Dlaczego konto „admin” to problem?
W starszych instalacjach WordPress domyślnym użytkownikiem był „admin”. Dziś to poważna luka bezpieczeństwa:
- boty i hakerzy w pierwszej kolejności próbują logowania na konto admin,
- mając login, pozostaje im tylko odgadnąć hasło,
- to prosta droga do przejęcia całej strony.
Jeśli Twoje konto administratora wciąż nazywa się admin, powinieneś to zmienić natychmiast.
Metoda 1: Utworzenie nowego użytkownika i usunięcie „admin”
To najprostszy i najbezpieczniejszy sposób.
Krok po kroku:
- Zaloguj się do WordPressa na konto admin.
- Wejdź w Użytkownicy → Dodaj nowego.
- Utwórz nowego użytkownika:
- Nazwa użytkownika: unikalna, np. firma_admin2025.
- E-mail: Twój prawidłowy adres.
- Hasło: silne i trudne do złamania.
- Rola: Administrator.
- Wyloguj się i zaloguj na nowego użytkownika.
- Wejdź w Użytkownicy → Wszyscy użytkownicy.
- Zaznacz konto admin i kliknij obok „Usuń” lub w menu „Czynności masowe” wybierz Usuń i kliknij Zastosuj.
- Pojawi się pytanie: „Co zrobić z treściami tego użytkownika?” → wybierz Przypisz treści do: [nowy użytkownik] – powinien być on użytkownikiem o prawach administratora.
- Potwierdź usunięcie.
Od tej chwili konto admin nie istnieje, a Twoja strona jest bezpieczniejsza.
Metoda 2: Zmiana loginu w bazie danych (dla zaawansowanych)
Ta metoda wymaga dostępu do bazy danych (np. przez phpMyAdmin). Sprawdza się wtedy, gdy:
- nie możesz zalogować się do panelu WordPressa,
- albo chcesz zmienić login bez zakładania nowego użytkownika.
Krok po kroku:
- Zaloguj się do panelu phpMyAdmin na serwerze.
- Otwórz bazę danych WordPressa.
- Znajdź tabelę wp_users.
- Odszukaj rekord z loginem admin.
- Zmień wartość w kolumnie user_login na nową, np. bezpieczny_admin2025.
- Zapisz zmiany.
Pamiętaj: przed zmianą zrób kopię zapasową bazy danych, żeby w razie problemów móc wszystko przywrócić.
Dlaczego nie polecamy wtyczek?
Istnieją wtyczki typu Easy Username Updater, ale:
- zmiana loginu to operacja jednorazowa,
- każda dodatkowa wtyczka to potencjalne ryzyko i dodatkowa aktualizacja,
- dużo prościej i bezpieczniej jest skorzystać z metody nr 1.
Dodatkowe kroki bezpieczeństwa po zmianie
- Silne hasło – minimum 12 znaków, małe i duże litery, cyfry, znaki specjalne.
- Limit prób logowania – zainstaluj wtyczkę Limit Login Attempts Reloaded, która blokuje adresy IP po kilku nieudanych próbach logowania.
- Firewall i monitoring – np. Wordfence Security chroni stronę przed włamaniami i monitoruje zmiany w plikach.
- Logowanie dwuskładnikowe (2FA) – dodatkowa warstwa ochrony, np. z aplikacji Google Authenticator.
- Aktualizacje – zawsze aktualizuj WordPressa, wtyczki i motywy.
- Ogranicz liczbę administratorów – tylko osoby faktycznie zarządzające stroną powinny mieć pełne uprawnienia.
Korzyści dla Ciebie
- Strona jest znacznie trudniejsza do zaatakowania.
- Oszczędzasz czas i pieniądze – naprawa po włamaniu kosztuje setki złotych i oznacza przestoje.
- Masz spokój – wiesz, że wykonałeś podstawowy krok, którego wielu właścicieli stron zaniedbuje.
Podsumowanie
Konto admin to otwarte zaproszenie dla hakerów.
Na szczęście usunięcie go lub zmiana loginu to kwestia kilku minut:
- Metoda 1 (polecana) – nowy użytkownik + usunięcie „admin”.
- Metoda 2 (dla zaawansowanych) – zmiana w bazie danych.
Do tego wystarczy dodać podstawowe zabezpieczenia (Limit Login Attempts, mocne hasło, 2FA), by Twoja strona była naprawdę bezpieczna.