Cum să îți creezi un site securizat de la zero

Primul meu site a fost „live” într-o seară. Mândru. A doua zi am văzut că adminul era admin și parola o știam doar eu — adică oricine cu un dicționar de parole obișnuite. Nu mă atacase nimeni. Noroc. De atunci construiesc altfel: mai lent la început, mai liniștit după.

Securizat nu înseamnă complicat din start

Înseamnă câteva decizii bune de la început, nu 15 pluginuri de panică după ce ceva crapă.

Site securizat = HTTPS, update-uri, parole ok, backup, mai puțin cod vechi expus.

Restul vine pe măsură ce crești.

Pasul 1: plan, nu template la întâmplare

Ce pui pe site? Prezentare, magazin, blog?

Mai puține funcții = mai puține găuri.

Șterge pluginurile pe care nu le folosești — chiar dacă „stau acolo”.

Pasul 2: domeniu și hosting

Domeniu pe numele tău. Reînnoire automată.

Hosting cu suport decent, PHP/versiuni actualizabile, backup la furnizor (dar și al tău).

Nu cel mai ieftin de pe planetă dacă ai date clienți.

Pasul 3: HTTPS din ziua 1

Certificat Let’s Encrypt sau inclus la hosting.

Fără lacăt = browser avertizează, Google nu e fericit, omul pleacă.

Forțează redirect HTTP → HTTPS.

Pasul 4: CMS sau constructor — alegere onestă

WordPress — flexibil, popular, trebuie întreținut.

Constructori (Wix etc.) — mai simplu, mai puțin control.

Static / developer — dacă știi sau plătești pe cineva.

Orice alegi: licență legală, temă și pluginuri din surse oficiale. Teme „gratis” crăcate = backdoor cadou.

Pasul 5: instalare curată

• User admin cu nume neobișnuit (nu admin)
• Parolă lungă din manager de parole
• 2FA dacă platforma permite
• Șterge fișiere instalare default
• Permisiuni corecte pe fișiere (dacă e cazul)

Pasul 6: update-uri — obicei, nu eveniment

CMS, temă, pluginuri — lunar minim.

Backup înainte de update mare.

Amânarea = vulnerabilități cunoscute, exploit automat.

Pasul 7: pluginuri și funcții — regula less

Fiecare plugin = risc potențial.

SEO, cache, formular — ok, dacă sunt cunoscute și actualizate.

Nu 25 de pluginuri „pentru că erau gratis”.

Pasul 8: formulare și date

Contact, newsletter — HTTPS obligatoriu.

Politica de confidențialitate dacă colectezi nume/email (GDPR).

Antispam (reCAPTCHA sau similar) — altfel inbox-ul moare.

Nu trimite date sensibile pe email necriptat fără să știi.

Pasul 9: backup — testat

Automat zilnic/săptămânal.

Copie și în afara serverului (cloud, alt loc).

Restaurează o dată ca exercițiu. „Am backup” fără test = speranță.

Pasul 10: monitorizare simplă

Uptime (site sus).

Scan malware periodic sau la hosting.

Google Search Console — erori, pagini ciudate indexate.

Dacă apar URL-uri pe care nu le-ai făcut tu — alarmă.

De la zero, în ordine (rezumat)

1. Plan + hosting + HTTPS
2. Instalare curată, admin greu de ghicit
3. Temă/pluginuri oficiale, puține
4. Conținut + formular cu protecție
5. Backup + update lunar
6. Verificare periodică

Când vrei ghid pas cu pas

Nu trebuie să inventezi tot din forumuri contradictorii.

Când blocajul e „de unde încep, fără să uit ceva important”, un loc util e cum sa faci un site — pași clari, inclusiv partea de bază tehnică. Noi am combinat asta cu checklist de securitate. Mai puțin „oops” după lansare.

Mituri

„Site mic, nimeni nu mă atacă.” Boții scanează la întâmplare.

„Securitatea e doar la hosting.” Și parolele tale proaste o strică.

„HTTPS e opțional.” Nu mai e.

„Un plugin de securitate face tot.” Fără update și obiceiuri, e decor.

Umor amar

Am lăsat readme.html de la WordPress accesibil. Nu e hack film, dar e lene care invită probe. Curățenie de 2 minute. Regret zero.

După lansare

Nu „gata, merge”. Verificare lunară: update, backup, Search Console.

Schimbi furnizor? Migrează parole și accese documentat.

Site securizat de la zero nu e proiect de o seară perfectă. E obicei de întreținere.

Tu lansezi. Apoi îngrijești. Ca o casă — nu doar o poză la cheie.