# Securitatea site-ului tău: ce poți face chiar tu

> Cele mai multe atacuri sunt automate și nu aleg victimele. Cinci obiceiuri care îți protejează site-ul, semnele că ai fost spart și ce faci atunci.

Simplix · securitate, site-uri, mentenanta

„Cine să atace site-ul meu? Sunt o firmă mică.” E cea mai răspândită iluzie despre securitate. Cele mai multe atacuri nu sunt îndreptate împotriva cuiva anume: sunt programe care scanează automat milioane de site-uri, în căutarea unei parole slabe sau a unui modul neactualizat. Nu te aleg pe tine; găsesc o ușă deschisă.

Vestea bună e că majoritatea acestor uși se închid cu câteva obiceiuri simple. Unele țin de cel care îți administrează site-ul, altele chiar de tine.

## De unde vin atacurile

Raportul Verizon din 2025, care analizează peste 12.000 de breșe de securitate confirmate, arată că cele mai frecvente puncte de intrare sunt **datele de autentificare furate sau ghicite** (22%) și **vulnerabilitățile nereparate** (20%). În plus, breșele în care e implicat un furnizor extern s-au dublat, ajungând la 30%[^1].

Cu alte cuvinte: parole, actualizări și furnizori. Exact lucrurile de mai jos.

## 1. Parole unice și autentificare în doi pași

- **o parolă diferită pentru fiecare cont.** Când un site oarecare e spart, parolele furate sunt încercate automat peste tot. Dacă aceeași parolă deschide și panoul site-ului tău, ai pierdut;
- **un manager de parole**, ca să nu fie nevoie să le ții minte;
- **autentificarea în doi pași** peste tot unde se poate: panoul site-ului, găzduirea, domeniul, emailul. Un studiu Microsoft a estimat că reduce riscul de preluare a contului cu peste 99%, chiar și atunci când parola a fost deja furată[^2]. O aplicație de autentificare e mai sigură decât un cod prin SMS.

## 2. Actualizări la timp

Când se descoperă o vulnerabilitate într-o platformă sau într-un modul popular, atacatorii o caută imediat pe toate site-urile. La vulnerabilitățile cele mai atacate din ecosistemul WordPress, exploatarea în masă începe, în medie, la câteva ore după ce devin publice[^3].

- platforma, tema și modulele trebuie actualizate regulat, nu „când avem timp”;
- **șterge ce nu folosești:** un modul dezactivat, dar încă instalat, poate fi tot o ușă deschisă;
- serverul și versiunea limbajului de programare au și ele nevoie de actualizări.

## 3. Conturi și acces doar pentru cine are nevoie

- fiecare om are contul lui; fără conturi comune;
- fiecare are doar drepturile de care are nevoie: cine scrie articole nu trebuie să poată instala module;
- când cineva pleacă din firmă sau o colaborare se încheie, **accesul se închide în aceeași zi**;
- verifică din când în când lista de administratori. Un cont pe care nu-l recunoști e un semnal de alarmă.

## 4. Copii de siguranță care chiar funcționează

O copie de siguranță te salvează doar dacă există, e recentă și poate fi restaurată. O regulă simplă, folosită pe scară largă:

- **3 copii** ale datelor,
- pe **2 suporturi** diferite,
- dintre care **1 în altă locație** decât serverul.

Și, cel mai des uitat: **testează restaurarea.** O copie pe care n-ai încercat niciodată s-o pui înapoi e doar o speranță.

## 5. Atenție la furnizori și la integrări

Site-ul tău e legat de alte servicii: plăți, email, hărți, statistici, chat. Fiecare are un cont și chei de acces. Păstrează-le într-un loc sigur, nu în emailuri vechi, schimbă-le când pleacă cineva cu acces și renunță la serviciile pe care nu le mai folosești.

## Semnele că site-ul a fost spart

- Google afișează un avertisment lângă site în rezultatele căutării sau browserul arată o pagină roșie de avertizare;
- Google Search Console îți semnalează o problemă de securitate[^4];
- în Google apar pagini de pe site-ul tău pe care nu le-ai creat, adesea în altă limbă, cu reclame la produse contrafăcute;
- vizitatorii care vin din Google sau de pe telefon sunt trimiși pe alte site-uri, deși tu, când intri direct, nu vezi nimic;
- apar administratori sau fișiere pe care nu le recunoști;
- serverul trimite spam, iar firma de găzduire îți suspendă contul;
- site-ul devine brusc lent sau traficul crește fără motiv.

> **Verifică-ți site-ul în Search Console**
>
> Mulți proprietari află că au fost sparți abia de la clienți. Un site adăugat în Google Search Console primește alerte când Google detectează conținut spart sau programe periculoase.

## Ce faci dacă ai fost spart

1. **Nu șterge totul în grabă.** Fă întâi o copie a stării actuale: e nevoie de ea ca să afli ce s-a întâmplat.
2. **Schimbă parolele** pentru panoul site-ului, găzduire, baza de date, emailul și domeniu, cu autentificare în doi pași.
3. **Anunță-l pe cel care îți administrează site-ul** sau firma de găzduire.
4. **Curăță și, mai ales, închide ușa.** Dacă nu se găsește cauza, site-ul va fi spart din nou, de obicei în câteva zile.
5. **Cere Google o reverificare** din Search Console, după curățare.
6. **Dacă au fost afectate date personale**, potrivit GDPR, incidentul trebuie notificat Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în cel mult 72 de ore de la momentul în care ai aflat de el, cu excepția cazului în care e puțin probabil să existe un risc pentru persoanele vizate[^5]. Dacă riscul e mare, trebuie informate și persoanele afectate.

## Cum te putem ajuta

Pentru site-urile pe care le întreținem, ne ocupăm de actualizări, copii de siguranță testate, monitorizare și acces securizat. Pentru celelalte, facem un audit de securitate: îți spunem ce riscuri ai, ce e urgent și ce se poate rezolva repede.

[Cere un audit de securitate](https://www.simplix.ro/servicii/consultanta-it-si-infrastructura/)

[^1]: Verizon, [2025 Data Breach Investigations Report](https://www.verizon.com/about/news/2025-data-breach-investigations-report).
[^2]: Meyer și alții, [How effective is multifactor authentication at deterring cyberattacks?](https://arxiv.org/abs/2305.00945), Microsoft, 2023: o reducere estimată a riscului de 99,22% în general și de 98,56% pentru conturile cu parole deja furate.
[^3]: Patchstack, [State of WordPress Security in 2026](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/).
[^4]: Google, [Security issues report](https://support.google.com/webmasters/answer/9044101).
[^5]: [Regulamentul (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=ro), articolele 33 și 34; [ANSPDCP](https://www.dataprotection.ro/).