WordPress sigurnost 2026: kompletan vodič

WordPress sigurnost nije jedan plugin, jedno firewall pravilo ili jedan CDN prekidač. Dobar pristup je slojevita zaštita: ažuriran WordPress, teme i pluginovi, ograničen broj privilegovanih naloga, jaka autentikacija, pouzdan backup i restore, pravilno podešen server, praćenje logova i po potrebi zaštita na nivou WordPress-a i mrežnog edge-a.

Zvanični WordPress hardening vodič naglašava da sigurnost znači smanjenje rizika, ne njegovo potpuno uklanjanje. Zato cilj nije da instalirate što više „security“ dodataka, već da smanjite površinu napada i imate proverljiv plan oporavka ako nešto ipak pođe po zlu.

1. Ažurirajte WordPress, pluginove i temu

Najvažniji osnovni korak je redovno ažuriranje. WordPress core, aktivna tema i pluginovi treba da budu na podržanim verzijama. Pluginove i teme koje ne koristite obrišite, a ne samo deaktivirajte. Instalirajte ih iz pouzdanih izvora i izbegavajte „nulled“ pakete, jer mogu sadržati zlonamerni kod ili skrivene backdoor-e.

Ako tek postavljate sajt, pogledajte i naš vodič Kako instalirati WordPress: kompletan vodič za početnike. Bezbednost je lakša kada je početna instalacija uredna i kada kasnije nema nepotrebnih dodataka.

2. Korisnički nalozi i najmanje privilegije

Administrator nalog koristite samo za administrativne zadatke. Za svakodnevno pisanje članaka koristite Editor ili Author nalog sa manjim privilegijama. Nemojte deliti jedan administratorski nalog između više ljudi i nemojte koristiti lako pogodivo korisničko ime kao jedinu „zaštitu“.

Administrator: samo osobama kojima zaista treba potpuna kontrola.
Editor/Author: za uređivanje i pisanje sadržaja.
Subscriber: za korisnike kojima nije potreban pristup uređivanju sajta.

3. Jaka autentikacija i 2FA

Za privilegovane naloge koristite duge, jedinstvene lozinke generisane password managerom i uključite autentikaciju u dva koraka. WordPress hardening dokumentacija eksplicitno preporučuje dodatni drugi faktor kao meru koja smanjuje rizik od kompromitovanja lozinke.

Nemojte ponavljati istu administratorsku lozinku na hostingu, WordPress-u, Cloudflare-u, email-u i drugim servisima. Ako jedna usluga bude kompromitovana, ponovljena lozinka pretvara jedan incident u lanac problema.

4. Backup koji ste zaista testirali

Backup nije samo ZIP koji negde postoji. Potreban vam je raspored, više generacija kopija i najmanje jedna kopija van produkcionog servera. Backup mora da obuhvati bazu i fajlove koji su vam potrebni za potpun restore. Povremeno proverite da li se kopija stvarno može vratiti na testno okruženje.

WordPress dokumentacija naglašava važnost redovnih snapshot-a i plana oporavka. Ako kompromitaciju primetite tek nekoliko dana kasnije, jedna jedina najnovija kopija možda već sadrži problem. Zato ima smisla čuvati više tačaka u vremenu.

5. Wordfence: koristan sloj, ne cela strategija

Wordfence može pružiti application-level firewall, skeniranje fajlova, brute-force zaštitu i 2FA. To može biti koristan sloj, ali ne treba ga predstavljati kao zamenu za ažuriranja, backup, pravilne privilegije ili server security. Ako koristite neki drugi kvalitetan security stack, nije cilj da dodajete više pluginova koji rade istu stvar i povećavaju složenost.

6. Cloudflare i pravi IP posetioca

Kada je Cloudflare proxy ispred WordPress-a, važno je da WordPress/security plugin ispravno prepoznaje originalnu IP adresu posetioca. Wordfence dokumentuje opciju CF-Connecting-IP za konfiguracije u kojima Cloudflare šalje pravi visitor IP preko tog headera.

Nemojte nasumično uključivati alternativne IP headere ako server nije iza odgovarajućeg proxy-ja, jer pogrešna konfiguracija može omogućiti spoofing IP adrese. Izbor mora odgovarati vašem stvarnom reverse-proxy/server setup-u.

7. Cloudflare Bot Fight Mode ima važna ograničenja

Cloudflare Bot Fight Mode može pomoći protiv dela automatizovanog saobraćaja, ali nije precizan per-path firewall alat. Cloudflare trenutno dokumentuje da se Bot Fight Mode ne može preskočiti ili zaobići WAF custom pravilom ili Page Rule-om, jer radi u odvojenom pipeline-u.

To znači da ga ne treba uključivati bez praćenja ako imate legitimne botove, API klijente, webhook-ove ili automatizacije koje mogu biti pogođene. Ako vam trebaju granularni izuzeci za bot pravila, Cloudflare upućuje na proizvode i režime koji podržavaju Skip pravila, umesto da se pretpostavi da običan Allow ili Page Rule rešava Bot Fight Mode.

8. wp-login.php i xmlrpc.php: ne blokirajte naslepo

wp-login.php možete dodatno zaštititi rate limitingom, challenge pravilima, 2FA-om ili pristupnim kontrolama koje odgovaraju vašem načinu rada. Potpuna blokada po državi ili jednoj statičnoj IP adresi nije univerzalno rešenje: može zaključati legitimne urednike, mobilne korisnike i administratore sa promenljivim IP adresama.

xmlrpc.php je česta meta automatizovanih pokušaja, ali ga nemojte blokirati ako ga koriste aplikacije, Jetpack ili neka integracija. Ako ste proverili da vam nije potreban, ograničenje može smanjiti nepotrebnu površinu napada. Uvek proverite funkcionalnost posle promene.

9. Server, fajlovi i administrativni pristup

WordPress sigurnost zavisi i od servera. Koristite podržane verzije PHP-a, baze i web servera, zatvorite nepotrebne servise, koristite SSH ključeve gde je moguće i ograničite pristup administraciji. WordPress preporučuje restriktivne file permissions i upozorava da plugin/theme fajlovi ne treba da budu nepotrebno upisivi.

Za remote pristup je često bezbednije koristiti VPN, privatnu mrežu ili kontrolisani tunnel nego izlagati administrativne portove direktno internetu. Ako vas zanima ovaj model, pogledajte naš vodič za Cloudflare Tunnel na serveru.

10. Monitoring i plan za incident

Pratite neuspešne prijave, promene administratora, neočekivane pluginove, promene core fajlova, čudne cron zadatke i skokove saobraćaja. Ako sumnjate na kompromitaciju, nemojte samo obrisati jedan sumnjiv fajl i nastaviti. Potrebno je promeniti kompromitovane kredencijale, proveriti korisnike i persistenciju, očistiti ili obnoviti sa poznate dobre kopije i otkriti ulaznu tačku.

Praktična check lista

Ažurirajte WordPress, temu i pluginove.
Obrišite neaktivne dodatke i teme koje ne koristite.
Smanjite broj administratora i koristite zasebne uredničke naloge.
Uključite 2FA za privilegovane naloge.
Napravite automatski off-site backup i testirajte restore.
Proverite da Cloudflare/reverse proxy i Wordfence vide ispravnu client IP adresu.
WAF i bot zaštitu uvodite uz logove i proveru legitimnog saobraćaja.
Ograničite nepotrebne servise, file permissions i administrativni pristup.
Pratite logove i imajte dokumentovan plan oporavka.

Zvanični izvori

Poslednja provera: 20. septembar 2026. Sigurnosne funkcije servisa i pluginova se menjaju, zato pre primene konkretnih firewall ili bot pravila proverite aktuelnu dokumentaciju i testirajte promenu na svom stack-u.