1.  [Strona główna](/) ›
2.  [Baza wiedzy](/baza-wiedzy/) ›
3.  WordPress hardening - bezpieczeństwo

# WordPress hardening - bezpieczeństwo krok po kroku

Opublikowano: 8 kwietnia 2026 · Kategoria: WordPress / Bezpieczeństwo

⚡ W skrócie · 6 min czytania

-   Jak zabezpieczyć WordPress: wp-config.php, prawa dostępu, ochrona logowania, blokowanie xmlrpc.php, aktualizacje i monitoring bezpieczeństwa.
-   Prawa dostępu do plików.
-   Bezpieczna konfiguracja wp-config.php.
-   Ochrona /wp-admin przez .htaccess.
-   Dwuskładnikowe uwierzytelnianie (2FA).

WordPress to cel 90% ataków na strony WWW - ze względu na popularność i nieaktualizowane wtyczki. Hardening to seria konfiguracji zmniejszających powierzchnię ataku. Ten artykuł opisuje praktyczne kroki bez utraty funkcjonalności.

## Prawa dostępu do plików

```
# Ustaw prawa dostępu (uruchom z katalogu instalacji WordPress)
find /var/www/html/twojadomena.pl -type f -exec chmod 644 {} \;
find /var/www/html/twojadomena.pl -type d -exec chmod 755 {} \;

# Krytyczne pliki - bardziej restrykcyjne
chmod 600 wp-config.php
chmod 600 .htaccess

# Sprawdź prawa (nie powinno być plików 777 lub 666)
find . -type f -perm 777 -ls
find . -type d -perm 777 -ls
```

## Bezpieczna konfiguracja wp-config.php

```
// Wyłącz edycję plików z dashboardu (zapobiega modyfikacji przez XSS)
define('DISALLOW_FILE_EDIT', true);

// Wyłącz instalację wtyczek/motywów (opcjonalne, rekomendowane na produkcji)
define('DISALLOW_FILE_MODS', true);

// Wymuś HTTPS w panelu admina
define('FORCE_SSL_ADMIN', true);

// Ogranicz czas sesji (w sekundach, domyślnie 2 dni)
define('AUTH_COOKIE_EXPIRATION', 3600); // 1 godzina

// Wyłącz debugowanie na produkcji
define('WP_DEBUG', false);
define('WP_DEBUG_LOG', false);
define('WP_DEBUG_DISPLAY', false);
```

## Ochrona /wp-admin przez .htaccess

```
# Ogranicz dostęp do /wp-admin po IP (umieść w /wp-admin/.htaccess)
order deny,allow
deny from all
allow from TWÓJ_IP_BIURO
allow from TWÓJ_IP_DOM

# Zablokuj xmlrpc.php (jeśli nie używasz Jetpack ani mobilnej apki WP)
# (umieść w głównym .htaccess)
<Files xmlrpc.php>
  order deny,allow
  deny from all
</Files>

# Zablokuj dostęp do wp-config.php
<Files wp-config.php>
  order allow,deny
  deny from all
</Files>

# Ukryj wersję WordPress (usuń z nagłówków)
Header unset X-Powered-By
```

## Dwuskładnikowe uwierzytelnianie (2FA)

```
# Wtyczka WP 2FA (darmowa, zalecana)
# 1. Zainstaluj: wp plugin install wp-2fa --activate --allow-root
# 2. Skonfiguruj przez: Użytkownicy → Twój profil → 2FA

# Alternatywa: WP-CLI + Google Authenticator
wp plugin install google-authenticator --activate --allow-root

# Po instalacji - wymuś 2FA dla ról admina:
# Ustawienia → WP 2FA → Wymuś 2FA dla: Administrator
```

## Zmiana prefiksu tabel bazy danych

```
# UWAGA: Przed zmianą zrób PEŁNY backup bazy danych!
wp db export backup-przed-zmiana-prefiksu.sql --allow-root

# Metoda 1: Wtyczka Better Search Replace lub Brozzme DB Prefix
# Zmień wp_ na twojprefiks_ w wp-config.php i bazie

# Metoda 2: Ręcznie w wp-config.php
# $table_prefix = 'twojprefiks_';  (zmień z domyślnego 'wp_')

# TYLKO dla nowych instalacji - przy istniejącej bazie użyj wtyczki
# lub specjalistycznego skryptu (możliwość błędów przy nieumiejętnej zmianie)
```

## Monitoring i reagowanie na incydenty

```
# Skanowanie malware (Wordfence)
wp plugin install wordfence --activate --allow-root
# Następnie: Wordfence → Scan → Start New Scan

# Sprawdź zmodyfikowane pliki (podejrzane pliki zmienione w ostatnich 24h)
find /var/www/html/twojadomena.pl -newer /var/www/html/twojadomena.pl/wp-config.php \
  -not -path '*/wp-content/uploads/*' -type f

# Sprawdź nieznane pliki PHP w uploads (typowy wstrzyknięty malware)
find /var/www/html/twojadomena.pl/wp-content/uploads -name '*.php' -type f

# Log nieudanych logowań (Apache)
grep '403\|401' /var/log/apache2/access.log | grep 'wp-login' | tail -20
```

## Najczęstsze pytania

Jakie są najważniejsze kroki w hardeningu WordPress? +

Najważniejsze kroki: (1) Zmień prefiks tabel bazy danych (nie wp\_). (2) Ukryj stronę logowania - zmień /wp-admin przez wtyczkę. (3) Włącz dwuskładnikowe uwierzytelnianie (2FA). (4) Ustaw prawa dostępu: pliki 644, katalogi 755, wp-config.php 600. (5) Zablokuj edycję plików z dashboardu (DISALLOW\_FILE\_EDIT). (6) Wyłącz xmlrpc.php jeśli nie potrzebujesz. (7) Regularny backup i aktualizacje.

Jak zabezpieczyć wp-config.php? +

Przenieś wp-config.php poziom wyżej niż katalog public\_html (WordPress automatycznie go znajdzie). Ustaw chmod 600 na pliku. Dodaj do .htaccess: <Files wp-config.php> order allow,deny deny from all </Files>. Używaj unikalnych kluczy AUTH\_KEY, SECURE\_AUTH\_KEY itd. - wygeneruj na wordpress.org/support/article/editing-wp-config-php/.

Jak chronić stronę logowania WordPress? +

Metoda 1: Zmień URL logowania przez wtyczkę (WPS Hide Login, Perfmatters). Metoda 2: Ogranicz dostęp do /wp-admin po IP w .htaccess. Metoda 3: Włącz 2FA (WP 2FA, Google Authenticator). Metoda 4: Limit prób logowania (Limit Login Attempts Reloaded). Kombinacja wszystkich czterech metod skutecznie eliminuje ataki brute-force.

Które wtyczki bezpieczeństwa WordPress są najlepsze? +

Wordfence Security (firewall + skanowanie malware, darmowa wersja wystarczy dla większości). Sucuri Security (monitoring + firewall WAF - płatny). iThemes Security (dawniej Better WP Security, kompleksowy hardening). WP 2FA (dwuskładnikowe logowanie). WPS Hide Login (zmiana URL logowania). Nie instaluj kilku wtyczek bezpieczeństwa naraz - konfliktują i spowalniają stronę.

## Sprawdź oferty pasujące do tego scenariusza

Poniżej masz szybkie przejścia do ofert i stron z kodami rabatowymi tam, gdzie są dostępne.

zenbox.pl

Hosting WordPress z LiteSpeed, OPcache i darmowym SSL

LiteSpeed + SSL

[Aktywuj rabat →](/out/zenbox/#reklama "zenbox.pl")

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/zenbox/)

ProSerwer.pl

Hosting z Imunify360 WAF, CloudLinux CageFS i izolacją kont

WAF Imunify360

[Aktywuj rabat →](/out/proserwer-pl/#reklama "ProSerwer.pl")

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/proserwer/)

Smarthost

Hosting z certyfikatem ISO 27001 i cPanel

ISO 27001

[Aktywuj rabat →](/out/smarthost/#reklama "Smarthost")

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/smarthost/)

## Powiązane strony

-   [Bezpieczeństwo WordPress na hostingu](/baza-wiedzy/bezpieczenstwo-wordpress-hosting/)
-   [SSL Let's Encrypt - automatyzacja](/baza-wiedzy/ssl-lets-encrypt-automatyzacja/)
-   [UFW firewall - konfiguracja na VPS](/baza-wiedzy/ufw-firewall-konfiguracja/)
-   [Strategia backupu - 3-2-1 dla hostingu](/baza-wiedzy/backup-strategia-hosting/)
-   [Wszystkie artykuły](/baza-wiedzy/)
-   [WordPress REST API - bezpieczeństwo i rate limiting
    
    WordPress REST API security: blokada user enumeration, rate limiting Nginx limit\_req\_zone, JWT auth, Application…
    
    ](/baza-wiedzy/wordpress-rest-api-bezpieczenstwo/)
-   [Hosting dla WooCommerce — jak wybrać serwer pod sklep WordPress 2026
    
    Hosting WooCommerce 2026 — minimalne wymagania techniczne, TTFB, PHP workers, backup i TCO. Sprawdź, kiedy wybrać…
    
    ](/baza-wiedzy/hosting-woocommerce-jak-wybrac-serwer-pod-sklep-wordpress-2026/)
-   [Jak wybrać hosting?](/jaki-hosting-wybrac/)

Autor: [Redakcja HostGrade.pl](/autorzy/) Zespół redakcyjny · Aktualizacja: 19 czerwca 2026

Artykuły HostGrade.pl przygotowuje i aktualizuje redakcja serwisu. Ceny startowe, ceny odnowienia i warunki planów sprawdzamy w cennikach i regulaminach dostawców, a potem liczymy całkowity koszt za 2 lata (cena startowa plus odnowienia). Zasady zbierania danych i liczenia kosztów opisujemy na stronie Metodologia. Linki partnerskie oznaczamy jako #reklama.

[O redakcji i metodologii →](/autorzy/)