Przewodnik po bezpieczeństwie WordPress 2026: Chroń swoją stronę przed zagrożeniami

Dlaczego bezpieczeństwo WordPressa ma większe znaczenie niż kiedykolwiek w 2026 roku

WordPress napędza ponad 43% wszystkich stron internetowych w internecie, co czyni go największym celem cyberataków. W samym 2025 roku badacze bezpieczeństwa udokumentowali ponad 5 800 luk w zabezpieczeniach w wtyczkach, motywach i oprogramowaniu rdzeniowym WordPressa. Średni koszt naruszenia bezpieczeństwa strony internetowej dla małych firm przekracza obecnie 25 000 dolarów, gdy uwzględni się przestoje, utratę danych, uszkodzenie reputacji i koszty odzyskiwania.

Dobrą wiadomością jest to, że zdecydowana większość ataków na WordPressa jest zautomatyzowana i oportunistyczna. Celem są znane luki w zabezpieczeniach, słabe hasła i źle skonfigurowane instalacje. Stosując systematyczne podejście do bezpieczeństwa, możesz wyeliminować ponad 95% wektorów ataków i uczynić swoją stronę twardym celem, którego atakujący będą unikać na rzecz łatwiejszych ofiar.

Ten przewodnik obejmuje każdą warstwę bezpieczeństwa WordPressa, od konfiguracji serwera po codzienne praktyki konserwacyjne. Niezależnie od tego, czy prowadzisz osobistego bloga, czy sklep e-commerce o dużym ruchu, te strategie pomogą Ci zbudować obronę w głębi.

Zrozumienie powszechnych zagrożeń dla WordPressa

Zanim będziesz mógł bronić swojej strony, musisz zrozumieć, przed czym się bronisz. Oto najczęściej występujące typy ataków celujących w instalacje WordPressa w 2026 roku.

Ataki brute force

Ataki brute force próbują zgadnąć Twoje dane logowania, próbując tysięcy lub milionów kombinacji nazw użytkowników i haseł. Zautomatyzowane boty nieustannie atakują punkty końcowe /wp-login.php i /xmlrpc.php. Typowa strona WordPressa otrzymuje setki prób ataków brute force dziennie, a strony z popularnymi nazwami użytkowników, takimi jak "admin", są szczególnie narażone.

SQL Injection (SQLi)

Ataki SQL injection wykorzystują niewłaściwie oczyszczone pola wejściowe do wykonywania złośliwych zapytań do bazy danych. Atakujący mogą wydobywać wrażliwe dane, modyfikować treści, tworzyć konta administratorów, a nawet przejąć pełną kontrolę nad serwerem bazy danych. Wrażliwe wtyczki i motywy, które nie korzystają z przygotowanych instrukcji WordPressa, są głównym punktem wejścia.

Cross-Site Scripting (XSS)

Ataki XSS wstrzykują złośliwy kod JavaScript na strony internetowe, które przeglądają inni użytkownicy. Przechowywane XSS jest szczególnie niebezpieczne, ponieważ złośliwy skrypt utrzymuje się w bazie danych i wykonuje za każdym razem, gdy ktoś ładuje daną stronę. Może to prowadzić do przejęcia sesji, kradzieży ciasteczek i ataków phishingowych realizowanych z Twojej własnej domeny.

Złośliwe oprogramowanie i tylne drzwi

Po uzyskaniu dostępu, atakujący zazwyczaj instalują tylne drzwi — ukryte skrypty, które pozwalają im odzyskać dostęp, nawet po zmianie haseł. Typowe miejsca ukrycia to fałszywe pliki wtyczek, zmodyfikowane funkcje motywów i zniekształcony kod w katalogu przesyłania. Górnicy kryptowalut, wstrzykiwacze spamu i spam SEO to jedne z najczęstszych ładunków.

Ataki DDoS

Rozproszone ataki typu Denial of Service przytłaczają Twój serwer ruchem, uniemożliwiając dostęp do Twojej strony legalnym odwiedzającym. Strony WordPressa są szczególnie narażone na ataki DDoS na poziomie aplikacji, które wykorzystują operacje wymagające dużych zasobów, takie jak zapytania wyszukiwania, pingbacki XML-RPC i punkty końcowe REST API.

Utrwalenie WordPressa: Bezpieczeństwo na poziomie podstawowym

Utrwalenie instalacji WordPressa oznacza zmniejszenie powierzchni ataku poprzez wyłączenie niepotrzebnych funkcji, zaostrzenie uprawnień do plików i skonfigurowanie środowiska w celu oporu przed powszechnymi atakami. To są środki, które powinieneś wdrożyć na każdej stronie WordPress, niezależnie od jej rozmiaru czy celu.

Bezpieczne uprawnienia do plików

Nieprawidłowe uprawnienia do plików są jednym z najczęstszych błędów w zakresie bezpieczeństwa. Twoje pliki WordPressa powinny przestrzegać tych standardów uprawnień:

• Katalogi: 755 (właściciel może czytać/pisać/wykonywać; grupa i publiczny mogą czytać/wykonywać)
• Pliki: 644 (właściciel może czytać/pisać; grupa i publiczny mogą tylko czytać)
• wp-config.php: 400 lub 440 (właściciel tylko do odczytu — najbardziej wrażliwy plik na Twojej stronie)
• .htaccess: 444 (tylko do odczytu dla wszystkich; Apache musi go odczytać)

Nigdy nie ustawiaj żadnego pliku ani katalogu na 777. Jeśli wtyczka żąda uprawnień 777, znajdź alternatywną wtyczkę, ponieważ to poważny sygnał ostrzegawczy.

Zabezpieczanie wp-config.php

Plik wp-config.php zawiera dane logowania do bazy danych, klucze uwierzytelniające i inne wrażliwe konfiguracje. Oprócz ograniczenia uprawnień do plików, dodaj te ulepszenia zabezpieczeń:

• Przenieś wp-config.php jeden katalog wyżej od głównego katalogu WordPressa (WordPress automatycznie go tam znajdzie)
• Dodaj unikalne klucze uwierzytelniające i sole z generatora soli WordPress
• Zmień domyślny prefiks tabeli bazy danych z wp_ na niestandardowy ciąg
• Wyłącz edytowanie plików: define('DISALLOW_FILE_EDIT', true);
• Wyłącz instalację wtyczek/motywów: define('DISALLOW_FILE_MODS', true); (dla stron produkcyjnych)
• Wymuś SSL dla administratora: define('FORCE_SSL_ADMIN', true);
• Ogranicz rewizje postów: define('WP_POST_REVISIONS', 5);

Wyłączanie XML-RPC

XML-RPC to protokół dziedziczony, który pozwala zewnętrznym aplikacjom komunikować się z WordPressem. Chociaż był przydatny w początkowych dniach WordPressa, REST API w dużej mierze zastąpiło jego funkcjonalność. XML-RPC jest często wykorzystywane do ataków amplifikacyjnych brute force (atakujący mogą próbować setek haseł w jednym żądaniu) oraz ataków DDoS za pomocą funkcji pingback. Wyłącz go, dodając to do swojego pliku .htaccess lub używając wtyczki zabezpieczającej.

Ograniczanie prób logowania

WordPress domyślnie nie ogranicza prób logowania, co sprawia, że ataki brute force są niezwykle łatwe. Wprowadź ograniczenie prób logowania, które zablokuje adresy IP po 3-5 nieudanych próbach na minimum 15 minut, z wydłużającymi się czasami blokady dla powracających sprawców. Większość wtyczek zabezpieczających zawiera tę funkcję, a także istnieją lekkie wtyczki samodzielne, które obsługują to bez obciążenia pełnego zestawu zabezpieczeń.

Zmiana adresu URL logowania

Chociaż bezpieczeństwo przez ukrycie nie jest kompletną strategią, zmiana domyślnego adresu URL logowania z /wp-login.php na niestandardową ścieżkę znacznie redukuje zautomatyzowany ruch brute force. Boty skanujące instalacje WordPressa celują w domyślny adres URL logowania, a niestandardowy adres URL całkowicie eliminuje ten hałas.

Wtyczki zabezpieczające: Twoja pierwsza linia obrony

Dedykowana wtyczka zabezpieczająca dodaje wiele warstw ochrony, które byłyby niepraktyczne do wdrożenia ręcznie. Oto porównanie najczęściej wdrażanych rozwiązań zabezpieczających WordPressa w 2026 roku.

Dla większości stron WordPress, Wordfence Premium oferuje najsilniejszą kombinację ochrony zapory, skanowania złośliwego oprogramowania i bezpieczeństwa logowania. Jego zapora oparta na końcówkach działa na Twoim serwerze i nie może być obejścia przez atakujących, którzy znają adres IP Twojego serwera — znana słabość rozwiązań WAF opartych na chmurze.

Konfiguracja SSL/TLS i HTTPS

Szyfrowanie SSL/TLS nie jest już opcjonalne. Chroni dane w tranzycie między Twoimi odwiedzającymi a Twoim serwerem, zapobiega atakom typu man-in-the-middle i jest potwierdzonym czynnikiem rankingowym Google. Każda strona WordPress powinna działać na HTTPS z prawidłowo skonfigurowanym certyfikatem SSL.

Kroki wdrożenia

• Uzyskaj certyfikat SSL (Let's Encrypt oferuje darmowe certyfikaty lub skorzystaj z opcji swojego dostawcy hostingu)
• Zaktualizuj ustawienia URL WordPress, aby używały https://
• Skonfiguruj przekierowania 301 z HTTP na HTTPS
• Zaktualizuj wszystkie linki wewnętrzne i osadzone zasoby do HTTPS
• Włącz nagłówki HSTS (HTTP Strict Transport Security)
• Przetestuj za pomocą SSL Labs (dąż do oceny A+)

Nowoczesna konfiguracja TLS powinna wyłączyć TLS 1.0 i 1.1 (oba są przestarzałe), używać TLS 1.2 jako minimum i preferować TLS 1.3 ze względu na poprawioną wydajność i bezpieczeństwo. Skonfiguruj swoje zestawy szyfrów, aby priorytetowo traktować algorytmy zapewniające tajność wsteczną.

Konfiguracja zapory aplikacji webowej (WAF)

Zapora aplikacji webowej inspekcjonuje przychodzące żądania HTTP i blokuje te, które pasują do znanych wzorców ataków. WAF chroni przed wstrzyknięciem SQL, XSS, dołączaniem plików i wieloma innymi typami ataków bez konieczności wprowadzania zmian w kodzie aplikacji.

Rodzaje WAF

• WAF oparty na końcówkach (np. Wordfence): Działa na Twoim serwerze jako wtyczka WordPress. Może inspekcjonować pełne żądanie, w tym dane POST, i ma dostęp do kontekstu WordPress dla mądrzejszych decyzji. Nie można go obejść przez bezpośredni dostęp IP.
• WAF oparty na chmurze (np. Cloudflare, Sucuri): Działa jako proxy odwrotne. Filtruje ruch przed dotarciem do Twojego serwera. Dodaje ochronę DDoS i możliwości CDN. Może być obejście, jeśli Twój pierwotny adres IP jest ujawniony.
• WAF na poziomie serwera (np. ModSecurity): Działa na poziomie serwera webowego (Apache/Nginx). Zapewnia szeroką ochronę niezależnie od aplikacji. Wymaga dostępu do administracji serwera w celu konfiguracji.

Aby uzyskać kompleksową ochronę, połącz WAF oparty na chmurze (do łagodzenia DDoS i buforowania na krawędzi) z WAF opartym na końcówkach (do głębokiej inspekcji na poziomie aplikacji). Takie podejście warstwowe zapewnia, że ataki muszą przejść przez wiele punktów inspekcji.

Uwierzytelnianie dwuskładnikowe (2FA)

Uwierzytelnianie dwuskładnikowe dodaje drugi krok weryfikacji poza Twoim hasłem. Nawet jeśli atakujący zdobędzie Twoje hasło poprzez phishing, naruszenie danych lub atak brute force, nie może uzyskać dostępu do Twojego konta bez drugiego czynnika. Dla administratorów WordPress, 2FA powinno być traktowane jako obowiązkowe, a nie opcjonalne.

Metody 2FA uporządkowane według bezpieczeństwa

• Sprzętowe klucze zabezpieczeń (YubiKey, Titan): Najsilniejsza opcja, odporna na phishing, wymaga fizycznego urządzenia
• Aplikacje uwierzytelniające (Google Authenticator, Authy): Kody oparte na czasie generowane na Twoim telefonie, szeroko wspierane
• Powiadomienia push: Zatwierdź lub odrzuć logowanie z telefonu, wygodne, ale wymaga internetu
• Kody SMS: Najsłabsza metoda 2FA z powodu ataków SIM-swapping, ale nadal znacznie silniejsza niż samo hasło

Włącz 2FA dla wszystkich kont administratorów i redaktorów przynajmniej. Dla stron e-commerce obsługujących dane płatności klientów, rozważ wymóg 2FA dla wszystkich ról użytkowników z dostępem do backendu.

Nagłówki zabezpieczeń

Nagłówki zabezpieczeń HTTP instruują przeglądarki, aby włączyły wbudowane funkcje zabezpieczeń, które chronią Twoich odwiedzających. Te nagłówki są konfigurowane na poziomie serwera (Nginx/Apache) lub za pomocą wtyczki zabezpieczeń i dodają znaczącą ochronę przy minimalnym wpływie na wydajność.

Przetestuj swoje nagłówki zabezpieczeń na SecurityHeaders.com i dąż do oceny A lub A+. Content-Security-Policy jest najpotężniejsza, ale także najtrudniejsza do skonfigurowania. Zacznij od trybu tylko do raportowania, aby zidentyfikować problemy przed wprowadzeniem.

Strategia kopii zapasowej: Twoja sieć bezpieczeństwa

Żadne ustawienie zabezpieczeń nie jest nieomylne. Solidna strategia kopii zapasowej to Twoja polisa ubezpieczeniowa przeciwko udanym atakom, awariom serwera i błędom ludzkim. Postępuj zgodnie z zasadą 3-2-1: utrzymuj co najmniej 3 kopie swoich danych, na 2 różnych typach nośników, z 1 kopią przechowywaną w innym miejscu.

Składniki kopii zapasowej

• Baza danych: Cała Twoja zawartość, ustawienia, dane użytkowników i zamówienia. Twórz kopie zapasowe codziennie, a przynajmniej co godzinę dla aktywnych stron e-commerce.
• Pliki: Rdzeń WordPress, motywy, wtyczki i przesyłane pliki. Twórz kopie zapasowe co tydzień lub po każdej istotnej zmianie.
• Konfiguracja: Konfiguracje serwera, .htaccess, wp-config.php. Twórz kopie zapasowe po każdej modyfikacji.

Użyj UpdraftPlus Premium do automatycznych zaplanowanych kopii zapasowych z integracją przechowywania w chmurze. Przechowuj kopie zapasowe w co najmniej dwóch lokalizacjach, takich jak Amazon S3 i Google Drive. Testuj swój proces przywracania co kwartał, aby upewnić się, że kopie zapasowe są wykonalne. Aby uzyskać głębsze informacje, zobacz nasz Przewodnik po kopiach zapasowych WordPress.

Wykrywanie i usuwanie złośliwego oprogramowania

Nawet przy silnych środkach zapobiegawczych, powinieneś mieć plan wykrywania i usuwania złośliwego oprogramowania. Wczesne wykrycie minimalizuje szkody i przyspiesza odzyskiwanie.

Objawy infekcji

• Nieoczekiwane przekierowania do nieznanych stron internetowych
• Nowi użytkownicy administratorzy, których nie stworzyłeś
• Zmodyfikowane pliki z niedawnymi znacznikami czasowymi, których nie możesz wyjaśnić
• Nagły spadek w rankingach wyszukiwania lub ostrzeżenia Google
• Skoki w użyciu zasobów serwera (CPU, pamięć, przepustowość)
• Treści spamowe pojawiające się w wynikach wyszukiwania z Twojej domeny
• Skargi klientów dotyczące podejrzanego zachowania na Twojej stronie

Proces usuwania złośliwego oprogramowania

1. Izolacja: Wyłącz stronę lub wprowadź ją w tryb konserwacji, aby zapobiec dalszym szkodom i chronić odwiedzających
2. Skanowanie: Przeprowadź dokładne skanowanie złośliwego oprogramowania za pomocą Wordfence lub Sucuri SiteCheck, aby zidentyfikować wszystkie zainfekowane pliki
3. Dokumentacja: Zapisz wszystkie ustalenia, w tym ścieżki plików, daty modyfikacji i typy złośliwego oprogramowania
4. Czyszczenie: Zastąp pliki rdzenia WordPress nowymi kopiami, usuń podejrzane pliki z wtyczek/motywów/przesyłanych plików
5. Aktualizacja: Zaktualizuj wszystkie wtyczki, motywy i
6. Aktualizuj rdzeń WordPressa do najnowszych wersji
7. Wzmocnij: Zresetuj wszystkie hasła, wygeneruj klucze zabezpieczeń, przejrzyj konta użytkowników, sprawdź uprawnienia plików
8. Monitoruj: Włącz monitorowanie plików w czasie rzeczywistym przez co najmniej 30 dni po oczyszczeniu
9. Poproś o przegląd: Jeśli jesteś na czarnej liście Google, złóż wniosek o ponowne rozpatrzenie przez Search Console

Plan reakcji na incydenty

Każda strona WordPress powinna mieć udokumentowany plan reakcji na incydenty przed wystąpieniem ataku. Gdy Twoja strona zostanie skompromitowana, musisz działać szybko i metodycznie. Panika prowadzi do błędów, które mogą pogorszyć sytuację.

Fazy reakcji

1. Wykrycie: Zidentyfikuj naruszenie przez alerty monitorujące, raporty odwiedzających lub wyniki skanowania bezpieczeństwa
2. Powstrzymanie: Zapobiegaj dalszym szkodom — zmień wszystkie hasła, zablokuj podejrzane adresy IP, odizoluj stronę, jeśli to konieczne
3. Badanie: Określ wektor ataku, zakres kompromitacji i dane, które zostały naruszone. Przejrzyj dzienniki dostępu, czasy modyfikacji plików i zmiany w bazie danych
4. Eliminacja: Usuń wszystkie złośliwe oprogramowanie, tylne drzwi i nieautoryzowane zmiany. Przywróć z znanego czystego kopii zapasowej, jeśli jest dostępna
5. Odzyskanie: Przywróć stronę online z wzmocnionymi środkami bezpieczeństwa. Monitoruj uważnie w celu wykrycia reinfekcji
6. Wyciągnięte wnioski: Udokumentuj incydent, zaktualizuj swoje procedury bezpieczeństwa i wdroż dodatkowe kontrole, aby zapobiec powtórzeniu się

Lista kontrolna audytu bezpieczeństwa

Użyj tej listy kontrolnej do przeprowadzenia regularnego audytu bezpieczeństwa swojej instalacji WordPress. Zalecamy przeglądanie tej listy co miesiąc dla stron biznesowych i co kwartał dla blogów osobistych.

Wybór odpowiedniego środowiska hostingowego to podstawowa decyzja dotycząca bezpieczeństwa. Dobrze skonfigurowany serwer zapewnia korzyści bezpieczeństwa, których żadna wtyczka nie może zreplikować. Przeczytaj nasz Przewodnik po hostingu WordPress w celu uzyskania szczegółowych zaleceń. A dla pełnej listy zalecanych wtyczek zabezpieczających i użytkowych sprawdź nasz przewodnik po wtyczkach WordPress.

Najczęściej zadawane pytania

Czy WordPress jest z natury niebezpieczny?

Nie. Rdzeń WordPressa jest rozwijany przez dedykowany zespół ds. bezpieczeństwa i regularnie otrzymuje poprawki. Większość incydentów bezpieczeństwa WordPressa jest spowodowana przestarzałymi wtyczkami, słabymi hasłami i złymi konfiguracjami hostingu — a nie lukami w samym WordPressie. Przy odpowiedniej konserwacji i wzmocnieniu, WordPress jest bezpieczną platformą używaną przez dużych przedsiębiorców, rządy i organizacje medialne na całym świecie.

Jak często powinienem aktualizować moje wtyczki i motywy?

Sprawdzaj aktualizacje przynajmniej raz w tygodniu i stosuj poprawki bezpieczeństwa w ciągu 24 godzin. Aktualizacje głównych wersji mogą poczekać kilka dni, aby zapewnić zgodność, ale wydania zabezpieczeń powinny być stosowane natychmiast. Włącz automatyczne aktualizacje dla zaufanych wtyczek i zawsze utrzymuj aktualną kopię zapasową przed aktualizacją.

Czy potrzebuję wtyczki zabezpieczającej, jeśli mam WAF od mojego hosta?

Tak. WAF na poziomie hostingu i wtyczki zabezpieczające WordPressa pełnią funkcje komplementarne. WAF hosta filtruje ruch na poziomie sieci, podczas gdy wtyczka taka jak Wordfence zapewnia ochronę na poziomie aplikacji, w tym skanowanie złośliwego oprogramowania, zabezpieczenia logowania i monitorowanie integralności plików. Połączenie tworzy warstwową obronę, która jest znacznie silniejsza niż którakolwiek z tych rozwiązań osobno.

Czy zmiana adresu URL logowania jest skuteczna dla bezpieczeństwa?

Zmiana adresu URL logowania jest przydatnym środkiem wtórnym, który redukuje hałas zautomatyzowanych ataków brute force. Jednak nigdy nie powinna być jedyną ochroną przed atakami brute force. Zawsze łącz ją z ograniczeniem prób logowania, silnymi hasłami i uwierzytelnianiem dwuskładnikowym. Zdeterminowani napastnicy mogą nadal odkryć niestandardowe adresy URL logowania za pomocą różnych technik enumeracji.

Jak mogę się dowiedzieć, czy moja strona WordPress została zhakowana?

Typowe wskaźniki to nieoczekiwani użytkownicy administratora, zmodyfikowane pliki, podejrzane przekierowania, spam w wynikach wyszukiwania, ostrzeżenia o czarnej liście Google, nietypowe zużycie zasobów serwera oraz nowe pliki w katalogach przesyłania lub wtyczek. Regularne skanowanie złośliwego oprogramowania i monitorowanie integralności plików pomagają wczesnym wykryciu kompromitacji, zanim spowodują one znaczne szkody.

Co powinienem zrobić natychmiast po odkryciu włamania?

Po pierwsze, zmień wszystkie hasła (administrator WordPress, baza danych, FTP, panel hostingu). Po drugie, wyłącz stronę lub przełącz ją w tryb konserwacji. Po trzecie, zeskanuj i usuń złośliwe oprogramowanie. Po czwarte, zaktualizuj wszystkie oprogramowanie. Po piąte, sprawdź pliki i bazę danych pod kątem tylnych drzwi. Na koniec, przywróć z czystej kopii zapasowej, jeśli infekcja jest rozległa. Udokumentuj wszystko dla swoich zapisów dotyczących reakcji na incydenty.

Czy darmowe wtyczki zabezpieczające są wystarczające dla ochrony?

Darmowe wtyczki zabezpieczające zapewniają podstawowy poziom ochrony, w tym podstawowe zapory, ograniczenia logowania i okresowe skanowanie złośliwego oprogramowania. Jednak wersje premium oferują inteligencję zagrożeń w czasie rzeczywistym, zaawansowane możliwości skanowania, priorytetowe wsparcie oraz funkcje takie jak blokowanie krajów i czarne listy IP w czasie rzeczywistym, które znacznie poprawiają Twoją postawę bezpieczeństwa. Dla stron biznesowych i e-commerce inwestycja w wersje premium jest dobrze uzasadniona.

Jak SSL/TLS pomaga w bezpieczeństwie?

SSL/TLS szyfruje wszystkie dane przesyłane między przeglądarkami Twoich odwiedzających a Twoim serwerem. Zapobiega to przechwytywaniu wrażliwych informacji, takich jak dane logowania, szczegóły płatności i dane osobowe, przez ataki typu man-in-the-middle. HTTPS weryfikuje również tożsamość Twojego serwera, zapobiegając atakom spoofingowym DNS, które przekierowują odwiedzających do fałszywych wersji Twojej strony.

Jakie są najważniejsze ustawienia bezpieczeństwa wp-config.php?

Krytyczne ustawienia obejmują: wyłączenie edytowania plików (DISALLOW_FILE_EDIT), używanie unikalnych kluczy uwierzytelniających i soli, ustawienie niestandardowego prefiksu tabeli bazy danych, wymuszenie SSL dla administratora, zdefiniowanie wyraźnych poświadczeń bazy danych z minimalnymi wymaganymi uprawnieniami oraz ustawienie odpowiednich ustawień debugowania i wyświetlania błędów dla produkcji (WP_DEBUG false, display_errors off).

Jak często powinienem przeprowadzać pełny audyt bezpieczeństwa?

Dla stron biznesowych i sklepów internetowych przeprowadzaj kompleksowy audyt bezpieczeństwa co miesiąc. Dla blogów osobistych i stron o niskim ruchu wystarczą audyty kwartalne. Oprócz zaplanowanych audytów, przeprowadzaj przeglądy ad-hoc po każdym incydencie bezpieczeństwa, dużej aktualizacji lub istotnej zmianie na swojej stronie. Narzędzia do automatycznego monitorowania mogą zapewnić ciągły nadzór między ręcznymi audytami.