Bezpečnostní pluginy pro WordPress: co zvládnou a co ne

Content ✎

Skoro každý majitel WordPressu má v administraci alespoň jeden bezpečnostní plugin. Nainstaluje se obvykle po prvním leknutí — po podivném e-mailu z hostingu, po varování v prohlížeči nebo po článku, který vysvětlil, jak snadno se dá napadnout neaktualizovaný web. Plugin naskenuje web, ukáže zelenou fajfku a člověk má pocit, že problém vyřešil.

Ta zelená fajfka je ale konkrétní tvrzení o konkrétní věci, a je užitečné vědět, o které. Bezpečnostní pluginy dělají některé věci opravdu dobře a jiné z principu dělat nemůžou — a rozdíl mezi tím se pozná až ve chvíli, kdy je web skutečně napadený.

Co bezpečnostní pluginy zvládají dobře

Začněme tím, proč je smysluplné je mít. Dobře nastavený plugin vám pokryje čtyři věci:

Ochranu přihlašování. Omezení počtu pokusů, dvoufaktorové ověření, skrytí přihlašovací stránky, blokace opakovaných útoků na wp-login.php a XML-RPC. Statisticky je tohle nejčastěji zneužívaná vstupní branka, takže je to i nejlépe investovaná funkce.
Aplikační firewall. Filtrování požadavků podle známých vzorů útoků. U masivně zneužívané zranitelnosti v pluginu může firewall zachytit vlnu dřív, než stihnete aktualizovat.
Kontrolu integrity souborů. Porovnání jádra a pluginů z repozitáře proti oficiálním kontrolním součtům. Je to jeden z mála spolehlivých signálů, protože nepracuje se signaturami škodlivého kódu, ale s tím, co v souborech nemá být.
Upozornění. E-mail, že se objevil nový administrátorský účet nebo že se změnil soubor v jádře, zkrátí dobu do odhalení incidentu z týdnů na hodiny.

Tohle všechno je reálná hodnota a žádný z následujících odstavců ji nepopírá.

Háček číslo jedna: zpoždění signatur

U bezplatných verzí se platí časem. Wordfence to má napsané přímo na stránce pluginu v repozitáři WordPressu: pravidla firewallu a signatury malwaru dostávají prémioví zákazníci v reálném čase, zatímco „free version is delayed by 30 days“ (wordpress.org).

Třicet dní je u čerstvě zveřejněné zranitelnosti věčnost. Automatizované skenery začínají objíždět weby v řádu hodin od zveřejnění — takže vlna, proti které vás pravidlo má chránit, proběhne dávno předtím, než se k vám pravidlo dostane. Neznamená to, že je bezplatná verze zbytečná; znamená to, že bezplatný firewall chrání hlavně proti starším útokům, a že aktualizace musíte řešit sami a rychle.

Háček číslo dva: plugin běží uvnitř toho, co má kontrolovat

Tohle je koncepční limit, se kterým nic neudělá ani prémiová licence. Bezpečnostní plugin je PHP kód běžící ve stejném prostředí jako útočníkův kód. Pokud má útočník možnost spouštět PHP — a po nahrání webshellu ji má — pohybuje se na stejné úrovni oprávnění jako skener.

Prakticky to znamená, že napadený web může skeneru odpovídat, co se mu hodí: vyřadit plánované skeny, upravit výsledky, přidat vlastní soubory na seznam výjimek nebo plugin rovnou deaktivovat a tvářit se, že je aktivní. „Sken nic nenašel“ je proto tvrzení, které má smysl u zdravého webu — u webu s podezřením na průnik je to informace s nízkou vypovídací hodnotou.

Háček číslo tři: rozsah a vstupní bod

I když skener najde všechny infikované soubory — což je optimistický předpoklad — zbývají dvě otázky, na které z principu neodpoví:

Kudy se útočník dostal dovnitř? Skener vidí důsledek, ne příčinu. Neřekne vám, jestli šlo o zranitelný plugin, ukradené heslo, kompromitovaný FTP účet nebo sousední web ve stejném hostingovém účtu.
Kam všude se dostal? Kontrola souborů je jen část webu. Injektovaný kód v databázi, zákeřný administrátorský účet, upravené naplánované úlohy, přidaný SMTP konfigurák, soubory mimo adresář WordPressu nebo jiné domény na tomtéž účtu — to všechno je běžná součást incidentu a část z toho leží mimo dosah pluginu.

Že to není teorie, ukazují data. Podle reportu Sucuri za rok 2023 mělo 49,21 % napadených webů alespoň jeden backdoor a 39,1 % CMS bylo v době infekce neaktualizovaných. Přehlédnutý backdoor znamená, že se web vrátí do původního stavu během několika dní — a majitel má přitom čistý výsledek skenu z minulého týdne.

Kde je riziko doopravdy

Stojí za to vědět, co se vlastně zneužívá. Podle reportu Patchstacku přibylo v ekosystému WordPressu během roku 2024 7 966 nových zranitelností, tedy zhruba 22 denně. Z toho:

96 % připadá na pluginy, 4 % na šablony a méně než sedm na samotné jádro — kritická chyba přímo v jádře je výjimka, byť se stane, jak ukázala zranitelnost WP2Shell,
33 % nemělo v době zveřejnění dostupnou opravu,
43 % šlo zneužít bez jakéhokoli přihlášení,
necelá polovina byly XSS zranitelnosti, následované SQL injection a eskalací oprávnění.

Z toho plyne docela nepohodlný závěr: nejúčinnější bezpečnostní opatření ve WordPressu není plugin, ale kratší seznam pluginů. Každé rozšíření navíc je další kód třetí strany, který musí někdo aktualizovat — a u třetiny zranitelností záplata v době zveřejnění vůbec neexistovala.

Co s tím prakticky

Rozumné nastavení běžného firemního webu vypadá takhle:

Aktualizujte do týdne od vydání, u kritických zranitelností do 24 hodin. Zapnutá automatická aktualizace jádra a pluginů je pro malý web většinou lepší volba než ruční proces, který nikdo nedělá.
Vyhoďte, co nepoužíváte. Deaktivovaný plugin je pořád kód na serveru a pořád jde zavolat.
Zapněte dvoufaktorové ověření pro všechny administrátory a omezte počet účtů s touto rolí.
Zálohujte mimo hosting a jednou za půl roku si zkuste obnovu. Bez čisté zálohy se každý incident řeší o řád hůř.
Používejte jeden bezpečnostní plugin, ne tři. Překrývající se firewally a skenery si navzájem berou výkon a produkují šum, kterému pak nikdo nevěnuje pozornost.
Nastavte si upozornění na nový administrátorský účet a na změnu souborů jádra. To jsou dva signály s nejlepším poměrem užitečnosti k počtu falešných poplachů.

Kdy plugin přestává stačit

Hranice je docela ostrá. Dokud řešíte prevenci, je plugin adekvátní nástroj. Jakmile řešíte podezření, že už se něco stalo, potřebujete pohled zvenčí — z prostředí, které útočník neovládá.

Praktický signál, že jste tu hranici překročili:

v Search Console svítí bezpečnostní problém nebo prohlížeč hlásí nebezpečný web,
hosting poslal upozornění na malware nebo omezil odesílání pošty,
web se chová jinak pro návštěvníky z vyhledávání než pro vás,
objevil se administrátorský účet, který nikdo nezakládal,
web už byl jednou „vyčištěný“ a problém se vrátil.

V těchhle případech je potřeba ruční prověření webu — tedy porovnání souborů proti čistým zdrojům mimo napadené prostředí, kontrola databáze, účtů a naplánovaných úloh a hlavně dohledání vstupního bodu. Skener vám dá seznam nálezů; tohle vám dá odpověď na otázku, jestli je incident uzavřený.

Časté dotazy

Který bezpečnostní plugin je nejlepší?

Pro běžný web je rozdíl mezi hlavními hráči menší než rozdíl mezi „nastavený a aktualizovaný“ a „nainstalovaný a zapomenutý“. Vyberte jeden, projděte jeho nastavení a zapněte upozornění.

Vyplatí se placená verze?

Pokud web vydělává peníze, ano — hlavně kvůli odstranění zpoždění signatur a pravidel firewallu. U osobního blogu, který se aktualizuje automaticky a má málo pluginů, je přínos výrazně menší.

Nezpomalí plugin web?

Skenování a logování něco stojí a na levném sdíleném hostingu to bývá znát. Plánujte skeny mimo špičku, nekombinujte více bezpečnostních pluginů najednou — a pokud web na hostingu dlouhodobě doráží, je to spíš signál, že je čas vybrat hosting stavěný pro WordPress.

Když sken nic nenajde, je web čistý?

Ne — znamená to, že skener nenašel nic, co odpovídá jeho signaturám, a to za předpokladu, že mu prostředí odpovídá pravdivě. U zdravého webu je to dobrá zpráva, u webu s konkrétním podezřením to nestačí.

Shrnutí

Bezpečnostní plugin je dobrý zámek na dveřích: zdrží běžný pokus o vloupání, zaznamená ho a upozorní vás. Co nedokáže, je posoudit, jestli už někdo v domě je, kudy se dostal dovnitř a co si odnesl.

Nejlepší poměr přínosu a práce má proto kombinace, ve které plugin hraje vedlejší roli: krátký seznam rozšíření, rychlé aktualizace, dvoufaktorové ověření, zálohy mimo hosting — a plugin jako doplněk, který hlídá dveře a dá vědět, že se něco stalo.