Kako zaštititi WordPress sajt: lozinke, update-ovi i login

Najveći deo bezbednosti WordPress sajta svodi se na pet stvari: jake i jedinstvene lozinke za admin naloge, redovno ažuriranje WordPress jezgra, tema i plugin-ova, zaštita login stranice (ograničenje pokušaja prijave i dvofaktorska autentikacija), uklanjanje plugin-ova i tema koje se ne koriste, i redovan backup koji možete da vratite. Ove mere smanjuju više čestih rizika, ali ne zamenjuju održavanje serverskog PHP-a i proveru novih bezbednosnih obaveštenja.

Automatsko isprobavanje lozinki na login stranici jedan je od puteva napada. Zaštitite svaki nalog koji ima pristup administraciji:

• koristite dugu, nasumičnu lozinku za svaki admin nalog, najbolje iz menadžera lozinki
• pregledajte administratorske naloge i njihove uloge; pre uklanjanja naloga sačuvajte ili prenesite njegov sadržaj i proverite da imate drugi ispravan administratorski pristup
• dajte svakom korisniku samo onu ulogu koja mu treba (autor ne mora da bude administrator)
• uklonite naloge koje više niko ne koristi

Jaka, jedinstvena lozinka i dvofaktorska autentikacija štite pristup nalogu. Ne uklanjaju ranjivost u dodatku ili PHP-u koji se izvršava pre prijave.

Zastarelo WordPress jezgro, tema ili plugin mogu sadržati javno poznatu ranjivost. Kada se otkrije propust, autori izdaju zakrpu, ali sajt koji se ne ažurira ostaje otvoren. Napadači skeniraju internet baš u potrazi za poznatim, nezakrpljenim verzijama.

• ažurirajte WordPress jezgro čim izađe bezbednosna verzija
• redovno pregledajte teme i plugin-ove; za kritičnu ranjivost proverite i primenite dostupnu ispravku odmah, van uobičajenog termina održavanja
• pre većih update-ova napravite backup, da možete da se vratite ako nešto pukne
• obrišite (ne samo deaktivirajte) teme i plugin-ove koje ne koristite, jer i neaktivan kod može da bude ranjivost

Standardna login adresa (/wp-login.php ili /wp-admin) je prva tačka koju napadači gađaju. Nekoliko mera je čini znatno tvrđom:

• ograničite broj pokušaja prijave (limit login attempts), da automatski napad bude blokiran posle nekoliko promašaja
• uključite dvofaktorsku autentikaciju (2FA), pa ni tačna lozinka nije dovoljna bez drugog koraka
• po želji promenite podrazumevanu login adresu na nešto manje očigledno
• obavezno koristite HTTPS, da prijava ne putuje u običnom tekstu; o tome više u tekstu o SSL sertifikatu

Deo bezbednosti je ispod samog WordPress-a, na nivou servera. Dobar hosting tu pomaže:

• podržana PHP verzija sa stvarno instaliranim bezbednosnim zakrpama, uz proveru aktivnih radnih procesa posle ažuriranja
• ispravne dozvole fajlova (najčešće 644 za fajlove, 755 za foldere), da se ne može pisati tamo gde ne treba
• izolacija naloga, da problem na jednom sajtu ne ugrozi druge na istom serveru
• automatski backup na nivou hostinga kao dodatna mreža za pad

Šta je važno baš za WordPress okruženje (resursi, izolacija, podrška) ima u tekstu o WordPress hostingu u Srbiji.

Kod PHP2Shell propusta objavljenih u oktobru 2026. ažuriranje WordPress dodataka nije dovoljno: ispravku dobija serverski PHP. Na deljenom hostingu taj posao proverite sa provajderom; na neupravljanom VPS-u odgovoran je vaš administrator. Vodič za ažuriranje zavisnosti daje tačne verzije i granice privremenih mera.

Nijedna zaštita nije savršena, pa backup nije suprotnost bezbednosti nego njen deo. Ako sajt ipak bude kompromitovan, čista i sveža kopija je razlika između sat-dva oporavka i potpune rekonstrukcije sajta. Držite bar jednu kopiju van servera i povremeno proverite da vraćanje (restore) radi, kako je objašnjeno u tekstu o backup-u WordPress sajta.

• preusmeravanja na nepoznate sajtove ili iskačući prozori koje niste postavili
• novi admin nalozi koje niste napravili
• nepoznati fajlovi ili izmene u datumu fajlova koje niste radili
• upozorenje pretraživača ili Google Search Console da je sajt označen kao nebezbedan
• nagli pad performansi ili neobičan saobraćaj

Ako primetite ove znake, ograničite pristup ugroženom sajtu i uključite hosting ili administratora. Sačuvajte logove i stanje za proveru pre brisanja tragova. Sa pouzdanog uređaja promenite kompromitovane pristupe i tokene. Pre vraćanja proverene čiste kopije zatvorite put upada, a zatim proverite naloge, fajlove i nove porudžbine koje oporavak ne sme da prepiše.