Blog / Testy penetracyjne
Pentest WordPress, najważniejsze obszary kontroli
WordPress napędza ogromną liczbę stron firmowych, więc jest też częstym celem ataków. Dobra wiadomość jest taka, że większość problemów wynika z kilku powtarzalnych przyczyn, które da się regularnie kontrolować.
Dlaczego WordPress jest popularnym celem
Sama platforma jest zwykle aktualizowana szybko, ale jej siła to ekosystem wtyczek i motywów tworzonych przez wielu autorów o różnej jakości. Atakujący szukają stron z nieaktualnymi dodatkami, bo znane luki są publicznie opisane.
Pentest WordPressa polega więc w dużej mierze na sprawdzeniu, co zainstalowano, w jakiej wersji, kto ma dostęp i jak serwer jest skonfigurowany.
Wtyczki i motywy
To najczęstsze źródło problemów. Każda wtyczka zwiększa powierzchnię ataku, szczególnie ta porzucona przez autora.
- Usuń wtyczki i motywy, których nie używasz, a nie tylko je wyłączaj.
- Sprawdź, czy wersje są aktualne i czy autor nadal wydaje poprawki.
- Unikaj dodatków z nieoficjalnych źródeł.
- Prowadź listę wtyczek wraz z uzasadnieniem, po co są potrzebne.
Konta, logowanie i uprawnienia
Panel logowania jest wystawiony do internetu, więc podlega ciągłym próbom odgadnięcia haseł. Konta administratorów powinny mieć unikalne hasła i uwierzytelnianie dwuskładnikowe.
Zadbaj o minimalną liczbę kont administratorów, usuń konta byłych współpracowników i agencji oraz nadawaj redaktorom tylko role potrzebne do pracy. Ogranicz też liczbę prób logowania.
Konfiguracja serwera, TLS i nagłówki
Poza samym WordPressem liczy się konfiguracja otoczenia: aktualny protokół szyfrowania, ważny certyfikat, nagłówki bezpieczeństwa oraz brak publicznie dostępnych plików kopii czy konfiguracji.
Te elementy można sprawdzić testami pasywnymi, bez ingerencji w witrynę. Wypróbuj bezpłatne sprawdzenie strony, a o całym podejściu przeczytasz w jak to działa.
Poczta z domeny strony
Firmowa strona jest związana z pocztą. Brak poprawnego SPF, DKIM i DMARC ułatwia podszywanie się pod domenę i wysyłanie fałszywych wiadomości w imieniu firmy. Formularze kontaktowe z WordPressa też wysyłają pocztę, więc ich konfiguracja musi być zgodna z politykami domeny.
To obszar często pomijany, a jego naprawa jest zwykle szybka i tania.
Jak łączyć testy automatyczne i ręczne
Test automatyczny dobrze wychwytuje przestarzałe komponenty, błędy konfiguracji i widoczne z zewnątrz słabości. Nie oceni jednak logiki własnych dodatków, niestandardowych formularzy ani sklepu z indywidualnymi regułami cen i dostępu. Tu potrzebny jest ręczny test, zob. testy penetracyjne aplikacji webowych.
Sensowne jest więc połączenie stałego testu zewnętrznego z okresowym przeglądem ręcznym, tym bardziej gdy witryna przetwarza dane klientów.
Znaczenie regulacyjne i cena
Dyrektywa NIS2 (2022/2555) w art. 21 wymaga oceny skuteczności środków bezpieczeństwa u podmiotów nią objętych. Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, a jej aktualny tekst zawsze sprawdzaj w Dzienniku Ustaw. Szczegóły: NIS2.
Automatyczny pentest zewnętrzny Hakowanie z raportem pod NIS2 i KSC kosztuje od 590 zł netto miesięcznie, więcej w cenniku.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.