete function to use?
    I’d like to try since I already use AskApache Password Protect and that plugin is incompatible with Secure WordPress.
    Thanks,
    Kjetil
    – http://www.dolcevita.no

    Odpowiedz

    • You go to functions.php and insert that code. Thats all if we understand your question clearly. If this has not answered it, then please reply to the comment and we will surely take a look at it.

      Odpowiedz

      Admin

  15. Thanks for this invaluable information. I’ve just suffered a malware attack that put my blog off line for a day or two while I had my WordPress programmer sort it out. Ver inconvenient.

    I’ll be implementing some of the suggestions you’ve made in the next day or so.

    Robinoz
    http://www.e1jobs-blog.com (All About Jobs blog”

    Odpowiedz

  16. good tips for securing wordpress. as time goes we are going to see hosts either become more stringent and secure or cms packages need to implement on install a few more security initiatives.

    Odpowiedz

  18. It took me a few minutes to work this one out but you have the wrong kind of quotes around this function

    add_filter(’login_errors’,create_function(’$a’, “return null;”));

    It should be:

    add_filter(‘login_errors’,create_function(‘$a’, “return null;”));

    Other than that, great post.

    Odpowiedz

  19. What you can from Wp-PreventCopyBlogs WordPress Plugin

    1.Track the visitors who try to copy your content.

    2.Record the ip of the user who tries to do fraudulent copy with their landing url of your site and referral url.This can help you to do necessary measures if you notice something bad.

    3.Enable Message displayed to your user upon user’s choice.

    4.Disable Selection of you text and Right Click for users depending on the option.

    Odpowiedz

  23. Regarding #6, if you use the following .htaccess file you will be able to login from other locations in a two-step process. This requires you to add a htpasswd file (read your server documentation).

    AuthUserFile ‘some htpasswd file’
    AuthGroupFile /dev/null
    AuthName “WordPress Admin Access Control”
    AuthType Basic

    order deny,allow
    deny from all
    Require valid-user
    # whitelist Syed’s IP address
    allow from xx.xx.xx.xxx
    # whitelist David’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Amanda’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Muhammad’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Work IP address
    allow from xx.xx.xx.xxx
    Satisfy Any

    The “require valid user” and “satisfy any” lines will force the Apache Server to request a Username and Password before you can access the WordPress Login screen. Please DO NOT use the same Username and Password in the htpasswd file that you use for your WordPress access, or you will defeat the purpose of the extra level of security.

    Odpowiedz

  26. Hi, I have been blogging for 3 years. My blog got hacked in June 2009 and google banned for 30 days, my pageviews immediately slide from 800 a day to less than 100 a day.
    I highly recommend installing wordpress firewall plugin. The plugin will send your an email every time someone tries to hack your blog together with the hackers IP address. The plugin detects and blocks strange requests, redirecting the attack to the homepage.
    On monday i got an email of six attempted hack attempts over the weekend. The hacker tried the admin page three times when that failed he tried searching wordspew plugin which i dont use.

    To all newbies good luck

    Odpowiedz

    • Once a hack is successful the bot or human hacker will keep your data and keep retrying your website files looking for a way back in. they will continue to be relentless. if they have happened to hack your email or computer or server they will keep going until they have hacked everything you touch. they are like cockroaches that found crumbs that led to your house.

      Odpowiedz

    • You give them the special URL that you created if you trust them enough. For the most part, guest authors should not even be allowed in the admin panel unless they are authors of your site. If someone has written multiple posts for your site then they can be trustable so you can give them the special url /login or /googlogin or whatever you created.

      Most top blogs take guest posts via email and if those guest authors become regular authors, only then they are allowed in the admin panel.

      Odpowiedz

      Admin

  33. Great tips.

    For the involved readers there is an inaccuracy in #6.

    “The downside to this hack is that if you ever want to access the admin panel from some other place, you won’t be able to do so unless you add that extra IP in your .htaccess file.”

    If the ip-address you allow is a box you can can SSH into, you can SSH tunnel through it (I use foxyproxy, because it makes the switch very easy). Also, if you are using nginx instead of apache you can evaluate the URI w/ regular expressions to block everything from wp-app.php to wp-trackback.php (or selectively choose which ones you do not want to block). I cover this @ http://www.phrison.com/securing-arbitrary-uris/ but it is not for the unexperienced.

    I have a large collection of tin-foil hats.

    Odpowiedz

  37. This site is a happy new find for me (FYI,thanks to @Problogger on Twitter), and I’m looking forward to further exploration. This article is the kind of tight, clear writing that is too rare these days. Thanks for some genuinely helpful information.

    Odpowiedz

    • We are glad that you like our site, and we are also very glad that Darren found the article useful enough to tweet it. We hope you follow us on twitter so you can stay up to date with all the nice tutorials.

      Odpowiedz

      Admin

  38. Wow – I’m fairly new to WP and had no idea there were so many gateways for hackers. I’m sure they won’t find their way in after adding a few of these.

    Thanks.

    Odpowiedz

  39. WordPress security is a growing issue and these steps are critical for securing a WordPress site. Beefing up security helps the entire community as well as your own site to take time to implement these ideas. Well done.

    Odpowiedz

  41. A good list of vital tips to secure your site. I particularly like #8 I’ve never done this before but will from now on!

    Regarding #7 – Remove ‘admin’ username:

    I don’t remove the admin username, I create a new admin account then change the ‘admin’ users account type to subscriber.

    That way, even if someone does crack the password it’s a useless account. If you remove it, someone can register that username…

    Odpowiedz

  42. Thank you for all the suggestions, I’m working on a few big projects and this will certainly help once the blogs are up and running.

    First time here and I’m loving the blog, good job!

    Dan

    Odpowiedz

    • Yes you can do that, but in this article we were only talking about WordPress Admin Panel not the entire site in general. There are many other ways to protect your site entire WordPress blog.

      Odpowiedz

      Admin

  49. Hey this is a wonderful collection of tips and hacks, very useful. I recommend every WP blogger to go through the list and follow the steps as well as any other useful resources available elsewhere. After all we have NOT set up our blogs so someone shall take control of our lives. Damn.

    Thanks for sharing, WPBeginner.

    Odpowiedz

Leave A Reply

Thanks for choosing to leave a comment. Please keep in mind that all comments are moderated according to our comment policy, and your email address will NOT be published. Please Do NOT use keywords in the name field. Let's have a personal and meaningful conversation.

Copyright © 2009 - 2025 WPBeginner LLC. All Rights Reserved. WPBeginner® is a registered trademark.

Managed by Awesome Motive | WordPress hosting by SiteGround

The WordPress® trademark is the intellectual property of the WordPress Foundation. Uses of the WordPress®, names in this website are for identification purposes only and do not imply an endorsement by WordPress Foundation. WPBeginner is not endorsed or owned by, or affiliated with, the WordPress Foundation.

I need help with…

Popular searches:

Starting a Blog WordPress SEO WordPress Performance WordPress Errors WordPress Security Building an Online Store