WordPress bezbednost u 2026: 10 koraka da zaštite sajt od hakera

Zašto su WordPress sajtovi česta meta hakera

WordPress pokreće 43% svih sajtova na internetu. To ga čini najčešćom metom za automatizovane napade -- botovi skeniraju internet i pokušavaju poznate ranjivosti na milionima WordPress instalacija istovremeno.

Dobra vest: većina napada je automatizovana i cilja sajtove sa osnovnim propustima. Ako primenite 10 koraka iz ovog vodiča, eliminišete 95% rizika. Ne morate biti programer -- većina koraka se radi u par klikova.

Za tehničku optimizaciju sajta pogledajte WordPress speed vodič. Za cene izrade sigurnog sajta pogledajte izrada WordPress sajta cena.

Korak 1: Ažurirajte WordPress, temu i pluginove

Najčešći razlog za hakovanje WordPress sajta su zastareli pluginovi sa poznatim ranjivostima. Hakeri koriste javno objavljene ranjivosti (CVE) i skeniraju sajtove koji nisu ažurirani.

Šta da uradite: Idite na Dashboard > Updates i ažurirajte SVE -- WordPress core, temu i sve pluginove. Uključite automatska ažuriranja za minor verzije.

Važno: Pre ažuriranja uvek napravite backup. Nekad ažuriranje može da pokvari sajt ako plugin nije kompatibilan.

Korak 2: Koristite jake lozinke (i nikad "admin" kao username)

Najjednostavniji napad: bot pokuša da se uloguje sa "admin" / "password123". Ako vam je username "admin" i lozinka je kratka, sajt će biti hakovan za manje od sat vremena.

Šta da uradite:

• Promenite username (ne može se menjati iz WP-a, ali možete kreirati novog admin usera i obrisati starog)
• Lozinka mora biti 12+ karaktera sa velikim slovima, brojevima i specijalnim znakovima
• Koristite password manager (Bitwarden je besplatan)

Korak 3: Instalirajte sigurnosni plugin

Za početnike preporučujem jedan od ova tri:

Wordfence (besplatan) -- firewall + malware scanner + brute force zaštita. Najkompletniji besplatni security plugin.

Sucuri Security (besplatan) -- security audit log + file integrity monitoring. Lagan i ne usporava sajt.

iThemes Security (besplatan) -- 30+ sigurnosnih podešavanja sa jednim klikom. Dobar za početnike.

Ne instalirajte više od jednog sigurnosnog plugina -- mogu se sukobiti.

Korak 4: Limitirajte pokušaje logovanja

Brute force napad pokušava hiljade kombinacija lozinki. Bez zaštite, bot može da pokuša 10.000 lozinki u sat vremena.

Šta da uradite: Većina sigurnosnih pluginova ima ovu opciju. Limitirajte na 3-5 pokušaja, pa lockout od 15 minuta. Ili koristite dedicated plugin: "Limit Login Attempts Reloaded" (besplatan).

Korak 5: Uključite dvofaktorsku autentifikaciju (2FA)

Čak i ako neko pogodi vašu lozinku, bez drugog faktora ne može da uđe. 2FA šalje kod na vaš telefon ili koristi aplikaciju (Google Authenticator, Authy).

Šta da uradite: Wordfence ima ugrađeni 2FA. Alternativno, koristite plugin "WP 2FA" (besplatan).

Korak 6: Promenite default login URL

WordPress login je uvek na vasajt.com/wp-admin ili /wp-login.php. Svaki bot to zna.

Šta da uradite: Koristite plugin "WPS Hide Login" (besplatan) da promenite URL na nešto unikatno, npr. vasajt.com/moj-tajni-login. Botovi neće naći stranicu za login.

Korak 7: Redovni backup-ovi

Ako se desi najgore -- sajt bude hakovan -- backup je vaša polisa osiguranja. Bez backup-a, gubite sve.

Šta da uradite:

• Koristite plugin: UpdraftPlus (besplatan) ili BlogVault
• Podesite automatski backup: jednom dnevno za e-commerce, jednom nedeljno za blogove
• Čuvajte backup van servera (Google Drive, Dropbox) -- ako haker dobije pristup serveru, obrišaće i backup

Korak 8: SSL sertifikat (HTTPS)

Ako vaš sajt još uvek počinje sa http:// umesto https://, imate ozbiljan problem. Google ga označava kao "Not Secure" i rang vam pada.

Šta da uradite: Većina hosting provajdera (Hostinger, SiteGround) nudi besplatan SSL (Let's Encrypt). Aktivirajte ga u hosting panelu i instalirajte "Really Simple SSL" plugin da preusmerite sav saobraćaj na HTTPS.

Korak 9: Isključite XML-RPC ako ga ne koristite

XML-RPC je stari WordPress protokol koji se danas koristi uglavnom za brute force napade. Ako ne koristite WordPress mobilnu aplikaciju ili Jetpack, isključite ga.

Šta da uradite: Dodajte u .htaccess fajl:

xmlrpc.php blokada (pitajte developera) ili koristite opciju u Wordfence/iThemes pluginu.

Korak 10: Pratite aktivnost na sajtu

Ako neko uspe da uđe na vaš sajt, želite da to saznate što pre. Audit log prati ko se ulogovao, šta je menjao i kada.

Šta da uradite: Koristite "WP Activity Log" plugin (besplatan) koji beleži sve promene na sajtu. Postavite email obaveštenje za login sa nepoznate IP adrese.

Šta raditi ako je sajt već hakovan

1. Ne paničite. Sajt se može restaurirati.

2. Stavite sajt u maintenance mode da posetioci ne vide hakovan sadržaj.

3. Kontaktirajte hosting -- mnogi provajderi imaju malware removal uslugu.

4. Restore backup ako imate svež backup od pre hakovanja.

5. Promenite SVE lozinke -- WordPress admin, hosting, FTP, baza podataka, email.

6. Skenirajte sajt sa Wordfence ili Sucuri da pronađete zaražen fajl.

7. Ažurirajte SVE -- core, temu, pluginove. Obrišite pluginove koje ne koristite.

Za profesionalnu zaštitu sajta i sigurnosni audit, javite se preko kontakt forme. Pogledajte i cene održavanja WordPress sajta koje uključuju redovne sigurnosne provere.