תום שבתאי
- רוב הפריצות לוורדפרס לא מגיעות מהליבה אלא מתוספים ותבניות שלא עודכנו.
- שלוש פעולות מונעות את רוב הנזק: עדכונים שוטפים, אימות דו-שלבי למנהלים, וגיבוי אוטומטי מחוץ לשרת.
- גיבוי ששמור על אותו שרת כמו האתר אינו גיבוי — פורץ שמגיע לשרת מוחק את שניהם.
- אם האתר אוסף פרטי לקוחות, אבטחה היא גם חובה חוקית לפי חוק הגנת הפרטיות, לא רק עניין טכני.
אבטחת אתרי וורדפרס היא מערך של הגדרות, עדכונים וגיבויים שמטרתו למנוע גישה לא מורשית לאתר ולאפשר שחזור מהיר אם בכל זאת קרתה. שתי המטרות האלה שוות בחשיבותן: אין הגנה מוחלטת, ולכן מדד האבטחה האמיתי הוא כמה זמן לוקח לחזור לאוויר.
וורדפרס מפעילה כ-43% מכל האתרים ברשת על פי סקר W3Techs (2026). הנתח הזה הוא גם הסיבה שהיא יעד מועדף לסריקות אוטומטיות: בוטים סורקים רשת בחיפוש אחר גרסאות ישנות של תוספים נפוצים — לא אחר האתר שלכם בפרט.
מאיפה באמת מגיעות הפריצות?
ליבת וורדפרס עצמה מתוחזקת היטב ומקבלת עדכוני אבטחה אוטומטיים. לפי דוחות אבטחה שנתיים בתעשייה, ובהם של Patchstack, הרוב המוחלט של הפגיעויות המדווחות מקורן בתוספים ובתבניות צד-שלישי. זו הסיבה שהמשפט "האתר שלי מעודכן" חייב לכלול גם את התוספים, ולא רק את הליבה.
נקודה שנוטים לפספס: תוסף שנזנח על ידי המפתח שלו מסוכן יותר מתוסף מיושן, כי לעולם לא יקבל תיקון. כדאי לעבור פעם ברבעון על רשימת התוספים ולבדוק מתי כל אחד עודכן לאחרונה.
מה לעשות קודם? סדר עדיפויות מעשי
לא כל אמצעי האבטחה שווים. הטבלה מדרגת לפי יחס הגנה-למאמץ:
למה גיבוי על אותו שרת אינו גיבוי?
זו הטעות היקרה ביותר שרואים בפועל. רוב חברות האחסון מציעות גיבוי יומי, אבל הוא נשמר על אותה תשתית. כשתוקף כופר מצפין את השרת או כשחשבון האחסון נסגר, הגיבוי נעלם איתו. הכלל הפשוט: לפחות עותק אחד צריך לשבת אצל ספק אחר לגמרי.
מבחן שכדאי לעשות פעם בשנה: לנסות לשחזר את הגיבוי לסביבת בדיקה. גיבוי שמעולם לא נוסה הוא הנחה, לא תוכנית.
מה צריך לעשות אחרת כשהאתר אוסף פרטי לקוחות?
ברגע שהאתר שלכם שומר שמות, טלפונים, כתובות או פרטי תשלום, הוא מנהל מאגר מידע וחלות עליו חובות לפי חוק הגנת הפרטיות. תיקון 13 לחוק, שנכנס לתוקף באוגוסט 2025, החמיר משמעותית את סמכויות האכיפה — הפרטים מתפרסמים באתר הרשות להגנת הפרטיות.
שלושה דברים מעשיים במקרה זה: להצפין את התעבורה ב-HTTPS בכל האתר, לא לשמור פרטי אשראי באתר אלא להעביר לסליקת אשראי מוכרת, ולמחוק באופן קבוע פניות ישנות מטפסי היצירת-קשר. מידע שלא שמרתם הוא מידע שלא יכול לדלוף. בבניית חנות אינטרנטית זה הופך לקריטי עוד יותר.
איך מזהים שהאתר נפרץ?
פריצה לא תמיד נראית כמו אתר מושחת. רוב התוקפים מעדיפים להישאר בשקט. סימנים מוקדמים:
- משתמש מנהל חדש שלא אתם יצרתם.
- עמודים או קישורים בשפות זרות שמופיעים בתוצאות החיפוש של האתר.
- התראה ב-Search Console על תוכן מזיק או על עמודים שלא הכרתם.
- אטיות פתאומית או עלייה חדה בצריכת משאבי השרת.
- קבצים חדשים בתיקיות uploads עם סיומת php.
שאלות נפוצות
האם צריך תוסף אבטחה בתשלום?
לא בהכרח. לאתר תדמית רגיל, עדכונים + אימות דו-שלבי + גיבוי חיצוני נותנים את רוב ההגנה. לחנויות ואתרים עם מידע רגיש — כן, שווה את העלות.
כל כמה זמן לעדכן?
עדכוני אבטחה — מיד. עדכוני תכונות — פעם בשבועיים, אחרי גיבוי. עדכון אוטומטי מלא בלי בדיקה עלול לשבור עיצוב — אבל הוא עדיף על אי-עדכון.
מה עושים מיד אחרי פריצה?
מורידים את האתר למצב תחזוקה, מחליפים את כל הסיסמאות (כולל אחסון ו-FTP), משחזרים מגיבוי שקודם לפריצה, ורק אז מחפשים את נקודת הכניסה. שחזור בלי לסגור את הפרצה מוביל לפריצה חוזרת.
האם אבטחה משפיעה על הדירוג בגוגל?
בעקיפין — מאוד. HTTPS הוא אות דירוג קל, אבל אתר שנפרץ נובל לאזהרה בדפדפן, להסרה מהאינדקס ולאובדן דירוגים שנבנו במשך שנים.
סיכום
- הסיכון העיקרי הוא תוספים ותבניות לא מעודכנים — לא הליבה.
- עדכונים + אימות דו-שלבי + גיבוי חיצוני = רוב ההגנה במאמץ נמוך.
- גיבוי חייב לשבת אצל ספק אחר, ולהיבדק פעם בשנה בשחזור אמיתי.
- אתר שאוסף פרטי לקוחות כפוף לחוק הגנת הפרטיות — אל תשמרו מה שאין צורך.
- הכירו את סימני האזהרה — רוב הפריצות שקטות ומתגלות מאוחר מדי.
מי אחראי על האבטחה אחרי שהאתר עולה לאוויר?
רוב החולשות שמתגלות באתרי וורדפרס נמצאות בתוספים ובתבניות, ולכן אבטחה היא עבודה שוטפת ולא הגדרה חד-פעמית. מישהו צריך לעדכן את הליבה והתוספים, לבדוק שהגיבויים באמת משתחזרים ולעקוב אחרי זמינות ומהירות, כל חודש.
אם אין לכם זמן לעשות את זה בעצמכם, שירות תחזוקת אתרים מכסה עדכונים, גיבויים, ניטור ותיקון תקלות במחיר חודשי קבוע. אתרים שעוברים אצלנו בניית אתרים מקבלים את זה כהמשך טבעי.
