„Cine să atace site-ul meu? Sunt o firmă mică.” E cea mai răspândită iluzie despre securitate. Cele mai multe atacuri nu sunt îndreptate împotriva cuiva anume: sunt programe care scanează automat milioane de site-uri, în căutarea unei parole slabe sau a unui modul neactualizat. Nu te aleg pe tine; găsesc o ușă deschisă.

Vestea bună e că majoritatea acestor uși se închid cu câteva obiceiuri simple. Unele țin de cel care îți administrează site-ul, altele chiar de tine.

De unde vin atacurile

Raportul Verizon din 2025, care analizează peste 12.000 de breșe de securitate confirmate, arată că cele mai frecvente puncte de intrare sunt datele de autentificare furate sau ghicite (22%) și vulnerabilitățile nereparate (20%). În plus, breșele în care e implicat un furnizor extern s-au dublat, ajungând la 30%1.

Cu alte cuvinte: parole, actualizări și furnizori. Exact lucrurile de mai jos.

1. Parole unice și autentificare în doi pași

  • o parolă diferită pentru fiecare cont. Când un site oarecare e spart, parolele furate sunt încercate automat peste tot. Dacă aceeași parolă deschide și panoul site-ului tău, ai pierdut;
  • un manager de parole, ca să nu fie nevoie să le ții minte;
  • autentificarea în doi pași peste tot unde se poate: panoul site-ului, găzduirea, domeniul, emailul. Un studiu Microsoft a estimat că reduce riscul de preluare a contului cu peste 99%, chiar și atunci când parola a fost deja furată2. O aplicație de autentificare e mai sigură decât un cod prin SMS.

2. Actualizări la timp

Când se descoperă o vulnerabilitate într-o platformă sau într-un modul popular, atacatorii o caută imediat pe toate site-urile. La vulnerabilitățile cele mai atacate din ecosistemul WordPress, exploatarea în masă începe, în medie, la câteva ore după ce devin publice3.

  • platforma, tema și modulele trebuie actualizate regulat, nu „când avem timp”;
  • șterge ce nu folosești: un modul dezactivat, dar încă instalat, poate fi tot o ușă deschisă;
  • serverul și versiunea limbajului de programare au și ele nevoie de actualizări.

3. Conturi și acces doar pentru cine are nevoie

  • fiecare om are contul lui; fără conturi comune;
  • fiecare are doar drepturile de care are nevoie: cine scrie articole nu trebuie să poată instala module;
  • când cineva pleacă din firmă sau o colaborare se încheie, accesul se închide în aceeași zi;
  • verifică din când în când lista de administratori. Un cont pe care nu-l recunoști e un semnal de alarmă.

4. Copii de siguranță care chiar funcționează

O copie de siguranță te salvează doar dacă există, e recentă și poate fi restaurată. O regulă simplă, folosită pe scară largă:

  • 3 copii ale datelor,
  • pe 2 suporturi diferite,
  • dintre care 1 în altă locație decât serverul.

Și, cel mai des uitat: testează restaurarea. O copie pe care n-ai încercat niciodată s-o pui înapoi e doar o speranță.

5. Atenție la furnizori și la integrări

Site-ul tău e legat de alte servicii: plăți, email, hărți, statistici, chat. Fiecare are un cont și chei de acces. Păstrează-le într-un loc sigur, nu în emailuri vechi, schimbă-le când pleacă cineva cu acces și renunță la serviciile pe care nu le mai folosești.

Semnele că site-ul a fost spart

  • Google afișează un avertisment lângă site în rezultatele căutării sau browserul arată o pagină roșie de avertizare;
  • Google Search Console îți semnalează o problemă de securitate4;
  • în Google apar pagini de pe site-ul tău pe care nu le-ai creat, adesea în altă limbă, cu reclame la produse contrafăcute;
  • vizitatorii care vin din Google sau de pe telefon sunt trimiși pe alte site-uri, deși tu, când intri direct, nu vezi nimic;
  • apar administratori sau fișiere pe care nu le recunoști;
  • serverul trimite spam, iar firma de găzduire îți suspendă contul;
  • site-ul devine brusc lent sau traficul crește fără motiv.

Verifică-ți site-ul în Search Console

Mulți proprietari află că au fost sparți abia de la clienți. Un site adăugat în Google Search Console primește alerte când Google detectează conținut spart sau programe periculoase.

Ce faci dacă ai fost spart

  1. Nu șterge totul în grabă. Fă întâi o copie a stării actuale: e nevoie de ea ca să afli ce s-a întâmplat.
  2. Schimbă parolele pentru panoul site-ului, găzduire, baza de date, emailul și domeniu, cu autentificare în doi pași.
  3. Anunță-l pe cel care îți administrează site-ul sau firma de găzduire.
  4. Curăță și, mai ales, închide ușa. Dacă nu se găsește cauza, site-ul va fi spart din nou, de obicei în câteva zile.
  5. Cere Google o reverificare din Search Console, după curățare.
  6. Dacă au fost afectate date personale, potrivit GDPR, incidentul trebuie notificat Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în cel mult 72 de ore de la momentul în care ai aflat de el, cu excepția cazului în care e puțin probabil să existe un risc pentru persoanele vizate5. Dacă riscul e mare, trebuie informate și persoanele afectate.

Cum te putem ajuta

Pentru site-urile pe care le întreținem, ne ocupăm de actualizări, copii de siguranță testate, monitorizare și acces securizat. Pentru celelalte, facem un audit de securitate: îți spunem ce riscuri ai, ce e urgent și ce se poate rezolva repede.

Cere un audit de securitate

  1. Verizon, 2025 Data Breach Investigations Report. ↩

  2. Meyer și alții, How effective is multifactor authentication at deterring cyberattacks?, Microsoft, 2023: o reducere estimată a riscului de 99,22% în general și de 98,56% pentru conturile cu parole deja furate. ↩

  3. Patchstack, State of WordPress Security in 2026. ↩

  4. Google, Security issues report. ↩

  5. Regulamentul (UE) 2016/679 (GDPR), articolele 33 și 34; ANSPDCP. ↩

Imaginea de copertă: Estormiz, Wikimedia Commons (CC0)