Захист сайту

Безпека WordPress: 15 перевірок для малого бізнесу

Анна, співзасновниця Першого Кабінету · перевірено 31 жовтня 2026 · читати 14 хвилин

Безпека WordPress у 2026 році тримається на трьох речах: швидких оновленнях плагінів, суворих доступах і резервній копії, з якої справді можна відновитися. Я Анна, і нижче ви знайдете свіжі цифри Patchstack, п'ятнадцять перевірок за групами, порівняння трьох способів захисту, чекліст, план дій після зламу та приклад інтернет-магазину.

Надійний сайт тримається на дрібних деталях, які перевіряють регулярно. Фото: Unsplash.

Безпека WordPress у 2026: що показують дані

Про безпеку зазвичай думають після інциденту. Сайт блимнув зайвою рекламою, форма розсилає спам, пошукова система показує попередження. Тоді починається паніка, і рішення ухвалюють на емоціях. Спокійніше й дешевше подивитися на цифри заздалегідь.

Пам'ятайте, що Patchstack продає захист, тому підкреслює ризики. Але напрям очевидний: вразливостей побільшало, ґрунт для атак прискорився, і хостинг сам по собі не рятує. У тому ж звіті сказано, що в тесті популярних хостингів було заблоковано лише 26% атак на вразливості.

Чому під ударом саме плагіни

Ядро WordPress перевіряють тисячі фахівців. Плагіни пишуть тисячі різних авторів, і якість коду коливається. Кожен плагін на сайті це ще одні двері, і чим їх більше, тим вища ймовірність, що одні лишаться незачиненими. Звідси перше правило: тримайте лише ті плагіни, без яких справді не обійтися.

Безпека WordPress і швидкість реакції: п'ять годин

Медіана в п'ять годин стосується вразливостей, які активно експлуатують. Для більшості вразливостей масової атаки не буде, але ви не знаєте наперед, яка з них потрапить у категорію «гаряча». Тому важливі дві речі: автоматичні оновлення для дрібних плагінів і швидка реакція на критичні повідомлення для великих.

П'ятнадцять перевірок: безпека WordPress за групами

Я розклала перевірки на чотири групи. Кожну можна пройти за годину, а всі разом займуть один вечір. Починайте з оновлень і доступів: саме там закривається більшість реальних дір.

Оновлення і плагіни: безпека WordPress починається тут

• 1. Оновлення протягом тижня. Ядро, плагіни й теми оновлюються після виходу, а не раз на пів року.
• 2. Видалення зайвого. Вимкнений плагін теж може бути вразливим, тож прибирайте те, чим не користуєтеся.
• 3. Лише офіційні джерела. Зламані «безкоштовні» версії платних плагінів часто містять шкідливий код.
• 4. Сучасний PHP. Хостинг має використовувати версію PHP, яку ще підтримують.

Доступи: хто входить на сайт

• 5. Двоетапний вхід. Для всіх адміністраторів і редакторів.
• 6. Унікальні паролі. Без користувача admin і без спільних акаунтів.
• 7. Мінімум адміністраторів. Решті вистачить ролі редактора.
• 8. Обмеження спроб входу. Захист від автоматичного підбору паролів.

Резервні копії: страховка, яку перевіряють

• 9. Копія поза сервером. Якщо копія лежить на тому ж сервері, вона зникає разом із сайтом.
• 10. Тест відновлення. Раз на квартал розгорніть копію на тестовому адресі.
• 11. Глибина зберігання. Кілька копій за різні дати, щоб було куди відкотитися.

Моніторинг і хостинг

• 12. HTTPS. Дійсний сертифікат на всіх сторінках.
• 13. Редагування файлів із адмінки. Вимкніть: так зловмисник, що потрапив до адмінки, не змінить код.
• 14. Сканування й сповіщення. Зміни у файлах мають хтось помічати.
• 15. Захист форм. Спам-боти не повинні засмічувати пошту й базу.

Форми варто захищати окремо. Якщо ви хочете, щоб заявки не губилися серед спаму, дивіться нашу статтю про заявки з сайту в Telegram, а швидкість та безпеку підтримує також правильне налаштування, про яке ми писали у статті про швидкість сайту.

Порівняння 2026: безпека WordPress самотужки, на хостингу чи з підрядником

Для малого бізнесу найрозумніше поєднувати: базові правила виконувати самим, а регулярну рутину передавати тому, хто робить це щотижня. У нашому прайсі є підписка Сайт-База від 2000 грн на місяць, а що саме вона містить з оновлень і копій, ми уточнюємо в розмові перед стартом.

Чекліст: безпека WordPress вашого сайту

Відмічайте виконане. Двобальні пункти найчастіше зачиняють двері, через які заходять зловмисники.

Код сайту складається з сотень файлів, і кожен з них потребує догляду. Фото: Unsplash.

Якщо сайт зламали: перші 60 хвилин

План дій, коли безпека WordPress уже порушена

• Хвилини 0-10. Не панікуйте й не видаляйте нічого. Зробіть знімок екрана й збережіть поточну копію для аналізу.
• Хвилини 10-20. Змініть паролі адміністраторів, хостингу та бази даних. Закрийте зайві акаунти.
• Хвилини 20-40. Увімкніть режим обслуговування, щоб клієнти не побачили підозрілий вміст.
• Хвилини 40-60. Відновіть сайт з чистої копії й оновіть усе, що можна. Перевірте, звідки прийшла атака.

Після відновлення перегляньте логи, знайдіть, який плагін чи пароль став причиною, і лише тоді повертайте сайт в роботу. Якщо цього не зробити, зловмисник зайде знову тими самими дверима. Заздалегідь запишіть, кому телефонувати: підряднику, хостингу, вам самим. План на папері економить найцінніші хвилини.

Приклад: інтернет-магазин на WordPress

Ілюстрація умовна. Магазин з 34 плагінами й оновленнями раз на квартал проходить наш чекліст і отримує низький бал. За два тижні він знижує ризик, не міняючи платформи.

Типові помилки: чому безпека WordPress ламається

• Автооновлення без копії. Оновлення іноді ламає сайт, а без копії відкотитися нема куди.
• Безпека на словах. Правила є, але хтось має регулярно їх перевіряти.
• Зайві плагіни «на майбутнє». Кожен непотрібний плагін додає ризик без користі.
• Один адмін на всіх. Колишній співробітник зберігає доступ роками.

У методиці City Profit ми закладаємо витрати на підтримку сайту в фінансову модель BFM одразу, а не після першої аварії. Так бюджет безпеки не з'являється як неприємна несподіванка, а рахується як звичайна стаття витрат. Скільки загалом коштує сайт, дивіться в статті про вартість сайту для бізнесу.

Скільки коштує безпека WordPress: що закласти в бюджет

Безпека майже ніколи не коштує одну велику суму. Вона складається з маленьких регулярних витрат, і важливо побачити їх разом, а не здивуватися наприкінці року. Нижче перелік статей із простим прикладом розрахунку. Година роботи в прикладі умовна, 250 грн, ви підставляєте власну.

Порівняйте ці цифри з ціною простою. Якщо магазин приносить хоча б кілька замовлень на день, одна доба недоступності коштує більше, ніж пів року регулярного догляду. Саме така арифметика допомагає ухвалювати рішення без емоцій. Подумайте, скільки втратите за дві доби, і порівняйте з місячним бюджетом на безпеку.

Ще одна деталь: підрахуйте, скільки коштуватиме відновлення, а не лише захист. Відновлення сайту після зламу означає години роботи фахівця, втрачені замовлення й іноді відновлення репутації в пошуку, якщо сайт потрапив у чорні списки. Профілактика майже завжди дешевша, особливо коли вона перетворена на звичку, а не на екстрену операцію.

Питання про безпеку WordPress

Чи достатньо встановити плагін безпеки?

Ні. Плагін безпеки допомагає, але він не замінює оновлень, копій і контролю доступів. Він сам є плагіном, і його теж потрібно оновлювати.

Як часто робити резервну копію?

Для сайту-візитки достатньо щотижня, для магазину щодня. Орієнтуйтеся на те, скільки замовлень чи змін ви готові втратити.

Що робити, якщо хостинг каже, що все під контролем?

Вимагайте конкретики: які оновлення, які копії, який термін відновлення. Приклади наших проєктів дивіться в портфоліо.