Gde hosting utiče na zaštitu
Deo zaštite je i izbor same osnove na kojoj sajt stoji: hosting sa firewall-om na nivou servera, PHP verzijama koje se redovno ažuriraju i ograničenjima resursa (da DDoS ne sruši sajt odjednom) znatno smanjuje posao plugin-ovima. Ako tek birate gde ćete, proverite šta dobijate shared a šta VPS hostingom – poređenje je u tekstu razlika između VPS-a i shared hostinga, a instalaciju WordPress-a na različite tipove hostinga pokriva vodič kako instalirati WordPress na VPS ili shared hosting.
Vredi pomenuti i alternativu: ako vam je sve ovo previše održavanja, SaaS platforme (SajtBuilder i slične) nose bezbednost kao deo paketa – upoređivanje pristupa i šta tačno dobijate kojim putem je u tekstu platforme za izradu sajta bez muke. Cena je manja kontrola i manja prenosivost; za blog koji planirate da gradite godinama, WordPress uz ove mere ostaje bolji izbor.
Šta ako je sajt već hakovan?
Simptomi: pregledač prikazuje upozorenje „This site may be hacked“, Google u Search Console-u prijavljuje malware, pojavljuju se neobični korisnici ili preusmerenja na nepoznate adrese. Postupak: (1) stavite sajt u „maintenance“ režim ili isključite ga, (2) vratite poslednji čist backup (ili ga stavite na lokalni WordPress da analizirate), (3) promenite sve lozinke – admin, FTP, baza, email hostinga, (4) ažurirajte sve i tek onda vratite online. Većina hakovanja na kojima je ovaj redosled ispoštovan završi se kao trošak popodneva, a ne nedelje.
Posle povratka, proverite i dve stvarčice koje se često zaborave: Search Console (zatražite pregled sajta posle čišćenja – Google tada ponovo proverava i skida oznaku) i spoljne linkove koje je haker možda dodao (u odeljku Linkovi u Search Console-u). Ako se scenarij ponovi kroz par meseci, uzrok najčešće nije u WordPress-u nego u staroj temi ili plugin-u koji i dalje stoji na sajtu – tada je vreme za temeljniju zamenu.
Česta pitanja
Da li mi treba plaćeni security plugin?
Ne za osnovne mere. Wordfence besplatna verzija pokriva firewall, skeniranje i 2FA. Plaćeni nivoi dodaju napredno skeniranje, blokiranje po zemljama i prioritetnu podršku – korisno za saobraćajnije ili komercijalne sajtove, ne i za blog sa par stotina poseta dnevno.
Da li hosting radi ovo umesto mene?
Dobri hostingi rade deo posla: firewall na nivou servera, izolacija naloga, redovne PHP zakrpe. Ali nalog admina, lozinke, 2FA i ažuriranja aplikativnog sloja (WordPress, teme, plugin-i) ostaju vaša odgovornost – jer se napad najčešće dešava upravo tu, u delu koji hosting ne vidi.
Koliko često treba proveravati da li je sve ažurno?
Nedeljno, deset minuta: wp-admin panel prikazuje obaveštenja o dostupnim ažuriranjima – backup, update svega, provera tri stranice. Ako ne možete nedeljno, barem uključite automatska manja ažuriranja core-a i pratite email obaveštenja; ali potpuni „nemoj dirati“ pristup je najskuplji na duge staze.
Zaključak
Zaštita nije jedan veliki alat, nego pet vrlo dosadnih navika: generisana lozinka u menadžeru, 2FA na nalogu, plugin koji broji pokušaje logina, antispam na komentarima i redovno ažuriranje uz backup. Zajedno zauzmu prvih sat vremena i pet minuta nedeljno – i eliminšu preko 90% svega što se botovima „automatski“ dešava na ovom internetu.
Najvažnija istina o hakovanju WordPress sajtova: gotovo uvek se ne dešava ciljano. Botovi skeniraju internet automatski, traže poznate rupe u starim verzijama, probaju podrazumevane lozinke i ostavljaju spam svuda gde forma nije zaštićena. Znači – ne morate biti važni da biste bili meta, dovoljno je da budete dostupni. Zato i najmanji blog vredi zaštititi: čak i ako nema posetilaca vrednih hakovanja, nepažljiv sajt postaje baza za slanje spama i napade na druge, a google ga na kraju označi kao „unsafe“ – što je kraj i pre nego što je počelo. Srećom, suprotno od onoga što se misli, odbrana se svodi na pet osnovnih mera koje svako može da postavi za sat vremena. U ovom vodiču prolazimo svaku: jake lozinke, dvofaktorsku autentikaciju, ograničenje pokušaja logina, zaštitu komentara od spama i redovna ažuriranja.
1. Jake lozinke (i manager koji ih pamti)
Lozinka admin naloga je prva stvar koju botovi probaju – popularne kombinacije admin / admin123, info / 123456 i slične rade češće nego što se misli, jer se većina sajtova nikad ne nađe na meti pravih hakera, samo na meti automata. Pravila jake lozinke danas su jednostavna:
- Nasumični niz od 12+ karaktera – ne „VolimPasose2026!“ nego generisani string (npr.
k7#mPz2$vQn9!). Dugačke fraze rade, ali nasumični niz je jednostavniji za pamćenje preko managera. - Password manager – Bitwarden (besplatan), 1Password ili bilo koji ugrađeni pregledački menadžer. On pamti sve umesto vas; vi pamtite jednu glavnu lozinku.
- Jedinstvena lozinka po servisu – ako probijete jedan sajt, haker dobija samo tu kombinaciju, ne i vaš WordPress.
- Username nije „admin“ – WordPress vam nudi da promenite korisničko ime pri kreiranju; ako ste ostavili „admin“, napravite novog korisnika sa administrator ulogom i obrišite starog.
Uz admin nalog, dve lozinke koje se često zaboravljaju: FTP/SFTP i baza podataka (phpMyAdmin korisnik). Napad preko stare FTP lozinke zaobilazi 2FA i sve plugin-ove – potpuno ravnopravan ulaz u fajlove. Proverite i da li vaš hosting dozvoljava pristup bazi spolja; ako ne treba, isključite ga. Sve ove vrednosti čuvajte u istom menadžeru, u kolekciji „sajt“.
2. Dvofaktorska autentikacija (2FA)
2FA dodaje drugi korak posle lozinke: šestocifreni kod iz aplikacije na telefonu (Google Authenticator, Authy). Čak i ako haker dobije lozinku (kroz procureli bilo gde, ne nužno sa vašeg sajta), bez telefona ne može da se prijavi. Na WordPress-u se postavlja preko plugin-a – WP 2FA ili Wordfence Login Security – a proces je: instalirate, povežete aplikaciju skeniranjem QR koda, potvrdite prvi kod. Obavezno sačuvajte backup kodove koje plugin generiše – bez telefona i bez njih, zaključani ste sami sebi.
2FA se ne tiče samo administratora: ako imate pisce ili saradnike na sajtu, uključite im takođe – nalog pisaca je često slabija karika koja vodi do naprednijeg napada. Ako se plašite da ćete ostati bez telefona, plugin-i koji podržavaju TOTP standard rade sa bilo kojom aplikacijom, pa prelazak na novi telefon traje minut uz nove backup kodove – samo nemojte baciti stare dok novi telefon ne radi.
3. Ograničenje pokušaja logina
Brute-force napad pokušava hiljade kombinacija reči na wp-login.php. Bez ograničenja, server ih sve prima, a lozinka se može naći i za dan. Rešenje: plugin koji broji neuspele pokušaje sa jedne IP adrese i blokira nakon njih – Wordfence i Limit Login Attempts Reloaded rade upravo to (oba su već na listi u našem tekstu najbolji WordPress plugin-i za početnike). Podešavanje je minimalno: podrazumevana ograničenja (5 pokušaja, 15 min blokade) sasvim rade; svrha je da se bot odustane, a vi – posle jednog zaboravljenog unosa – i dalje prijavite normalno.
Naprednije opcije, po želji: promena adrese login stranice (npr. sa /wp-admin na neku svoju, što smanjuje broj pokušaja na nulu jer bot uopšte ne nađe formu) i blokada po zemljama ako čitaoce ne dobijate iz većine sveta. Obe mere su dodatne, ne zamena za osnovna ograničenja.
4. Zaštita komentara od spama
Spam komentari nisu samo neugodnost za čitaoce – oni su i način da botovi ostave povratne linkove (što šteti vašem SEO-u) ili da ubace zlonamerne linkove koji kvare reputaciju sajta. Osnovne mere, po redosledu jednostavnosti:
- Akismet – zvanični antispam plugin, besplatan za lične blogove. Filtrira komentare pre nego što dođu do vas; spam ide u zaseban folder.
- reCAPTCHA na komentaru – WPForms ili poseban plugin za reCAPTCHA dodaje mini proveru „nisam robot“ pre slanja komentara.
- Pravila komentara – u Podešavanjima → Diskusija uklonite opciju „Drži komentare na čekanju posle prvog odobrenog“ – automatski smanjuje spam za trećinu.
- Zatvaranje starih tema – komentare na člancima starijim od 30–60 dana možete zatvoriti (plugin ili kod); botovi ciljaju upravo stare, mirne stranice.
Ako prikupljate podatke posetioca kroz komentare ili forme, ne zaboravite da je i tu zakonska obaveza – šta politika privatnosti mora da pokrije, objašnjeno je u tekstu politika privatnosti i kolačići za blog.
Ako već imate nagomilan spam (stari blogovi često imaju hiljade komentara-linkova), plugin za brisanje spama (npr. Trash Comments ili isti Akismet uz ručno čišćenje) obriše ih u serijama – to je ujedno i SEO čišćenje, jer ti komentari stvaraju stotine besmislenih izlaznih linkova sa vašeg domena.
5. Redovna ažuriranja (bez izuzetaka)
Većina napada na WordPress ne cilja vaš sajt – cilja ranu koju je neko drugi već prijavio javno. Kad izađe verzija WordPress-a, teme ili plugin-a koja zakrpi poznatu rupu, za nekoliko dana počinje masovno skeniranje svih sajtova sa starom verzijom. Zato je ažuriranje „kasni mesec dana“ zapravo otvorena vrata mesec dana.
- WordPress core – uključite automatska manja ažuriranja (podrazumevana su uključena za zakrpe); veća proveravajte nedeljno.
- Plugin-i i tema – provera preko wp-admin panela, nedeljno; prvo backup pa onda update.
- Napušteni plugin-i – ako plugin nema ažuriranja više od godinu dana, nađite zamenu; nepodržavan softver je najčešći ulaz za napad.
Pravilo koje važi uvek: backup pre ažuriranja. Ako update pokvari nešto (retko, ali se dešava), povratak iz kopije traje deset minuta; procedura je u našem vodiču za backup WordPress sajta. Takođe, za veća ažuriranja proverite šta piše u changelog-u (listi promena) – ponekad nova verzija traži ručni korak ili je poznata po trzavicama prvih dana, pa je pametnije sačekati zakrpu.
Gde hosting utiče na zaštitu
Deo zaštite je i izbor same osnove na kojoj sajt stoji: hosting sa firewall-om na nivou servera, PHP verzijama koje se redovno ažuriraju i ograničenjima resursa (da DDoS ne sruši sajt odjednom) znatno smanjuje posao plugin-ovima. Ako tek birate gde ćete, proverite šta dobijate shared a šta VPS hostingom – poređenje je u tekstu razlika između VPS-a i shared hostinga, a instalaciju WordPress-a na različite tipove hostinga pokriva vodič kako instalirati WordPress na VPS ili shared hosting.
Vredi pomenuti i alternativu: ako vam je sve ovo previše održavanja, SaaS platforme (SajtBuilder i slične) nose bezbednost kao deo paketa – upoređivanje pristupa i šta tačno dobijate kojim putem je u tekstu platforme za izradu sajta bez muke. Cena je manja kontrola i manja prenosivost; za blog koji planirate da gradite godinama, WordPress uz ove mere ostaje bolji izbor.
Šta ako je sajt već hakovan?
Simptomi: pregledač prikazuje upozorenje „This site may be hacked“, Google u Search Console-u prijavljuje malware, pojavljuju se neobični korisnici ili preusmerenja na nepoznate adrese. Postupak: (1) stavite sajt u „maintenance“ režim ili isključite ga, (2) vratite poslednji čist backup (ili ga stavite na lokalni WordPress da analizirate), (3) promenite sve lozinke – admin, FTP, baza, email hostinga, (4) ažurirajte sve i tek onda vratite online. Većina hakovanja na kojima je ovaj redosled ispoštovan završi se kao trošak popodneva, a ne nedelje.
Posle povratka, proverite i dve stvarčice koje se često zaborave: Search Console (zatražite pregled sajta posle čišćenja – Google tada ponovo proverava i skida oznaku) i spoljne linkove koje je haker možda dodao (u odeljku Linkovi u Search Console-u). Ako se scenarij ponovi kroz par meseci, uzrok najčešće nije u WordPress-u nego u staroj temi ili plugin-u koji i dalje stoji na sajtu – tada je vreme za temeljniju zamenu.
Česta pitanja
Da li mi treba plaćeni security plugin?
Ne za osnovne mere. Wordfence besplatna verzija pokriva firewall, skeniranje i 2FA. Plaćeni nivoi dodaju napredno skeniranje, blokiranje po zemljama i prioritetnu podršku – korisno za saobraćajnije ili komercijalne sajtove, ne i za blog sa par stotina poseta dnevno.
Da li hosting radi ovo umesto mene?
Dobri hostingi rade deo posla: firewall na nivou servera, izolacija naloga, redovne PHP zakrpe. Ali nalog admina, lozinke, 2FA i ažuriranja aplikativnog sloja (WordPress, teme, plugin-i) ostaju vaša odgovornost – jer se napad najčešće dešava upravo tu, u delu koji hosting ne vidi.
Koliko često treba proveravati da li je sve ažurno?
Nedeljno, deset minuta: wp-admin panel prikazuje obaveštenja o dostupnim ažuriranjima – backup, update svega, provera tri stranice. Ako ne možete nedeljno, barem uključite automatska manja ažuriranja core-a i pratite email obaveštenja; ali potpuni „nemoj dirati“ pristup je najskuplji na duge staze.
Zaključak
Zaštita nije jedan veliki alat, nego pet vrlo dosadnih navika: generisana lozinka u menadžeru, 2FA na nalogu, plugin koji broji pokušaje logina, antispam na komentarima i redovno ažuriranje uz backup. Zajedno zauzmu prvih sat vremena i pet minuta nedeljno – i eliminšu preko 90% svega što se botovima „automatski“ dešava na ovom internetu.