WordPress pohání více než 43 % všech webů na internetu, což z něj dělá lákavý cíl pro hackery. Většina úspěšných útoků ale nevyužívá sofistikované hackerské techniky – naopak, útočníci těží z běžných bezpečnostních chyb, kterých se dopouštějí správci webů. Slabá hesla, neopravené zranitelnosti a špatná konfigurace otevírají dveře nezvanými hostům. V tomto článku projdeme nejčastější bezpečnostní chyby a ukážeme, jak se jim účinně vyhnout.

1. Slabá hesla a opakované používání stejného hesla

Nejčastější branou pro útočníky jsou slabá administrátorská hesla. Hesla jako „admin123″, „wordpress“, „heslo123″ nebo „firma2026″ mohou boti prolomit během několika sekund pomocí brute force útoků.

Proč je to problém:

  • Automatizované útoky testují miliony kombinací hesel denně.
  • Databáze uniklých hesel (z databreachů) umožňují cílené útoky.
  • Jedno kompromitované heslo otevře přístup ke všemu – editaci obsahu, instalaci malwaru, krádeži dat.

Jak se chránit:

  • Používejte hesla s minimálně 16 znaky kombinující velká/malá písmena, číslice a speciální znaky.
  • Aktivujte dvoufaktorovou autentizaci (2FA) – i kdyby útočník získal heslo, potřebuje druhý faktor (kód z mobilu).
  • Použijte správce hesel (1Password, Bitwarden) pro generování a ukládání silných hesel.
  • Nastavte limit přihlašovacích pokusů – po 3-5 neúspěšných pokusech zablokujte IP adresu.

2. Zastaralý WordPress, pluginy a témata

Nejčastější zranitelnosti se nachází v zastaralém softwaru. Vývojáři pravidelně vydávají bezpečnostní záplaty opravující kritické chyby. Pokud neaktualizujete, útočníci mohou snadno využít veřejně známé zranitelnosti.

Reálný příklad: V lednu 2026 byla odhalena kritická zranitelnost v populárním page builderu, která umožňovala vzdálené spuštění kódu. Během 48 hodin bylo napadeno přes 100 000 WordPress webů, které neaktualizovaly.

Jak se chránit:

  • Zapněte automatické aktualizace pro menší WordPress záplaty.
  • Manuálně aktualizujte větší verze a pluginy po testování na staging prostředí.
  • Sledujte bezpečnostní bulletin (WPScan Vulnerability Database).
  • Odstraňte nepoužívané pluginy a témata – i když nejsou aktivní, mohou být zranitelné.

Na spravovaném hostingu wpsprava.online se o aktualizace staráme za vás – sledujeme bezpečnostní bulletiny, testujeme aktualizace na staging prostředí a aplikujeme je včas, než mohou být zranitelnosti zneužity.

3. Chybějící SSL certifikát a HTTP provoz

Web bez HTTPS přenáší veškerá data nezašifrovaně. To znamená, že hesla, osobní údaje nebo platební informace mohou být při přenosu odchyceny útočníkem (man-in-the-middle útok).

Kromě bezpečnostního rizika vás absence HTTPS poškozuje i v SEO – Google od roku 2018 zvýhodňuje HTTPS weby a prohlížeče zobrazují weby bez SSL jako „Nezabezpečené“.

Jak aktivovat HTTPS:

  • Získejte SSL certifikát zdarma přes Let’s Encrypt (většina hostingů nabízí automatickou instalaci).
  • Nastavte přesměrování HTTP → HTTPS v .htaccess nebo pomocí pluginu Really Simple SSL.
  • Ověřte, že všechny zdroje (obrázky, CSS, JS) používají HTTPS.

Na wpsprava.online je SSL certifikát součástí každého tarifu – automaticky ho instalujeme, konfigurujeme přesměrování z HTTP na HTTPS a staráme se o jeho pravidelné obnovování.

4. Výchozí username „admin“

Starší WordPress instalace vytvářely výchozího uživatele s názvem admin. Útočníci to vědí a cílí právě na tento účet. Pokud máte slabé heslo a username „admin“, brute force útok má 50% práce hotovo.

Jak opravit:

  • Vytvořte nového administrátora s unikátním uživatelským jménem (ne „admin“, „administrator“, „root“).
  • Přiřaďte staré příspěvky novému účtu.
  • Smažte původní účet „admin“.

5. Nechráněný wp-admin a wp-login.php

Výchozí přihlašovací stránka WordPressu (/wp-admin/ nebo /wp-login.php) je veřejně přístupná a cílem brute force útoků. Tisíce robotů denně testují miliony kombinací hesel na těchto endpointech.

Jak zvýšit ochranu:

  • HTTP Basic Authentication – jednoduchá, ale vysoce účinná ochrana na úrovni serveru. Přidá další vrstvu přihlášení před samotný WordPress login. Roboti se k přihlašovacímu formuláři vůbec nedostanou.
  • Nastavte limit přihlašovacích pokusů pro případ, že se útočník dostane přes první vrstvu.
  • Aktivujte dvoufaktorovou autentizaci (2FA) pro všechny administrátorské účty.

Na wpsprava.online chráníme administraci každého webu pomocí HTTP Basic Authentication na úrovni serveru – roboti a automatizované útoky se k přihlašovacímu formuláři WordPressu vůbec nedostanou. Není potřeba instalovat žádné pluginy ani měnit URL administrace.

6. Nezabezpečená wp-config.php

Soubor wp-config.php obsahuje citlivé informace – přihlašovací údaje k databázi a bezpečnostní klíče. Pokud útočník získá přístup k tomuto souboru, má úplnou kontrolu nad webem.

Bezpečnostní opatření:

  • Přesuňte wp-config.php o úroveň výš mimo webroot (WordPress ho automaticky najde).
  • Nastavte správná oprávnění: 440 nebo 400.
  • Přidejte do .htaccess blokování přístupu: „` <Files wp-config.php> order allow,deny deny from all </Files> „`.

7. Žádné zálohy nebo nefunkční zálohy

Mnoho správců si myslí, že mají zálohy, ale nikdy neotestovali obnovu. V okamžiku krize zjišťují, že záloha je poškozená, neúplná nebo uložená na stejném serveru, který byl napaden.

Správná strategie zálohování:

  • Automatické denní zálohy databáze a souborů.
  • Offsite ukládání (Google Drive, Dropbox, Amazon S3) – ne na stejném serveru.
  • Pravidelné testování obnovy minimálně jednou za měsíc.

Na wpsprava.online jsou automatické denní zálohy s offsite ukládáním součástí každého tarifu. O zálohování se nemusíte starat – v případě potřeby váš web obnovíme z poslední funkční zálohy v řádu minut. Více o správném zálohování najdete v našem článku Jak správně zálohovat WordPress.

8. Nedostatečná správa uživatelských oprávnění

Poskytnutí administrátorského přístupu všem uživatelům je bezpečnostní risk. Pokud je kompromitován účet s právy administrátora, útočník má plnou kontrolu.

Princip nejmenších oprávnění:

  • Přidělujte uživatelům pouze minimální potřebná oprávnění.
  • Pro autory článků stačí role Editor nebo Author.
  • Pravidelně kontrolujte seznam uživatelů a odstraňte neaktivní účty.

Komplexní zabezpečení WordPressu

Bezpečnost WordPressu vyžaduje průběžnou pozornost, monitoring a okamžitou reakci na hrozby. Pokud nechcete řešit technické detaily zabezpečení a chcete mít jistotu, že je váš web chráněný, svěřte svůj WordPress do rukou wpsprava.online.

V rámci spravovaného hostingu zajišťujeme kompletní zabezpečení – serverový firewall, ochranu před brute force útoky, pravidelné aktualizace s testováním, monitoring 24/7, automatické zálohy s offsite ukládáním a okamžitou reakci na bezpečnostní incidenty. Kontaktujte nás a získejte WordPress web chráněný před útoky. Podrobnosti o jednotlivých tarifech najdete v našem ceníku.