Jak zabezpieczyć motyw WordPress przed atakami – praktyczny poradnik dla twórców motywów

Dlaczego bezpieczeństwo motywu WordPress jest tak ważne?

Motyw WordPress to nie tylko wygląd strony, ale też kod, który przetwarza dane użytkowników. Nawet prosty fragment PHP może stać się punktem wejścia dla ataku XSS, CSRF lub wstrzyknięcia złośliwego kodu.
Dlatego każdy twórca motywu powinien znać podstawowe zasady zabezpieczania swojego projektu.

1. Sanityzacja danych wejściowych (sanitize)

Podstawowa zasada bezpieczeństwa brzmi: nigdy nie ufaj danym od użytkownika.
Wszystkie dane z formularzy, Customizera, zapytań GET/POST lub API muszą być oczyszczone (sanityzowane) zanim trafią do bazy danych.

WordPress udostępnia gotowe funkcje:

Typ danych	Funkcja sanitizująca
tekst	sanitize_text_field()
e-mail	sanitize_email()
textarea	sanitize_textarea_field()
URL	esc_url_raw()
liczba	absint()

Przykład:

$name  = sanitize_text_field($_POST['name']);
$email = sanitize_email($_POST['email']);

Każda z tych funkcji usuwa niepożądane znaki, tagi HTML i potencjalne skrypty.
Więcej informacji znajdziesz w dokumentacji:
Data Sanitization – WordPress Developer Resources

2. Walidacja danych (validate)

Sanityzacja oczyszcza dane, ale nie sprawdza, czy są logicznie poprawne.
Dlatego przed zapisem warto dodać walidację – np. sprawdzić, czy e-mail ma poprawny format albo czy wartość nie jest pusta.

Przykład:

if ( empty($email) || !is_email($email) ) {
    return new WP_Error('invalid_email', 'Podaj poprawny adres e-mail.');
}

Walidację można również dodać w Customizerze przez parametr validate_callback.

3. Escaping danych przy wyświetlaniu

Sanitize działa przy zapisie, natomiast escaping chroni dane w momencie wyświetlania.
To druga połowa bezpiecznego kodowania.

Kontekst	Funkcja
tekst w HTML	esc_html()
atrybut HTML	esc_attr()
adres URL	esc_url()
dopuszczony HTML	wp_kses_post()

Przykład:

<p><?php echo esc_html( get_theme_mod('hero_title') ); ?></p>
<a href="<?php echo esc_url( get_theme_mod('hero_cta_link') ); ?>">Zobacz więcej</a>

Szczegółowy opis funkcji znajdziesz tutaj:
Output Escaping – WordPress Developer Handbook

4. Customizer i Settings API – używaj sanitize_callback

Jeśli Twój motyw korzysta z WordPress Customizer, każda funkcja add_setting() powinna zawierać sanitize_callback.
Bez tego użytkownik mógłby wstrzyknąć złośliwy kod HTML lub JavaScript do ustawień.

Przykład:

$wp_customize->add_setting('hero_title', array(
    'default'           => '',
    'sanitize_callback' => 'sanitize_text_field',
));

Dla pól typu URL stosuj esc_url_raw, a dla tekstów – sanitize_text_field.
Więcej przykładów znajdziesz w dokumentacji Customizera:
Customizer API – WordPress Developer Resources

5. Nonce – ochrona przed atakami CSRF

Ataki CSRF (Cross-Site Request Forgery) polegają na tym, że złośliwa strona może wysłać formularz w imieniu zalogowanego użytkownika.
Aby temu zapobiec, WordPress używa nonce – tokenów bezpieczeństwa, które są generowane i weryfikowane przy każdej akcji.

Dodanie nonce do formularza:

wp_nonce_field('contact_form_action', 'contact_form_nonce');

Weryfikacja po stronie serwera:

if ( !isset($_POST['contact_form_nonce']) 
     || !wp_verify_nonce($_POST['contact_form_nonce'], 'contact_form_action') ) {
    wp_die('Błąd bezpieczeństwa.');
}

Nonce powinny być stosowane zawsze, gdy formularz wykonuje jakąkolwiek akcję (wysyłka danych, zapis ustawień, usuwanie treści).
Więcej informacji:
Understanding and Using WordPress Nonces Properly

6. Sprawdzanie uprawnień użytkowników

Nie wszystkie akcje powinny być dostępne dla każdego.
Przed zapisem danych lub wykonaniem ważnej operacji należy sprawdzić uprawnienia użytkownika:

if ( !current_user_can('edit_theme_options') ) {
    wp_die('Brak uprawnień do wykonania tej akcji.');
}

W przypadku motywów zwykle wystarczy rola administratora, ale przy własnych panelach opcji można wprowadzić bardziej precyzyjne reguły.

7. Aktualizacje i testowanie bezpieczeństwa

Zabezpieczenia w kodzie to jedno, ale równie ważne są aktualizacje środowiska.
Pamiętaj, aby regularnie:

• aktualizować WordPressa, wtyczki i motyw,
• sprawdzać błędy w konsoli przeglądarki i logach PHP,
• korzystać z narzędzi takich jak Theme Check, WPScan czy Query Monitor,
• stosować poprawne uprawnienia plików (644 dla plików, 755 dla katalogów).

8. Najważniejsze zasady bezpieczeństwa w skrócie

1. Sanitize przy zapisie – oczyszczaj dane zanim trafią do bazy.
2. Escape przy wyświetlaniu – oczyszczaj dane zanim pokażesz je użytkownikowi.
3. Nonce przy działaniach – chroń formularze i akcje przed atakami CSRF.
4. Validate dane logicznie – nie pozwól na niepoprawne wartości.
5. Sprawdzaj uprawnienia – ogranicz dostęp tylko do właściwych ról.

Podsumowanie

Zabezpieczenie motywu WordPress nie wymaga zaawansowanej wiedzy z zakresu cyberbezpieczeństwa.
Wystarczy przestrzegać podstawowych zasad kodowania, które są opisane w oficjalnej dokumentacji WordPress.

Dzięki sanityzacji, escapingowi, nonce i walidacji danych Twoje motywy będą nie tylko funkcjonalne, ale też odporne na większość popularnych ataków.

Więcej informacji i najlepsze praktyki znajdziesz na:
https://developer.wordpress.org/themes/theme-security/