Bezpieczeństwo strony to nie jeden przełącznik, tylko kilka warstw, które razem dają solidną ochronę. Wszystkie włączysz sam w panelu jdm.pl, bez wtyczek i bez znajomości serwera. Ta checklista prowadzi Cię przez nie po kolei, od podstaw do dodatkowych zabezpieczeń.
1. Włącz certyfikat SSL
To fundament. Bez HTTPS dane między odwiedzającym a stroną (w tym hasła i dane z formularzy) lecą otwartym tekstem. Certyfikat od Let's Encrypt jest darmowy i włączysz go w zakładce SSL przyciskiem Generuj SSL. Potem włącz Przekierowanie na HTTPS w zakładce Domeny, żeby cały ruch szedł po https.
2. Ustaw Firewall 8G
Większość ustawień ochrony znajdziesz w jednej zakładce.
- Zaloguj się do panel.jdm.pl → Hosting → przy stronie kliknij Szczegóły → zakładka Bezpieczeństwo.
- Na karcie Firewall wybierz 8G Firewall (zalecane) i kliknij Zapisz Firewall. Filtr odsiewa znane wektory ataku (skanery, SQL injection, XSS) na poziomie serwera, zanim żądanie dotrze do WordPressa.
3. Włącz JDM Shield na logowaniu
Karta JDM Shield chroni stronę logowania przed atakami brute-force i ruchem botów. Dla większości stron ustaw Ochrona wp-login / wp-admin na tryb JS Challenge (wymaga weryfikacji JavaScript). Prawdziwi użytkownicy przechodzą niezauważalnie, a boty odpadają.
JS Challenge działa wyłącznie przez HTTPS. Najpierw włącz certyfikat SSL (Krok 1), inaczej ustawienia zapiszą się, ale zaczną działać dopiero po uruchomieniu SSL.
4. Zablokuj najczęściej atakowane ścieżki (Ochrona WordPress)
Karta Ochrona WordPress pozwala jednym kliknięciem odciąć ścieżki, które boty atakują najczęściej. Bezpieczny zestaw startowy: XMLRPC, Trackback, Links OPML, Wykonywanie plików w /uploads i load-scripts.php / load-styles.php. Blokadę WP-JSON (REST API) włączaj świadomie, bo może wyłączyć formularze korzystające z REST API. Po zmianach kliknij Zapisz ochronę WordPress.
5. Dołóż Basic Auth, gdy trzeba
Jeśli strona jest w budowie albo chcesz dodać drugą warstwę hasła przed zapleczem, użyj karty Basic Auth. Tryb WP (tylko wp-admin / wp-login.php) chroni hasłem samo zaplecze, a ON (cała strona) ukrywa całą stronę na czas prac. Hasło wygenerujesz przyciskiem Generuj.
6. Zabezpiecz swoje konto (2FA)
Ochrona strony nie ma sensu, jeśli ktoś przejmie dostęp do Twojego konta w panelu. Włącz weryfikację dwuetapową (2FA) w sekcji konta Wer. dwuetapowa (2FA): najpewniejsza jest aplikacja z kodami (np. Google Authenticator). Zadbaj też o silne, unikalne hasło do panelu.
7. Włącz automatyczne aktualizacje
Nieaktualny WordPress, wtyczki i motywy to najczęstsza droga włamania. W zakładce WordPress ustaw Automatyczne aktualizacje WordPress (co najmniej aktualizacje bezpieczeństwa) i włącz auto-update dla wtyczek, którym ufasz. Dzięki temu łatki instalują się bez Twojego udziału.
8. Miej aktualne kopie zapasowe
Nawet najlepsza ochrona nie daje 100% gwarancji, dlatego kopia to Twój plan B. Twoja strona ma automatyczną nocną kopię (retencja 30 dni), a przed każdą większą zmianą możesz zrobić własny snapshot w zakładce Snapshot.
Każdy z tych kroków działa niezależnie, więc możesz włączać je stopniowo. Im więcej warstw masz aktywnych, tym trudniej zaatakować Twoją stronę, a żaden z nich nie wymaga instalowania wtyczek bezpieczeństwa.
Najczęstsze problemy
Czy potrzebuję wtyczki bezpieczeństwa typu Wordfence?
Nie. Firewall, JDM Shield i Ochrona WordPress robią to samo na poziomie serwera, czyli szybciej i bez obciążania strony. Wtyczki security działające jako firewall w PHP są u nas niezalecane, bo dublują te funkcje.
Od czego zacząć, jeśli mam mało czasu?
Zrób Kroki 1–3 (SSL, Firewall 8G, JDM Shield) i włącz 2FA na koncie (Krok 6). To daje największą ochronę najmniejszym nakładem.
Włączyłem wszystko i coś na stronie przestało działać.
Sprawdź, która warstwa to spowodowała. Najczęściej to blokada WP-JSON (formularze) albo tryb Pełna blokada w JDM Shield. Wyłącz pojedynczo i przetestuj. W razie wątpliwości napisz przez Zgłoszenia (BOK).