אבטחת אתר WordPress היא אחת הנושאים שבעלי עסקים נוטים להתעלם ממנו — עד שאתר נפרץ. ואז מגלים שהנזק לא רק טכני: דירוג גוגל צונח, לקוחות מאבדים אמון, ועלויות השחזור גבוהות בהרבה מעלויות המניעה. WordPress מפעילה 43% מכלל האתרים בעולם — ולכן היא גם מטרה #1 לתקיפות. המדריך הזה יסביר מה צריך לעשות כדי לשמור על האתר שלכם מאובטח.
למה אתרי WordPress מותקפים — והמיתוס של “אבל אני עסק קטן”
הטענה הנפוצה: “מי ירצה לפרוץ לאתר שלי? אני עסק קטן, אין לי מה לגנוב.” זה שגוי לחלוטין. רוב ההתקפות על אתרי WordPress הן אוטומטיות — בוטים שסורקים את האינטרנט ומחפשים גרסאות ישנות של תוספים, סיסמאות חלשות ופרצות ידועות. גודל העסק לא רלוונטי.
מה הם עושים אחרי שנכנסים? שולחים ספאם מהדומיין שלכם (עד שגוגל מוריד אתכם מהאינדקס), מכניסים malware שגונב נתוני לקוחות, או מוסיפים links נסתרים לאתרים מפוקפקים שפוגעים בדירוג שלכם.
10 צעדים לאבטחת אתר WordPress — רשימת חובה
- עדכנו הכל — תמיד: WordPress, תוספים, ערכת נושא. גרסאות ישנות = פרצות ידועות. הפעילו עדכונים אוטומטיים לפחות לעדכוני אבטחה.
- סיסמאות חזקות ו-2FA: סיסמת admin חלשה (“admin123”) היא הסיבה #1 לפריצות. השתמשו בסיסמה ארוכה ומורכבת (16+ תווים) ומפעילים Two-Factor Authentication.
- שנו את שם המשתמש מ-“admin”: הבוטים מנסים קודם כל “admin”. אם שם המשתמש שלכם שונה — כבר חסמתם אחוז גדול מהתקיפות.
- הגבילו ניסיונות כניסה (Login Attempts): תוסף כמו Limit Login Attempts Reloaded חוסם IP לאחר מספר ניסיונות כושלים. חינם ואפקטיבי.
- התקינו תוסף אבטחה: Wordfence (חינם+פרמיום) או Solid Security — סורקים malware, חוסמים IP חשוד, ומתריעים על שינויים בקבצים.
- גיבוי אוטומטי יומי: UpdraftPlus שולח גיבוי יומי ל-Google Drive או Dropbox. אם אתר נפרץ — שחזור של 5 דקות. בלי גיבוי — לפעמים הכל אבוד.
- HTTPS (SSL) — חובה: כולל אחסון שמציע SSL חינמי (Let’s Encrypt). אתר ללא HTTPS — גוגל מסמן אותו כ-“לא מאובטח”.
- הסירו תוספים לא פעילים: תוסף מושבת אבל מותקן עדיין יכול להוות פרצה. אם לא משתמשים — מחקו.
- שנו את ה-Login URL: ברירת המחדל של WordPress: /wp-admin. כולם יודעים את זה. שנו ל-URL אחר עם תוסף כמו WPS Hide Login.
- הגדירו HTTP Security Headers: X-Frame-Options, Content-Security-Policy, X-XSS-Protection — Headers שמגינים על הדפדפן של המבקרים. ניתן להגדיר דרך Cloudflare או .htaccess.
מה עושים אם האתר כבר נפרץ?
אל תיכנסו לפאניקה — יש פרוטוקול ברור:
- בדקו את הגיבוי האחרון: מתי הוא? לפני הפריצה? שחזרו ממנו.
- סרקו עם Wordfence: הוא יזהה ויציג את כל הקבצים שנפגעו.
- שנו את כל הסיסמאות: WordPress, אחסון, דומיין, אימייל.
- עדכנו הכל לגרסאות האחרונות.
- בקשו הסרה מרשימות שחורות: Google Search Console ו-Google Safe Browsing מאפשרים לבקש בדיקה מחדש אחרי ניקוי.
אחסון מאובטח — הבסיס שמתחיל לפני WordPress
אבטחת אתר מתחילה בשרת. אחסון מנוהל איכותי (SiteGround, Kinsta, WP Engine) כולל: firewall ברמת שרת, סריקת malware אוטומטית, ובידוד בין חשבונות (אם אחד נפרץ — לא משפיע על האחרים). זה שווה את ההפרש בעלות לעומת אחסון זול.
לאחר שתאבטחו את האתר, כדאי לבדוק גם את ביצועי מהירות האתר — שניהם יחד (אבטחה + מהירות) הם הבסיס לאתר WordPress בריא. ולמידע על בניית אתר חדש ומאובטח מהיסוד, ראו שירותי בניית האתרים שלנו.
רוצים שנבצע אבטחת אתר WordPress מקיפה — כולל אודיט, תיקון פרצות והגדרת גיבויים אוטומטיים? צרו קשר — נשמח לעזור.
