Bezpieczeństwo strony: kopie zapasowe, aktualizacje, ataki

W maju napisał do mnie Tomek - prowadzi sklep internetowy z częściami rowerowymi pod Lublinem. "Google pokazuje przy mojej stronie ostrzeżenie, że jest niebezpieczna. Co się dzieje?" Okazało się, że przez dziurawą wtyczkę WordPressa ktoś wstrzyknął mu na stronę przekierowania do podejrzanych serwisów. Sprzątanie zajęło trzy dni. Trzy dni bez sprzedaży - i kilka tygodni odbudowywania zaufania Google. Najgorsze? Można było tego uniknąć jednym kliknięciem "aktualizuj".

"Jestem za mały, żeby ktoś mnie atakował" - najdroższy mit

Tomek też tak myślał. Problem w tym, że Twojej strony nie atakuje człowiek, który wybrał ją na cel. Atakują ją boty - automatyczne skrypty, które skanują tysiące stron na godzinę w poszukiwaniu znanych dziur. Bot nie sprawdza, czy jesteś międzynarodową korporacją czy zakładem fryzjerskim z Radomia. Sprawdza tylko, czy masz starą wersję wtyczki z luką, którą umie wykorzystać.

Skala jest ogromna: w 2025 roku CERT Polska wpisał na swoją Listę Ostrzeżeń ponad 244 tysiące domen służących do wyłudzania danych - około 670 nowych dziennie. Cyberprzestępczość w Polsce to masowa, zautomatyzowana produkcja, a nie punktowe ataki na wielkie firmy.

Scenariusz #1 - dziurawa wtyczka WordPressa

Najczęstszy sposób, w jaki małe firmy tracą stronę. Według raportów Patchstack w 2025 roku aż 91% nowych luk bezpieczeństwa w ekosystemie WordPressa dotyczyło wtyczek - nie samego WordPressa. Typowa historia: strona zrobiona w 2021 roku, wykonawca zniknął, 20 wtyczek nieaktualizowanych od trzech lat. Każda z nich to potencjalnie otwarte drzwi.

Po włamaniu bot zwykle robi jedno z trzech: rozsyła spam z Twojej domeny, przekierowuje odwiedzających na strony z oszustwami albo podmienia treści. Efekt dla Ciebie zawsze ten sam - Google oznacza stronę jako niebezpieczną i ruch spada do zera.

Scenariusz #2 - phishing z podobną domeną

Drugi scenariusz nie wymaga nawet włamania. Ktoś rejestruje domenę łudząco podobną do Twojej - np. twojafirma-sklep.com zamiast twojafirma.pl - kopiuje wygląd strony i wysyła klientom maile z "fakturą do opłacenia" albo linkiem do "promocji". Według CERT Polska phishing to około 30% wszystkich incydentów zgłoszonych w 2025 roku - prawie 78 tysięcy przypadków. Przestępcy najchętniej podszywają się pod znane marki, ale lokalne firmy z bazą stałych klientów też dostają rykoszetem.

Co możesz zrobić: raz na jakiś czas wpisz nazwę swojej firmy w Google i sprawdź, czy nie pojawiły się bliźniacze domeny. Podejrzane strony zgłaszaj na incydent.cert.pl - działa to naprawdę sprawnie.

Kopia zapasowa - Twoje koło ratunkowe

Backup to różnica między "przywróciliśmy stronę w godzinę" a "budujemy wszystko od zera". Trzy zasady po ludzku:

Automatycznie- backup robiony ręcznie "jak sobie przypomnę" nie istnieje. Ma się wykonywać sam, najlepiej codziennie lub co tydzień, zależnie od tego, jak często zmienia się strona.

Poza serwerem - kopia trzymana na tym samym serwerze co strona znika razem z nią. Powinna lądować w innym miejscu: na zewnętrznym dysku w chmurze albo u innego dostawcy.

Sprawdzona - backup, którego nikt nigdy nie próbował przywrócić, to tylko nadzieja, nie zabezpieczenie. Raz na kwartał warto zrobić próbne przywrócenie.

Aktualizacje, silne hasła, 2FA i SSL - minimum na 2026

Aktualizacje - WordPress, motyw i wtyczki aktualizowane minimum raz w miesiącu. To zamyka drzwi, przez które wchodzi większość botów.

Hasła- "Firma2020!" nie jest silnym hasłem. Menedżer haseł i osobne, długie hasło do panelu strony, hostingu i domeny. Boty próbują tysięcy popularnych haseł na minutę.

Dwuskładnikowe logowanie (2FA) - nawet jeśli hasło wycieknie, złodziej nie wejdzie bez kodu z Twojego telefonu. Włączenie zajmuje 5 minut i jest darmowe.

SSL- certyfikat szyfrujący połączenie (kłódka przy adresie). Darmowy w Let's Encrypt, obowiązkowy zawsze - bez niego przeglądarki straszą użytkowników komunikatem "Niezabezpieczona".

Kto za to wszystko odpowiada?

Tu jest pułapka, w którą wpadł Tomek: myślał, że "hosting się tym zajmuje". Nie zajmuje się. Hosting odpowiada za działanie serwera - nie za Twoje wtyczki, hasła i backupy. Masz dwie drogi:

Samodzielnie - da się, jeśli masz dyscyplinę. Raz w miesiącu: aktualizacje wszystkiego, kontrola czy backup się wykonał, szybki rzut oka na stronę. Koszt: 30-60 minut Twojego czasu miesięcznie i pilnowanie, żeby nigdy tego nie odpuścić.

Opieka agencji - płacisz stałą, niewielką kwotę miesięcznie, a aktualizacje, kopie zapasowe, monitoring i drobne poprawki dzieją się bez Twojego udziału. W naszych pakietach z opieką dokładamy do tego roczną gwarancję - jeśli coś się zepsuje z naszej winy, naprawiamy bez dyskusji. Dla większości właścicieli małych firm to po prostu tańsze niż jeden dzień przestoju sklepu.