Lukáš Müller – Fotograf a webdesigner Plzeň | Lukáš Müller – WordPress weby a focení https://lukasmuller.cz Fotograf a webdesigner z Plzně. Vytvářím moderní WordPress weby, které pomáhají získávat nové zákazníky, a fotím přirozené svatební, portrétní fotografie. Fri, 10 Jul 2026 23:59:31 +0000 cs hourly 1 https://wordpress.org/?v=7.0.2 https://lukasmuller.cz/wp-content/uploads/cropped-favicon-Lukas-150x150.png Lukáš Müller – Fotograf a webdesigner Plzeň | Lukáš Müller – WordPress weby a focení https://lukasmuller.cz 32 32 Chyba 500 na WordPressu: co znamená a jak ji opravit https://lukasmuller.cz/chyba-500-wordpress-jak-opravit/ Tue, 07 Jul 2026 12:45:18 +0000 https://lukasmuller.cz/?p=1840

Dobrá zpráva je, že chyba 500 je téměř vždy řešitelná bez zásahu do databáze a bez ztráty obsahu. V tomto článku vám ukážu, co tato chyba znamená, proč vzniká a jak ji krok za krokem odstranit – ať už jste začátečník, nebo zkušený správce webu. Projdeme si diagnostiku, konkrétní opravy, prevenci do budoucna i doporučené nástroje pro rok 2026.
Tento článek je shrnutím toho, co bych řekl každému, kdo si dnes zakládá první web na WordPressu – i těm, kteří na něm už nějaký web mají a chtějí zkontrolovat, jestli náhodou nešlápli do stejných kaluží jako většina ostatních.

Co je chyba 500 Internal Server Error

Chyba 500 patří mezi tzv. serverové chyby (5xx). Na rozdíl od chyby 404 (stránka nenalezena) neznamená, že něco chybí – znamená, že server narazil na problém, který nedokáže přesně specifikovat, a proto vrací obecnou hlášku.

Proč je hláška tak nekonkrétní

Webové servery z bezpečnostních důvodů často skrývají podrobnosti o vnitřní chybě před návštěvníkem. Detailní informace (tzv. stack trace) by mohly prozradit strukturu serveru útočníkovi. Proto vidíte jen obecné „500“ – skutečnou příčinu je nutné dohledat v logových souborech nebo pomocí debug módu WordPressu.

Jak chyba 500 vypadá v praxi

Setkat se s ní můžete v několika variantách:

  • 500 Internal Server Error – klasická podoba na většině hostingů
  • HTTP ERROR 500 – běžné v Google Chrome
  • The website cannot display this page – varianta v některých verzích Internet Exploreru/Edge
  • Prázdná bílá stránka bez jakéhokoli textu (tzv. White Screen of Death, WSOD)

Nejčastější příčiny chyby 500 na WordPressu

Z mé zkušenosti z desítek řešených případů se příčiny dají rozdělit do několika kategorií. Následující tabulka shrnuje ty nejběžnější:

Příčina Frekvence výskytu Obtížnost opravy
Poškozený nebo nekompatibilní plugin Velmi častá Nízká
Chyba v souboru .htaccess Častá Nízká
Nedostatečný limit paměti PHP Častá Nízká–střední
Nekompatibilní nebo poškozené jádro (core) WordPressu Střední Střední
Chybná šablona (téma) Střední Nízká–střední
Problém na straně serveru/hostingu Méně častá Vysoká (řeší hosting)
Vypršený PHP timeout / pomalé databázové dotazy Méně častá Střední
Chyba v souboru wp-config.php Vzácná, ale kritická Střední

1. Poškozený nebo konfliktní plugin

Nejčastější viník. Aktualizace pluginu, nekompatibilita mezi dvěma pluginy nebo chyba přímo v kódu rozšíření dokáže shodit celý web během vteřiny.

2. Poškozený soubor .htaccess

Tento konfigurační soubor Apache serveru řídí přesměrování, permalinky a bezpečnostní pravidla. Stačí jeden překlep nebo konflikt při instalaci bezpečnostního pluginu a web přestane fungovat.

3. Vyčerpaný PHP memory limit

Pokud web (zejména s náročnými pluginy jako WooCommerce nebo page buildery) potřebuje více paměti, než mu hosting povoluje, server chybu 500 vrátí místo dokončení požadavku.

4. Poškozené jádro WordPressu

Neúplný upload při aktualizaci, výpadek internetu během update procesu nebo zásah škodlivého kódu může poškodit klíčové soubory jádra.

5. Problém v šabloně (tématu)

Chyba v souboru functions.php je klasický případ – jediná chybějící závorka dokáže spadnout celý web.

6. Problémy na straně serveru

Přetížený server, špatně nakonfigurovaný PHP-FPM, nedostatek zdrojů u sdíleného hostingu nebo výpadek databázového serveru.

Jak rychle diagnostikovat příčinu

Než začnete cokoliv opravovat, potřebujete vědět, co přesně chybu způsobilo. Diagnostika je klíčová – zabrání zbytečným zásahům do funkčních částí webu.

Krok 1: Zapněte debug mód WordPressu

Do souboru wp-config.php (přes FTP nebo správce souborů v administraci hostingu) přidejte nebo upravte tyto řádky:
php 

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );
Tím se chyby začnou zapisovat do souboru wp-content/debug.log, aniž by se zobrazovaly veřejně na webu.

Krok 2: Zkontrolujte error logy hostingu

Většina hostingů (např. přes cPanel nebo vlastní administraci) nabízí přístup k tzv. error logu serveru – ten často obsahuje přesnější informaci než samotný WordPress.

Krok 3: Zkontrolujte čas výskytu chyby

Podívejte se do administrace hostingu, kdy přesně chyba začala. Porovnejte to s časem poslední aktualizace pluginu, tématu nebo jádra.

Krok 4: Otestujte v anonymním okně a z jiné sítě

Vyloučíte tím problém s cache prohlížeče nebo lokální DNS.

Návod na opravu chyby 500

Následující postup doporučuji dodržovat přesně v tomto pořadí – od nejjednodušších a nejbezpečnějších kroků k těm náročnějším.

Krok 1: Vymažte cache

Pokud používáte cachovací plugin (WP Rocket, W3 Total Cache, LiteSpeed Cache) nebo cache na úrovni serveru, vymažte ji jako první krok. Poškozená cache je překvapivě častou příčinou.

Krok 2: Obnovte soubor .htaccess

  • Připojte se přes FTP nebo správce souborů.
  • Přejmenujte soubor .htaccess na .htaccess_old.
  • Zkuste web znovu načíst.
  • Pokud web funguje, přihlaste se do administrace → Nastavení → Trvalé odkazy → klikněte na „Uložit změny“ (tím se vygeneruje nový, čistý .htaccess.

Krok 3: Navyšte limit paměti PHP

Do souboru wp-config.php přidejte před řádek /* That's all, stop editing! */:
php 

define( 'WP_MEMORY_LIMIT', '256M' );
Pokud to nepomůže, limit je nutné navýšit i na úrovni serveru (soubor php.ini nebo přes administraci hostingu).

Krok 4: Deaktivujte všechny pluginy

Přes FTP přejmenujte složku wp-content/plugins na plugins_old. WordPress všechny pluginy automaticky deaktivuje, aniž by je smazal.
  • Pokud web začne fungovat, přejmenujte složku zpět a aktivujte pluginy postupně jeden po druhém, dokud chybu znovu nevyvoláte.
  • Takto přesně identifikujete viníka.

Krok 5: Přepněte na výchozí téma

Přes FTP ve složce wp-content/themes přejmenujte aktuálně aktivní šablonu (např. moje-tema na moje-tema_old. WordPress automaticky přepne na výchozí téma (Twenty Twenty-Four apod.).

Krok 6: Nahrajte znovu jádro WordPressu

Stáhněte čistou instalaci WordPressu ze stejné verze na wordpress.org a nahrajte přes FTP složky wp-admin a wp-includes (nikdy nepřepisujte wp-content!).

Krok 7: Zkontrolujte wp-config.php

Zkontrolujte správnost přístupových údajů k databázi a to, zda soubor neobsahuje neuzavřené PHP tagy nebo přebytečné mezery před <?php.

Krok 8: Kontaktujte podporu hostingu

Pokud žádný z předchozích kroků nepomohl, může jít o problém na straně serveru – přetížení, špatnou konfiguraci PHP-FPM nebo výpadek databáze. Podpora hostingu má přístup k detailním server-side logům, které vy nemáte.

Časté chyby, kterým se vyhnout

  1. Mazání souborů bez zálohy. Vždy si nejprve stáhněte kompletní zálohu webu i databáze – i chvilkový zásah bez zálohy může situaci zhoršit.
  2. Úprava wp-config.php bez záložní kopie souboru. Jediná chybějící středníková čárka dokáže web úplně shodit.
  3. Aktualizace více pluginů najednou. Pokud aktualizujete pět pluginů současně a objeví se chyba, těžko zjistíte, který z nich je viníkem.
  4. Ignorování PHP verze. Zastaralá nebo naopak příliš nová verze PHP může způsobit inkompatibilitu s tématem nebo pluginy.
  5. Práce přímo na produkčním webu. Vždy je lepší testovat na stagingové verzi webu, pokud ji hosting nabízí.

Doporučené pluginy a nástroje pro rok 2026

Nástroj Účel Poznámka
Query Monitor Diagnostika PHP chyb, dotazů do databáze a výkonu Zdarma, nutnost pro pokročilé ladění
WP Activity Log Sledování změn a aktualizací na webu Pomáhá dohledat, co se změnilo před výpadkem
UpdraftPlus / BlogVault BlogVaultZálohování webu i databáze Zálohujte před každým větším zásahem
WP Rocket Cache a optimalizace výkonu Po opravě chyby nezapomeňte vymazat cache
Health Check & Troubleshooting Testovací režim bez zásahu do funkčního webu Oficiální plugin WordPress.org, ideální pro bezpečnou deaktivaci pluginů
LiteSpeed Cache Cache a optimalizace na LiteSpeed serverech Vhodné pro hostingy s LiteSpeed

FAQ – nejčastější dotazy

Proč se chyba 500 objevila bez jakékoli mé akce na webu?

I bez ručního zásahu mohlo dojít k automatické aktualizaci pluginu na pozadí, k dočasnému přetížení serveru nebo k automatické aktualizaci PHP verze ze strany hostingu.

Pokud postupujete opatrně a pouze deaktivujete nebo přejmenováváte soubory (nemažete je), ke ztrátě dat nedochází. Databáze zůstává touto opravou nedotčena.

U jednoduchých případů (poškozený .htaccess, konfliktní plugin) jde o opravu v řádu 10–30 minut. Komplikovanější případy vyžadující zásah hostingu mohou trvat několik hodin.

Ano, škodlivý kód vložený do souborů webu může narušit strukturu PHP a vyvolat chybu 500. V takovém případě doporučuji kromě opravy i bezpečnostní kontrolu (např. pluginem Wordfence).

U problémů způsobených dočasným přetížením serveru ano, ale pokud je příčina v kódu webu (plugin, téma, .htaccess), restart problém nevyřeší.
Chyba 500 zní na první pohled děsivě, ale ve většině případů jde o řešitelný problém, který zvládnete opravit sami během několika minut, pokud postupujete systematicky – od nejjednodušších kroků (cache, .htaccess) až po komplexnější zásahy (jádro, server). Klíčem je nikdy nezasahovat naslepo a vždy mít po ruce aktuální zálohu.
]]> Nejčastější chyby začátečníků ve WordPressu (a jak se jim v roce 2026 vyhnout) https://lukasmuller.cz/nejcastejsi-chyby-zacatecniku-wordpress/ Tue, 07 Jul 2026 06:01:04 +0000 https://lukasmuller.cz/?p=1826

V roce 2026 je situace ještě zajímavější. WordPress pohání přes 40 % všech webů na světě, nástroje s umělou inteligencí zásadně mění způsob tvorby obsahu i vyhledávání a nároky na zabezpečení rostou rychleji než kdy dřív. Zároveň platí, že základní principy – rychlost, bezpečnost, srozumitelná struktura – se nemění. Mění se jen to, jak moc na nich záleží.

Tento článek je shrnutím toho, co bych řekl každému, kdo si dnes zakládá první web na WordPressu – i těm, kteří na něm už nějaký web mají a chtějí zkontrolovat, jestli náhodou nešlápli do stejných kaluží jako většina ostatních.

Proč začátečníci dělají pořád stejné chyby

Než se pustíme do konkrétních bodů, stojí za to pojmenovat příčinu. WordPress je z principu velmi otevřený systém – dá se v něm udělat téměř cokoliv, a to je zároveň jeho síla i slabina. Neexistuje jedna „správná cesta“, takže si každý najde tu svou. Bohužel často tu nejsnazší, ne tu nejsprávnější.

Přidejte k tomu:

  • Přemíru informací – tisíce návodů, z nichž řada je zastaralá nebo protichůdná.
  • Tlak na rychlé spuštění – web „na včera“ vede k přeskakování důležitých kroků.
  • Podceňování údržby – web se bere jako hotový produkt, ne jako živý systém, který potřebuje péči.

 

S tímto vědomím pojďme na konkrétní chyby – rozdělené do logických kategorií tak, jak na ně v praxi narážím nejčastěji.

Chyby při instalaci a základním nastavení

Nejčastější chyba vzniká už dřív, než je vůbec nainstalovaný první plugin. Levný sdílený hosting bez optimalizace pro WordPress se dřív nebo později projeví jako pomalé načítání, výpadky při špičce návštěvnosti nebo problémy s e-maily.

Zanedbané zálohování

Viděl jsem klienty, kteří přišli o web po neúspěšné aktualizaci pluginu a zjistili, že poslední záloha je stará osm měsíců. Bez fungujícího zálohovacího systému stavíte dům na písku.

Ignorování aktualizací jádra, šablon a pluginů

„Funguje to, tak proč aktualizovat“ je věta, po které mi vždy zatrne. Neaktualizovaný WordPress je jedna z nejčastějších bran pro napadení webu.

Bezpečnostní chyby

Bezpečnost je oblast, kde začátečníci (ale i pokročilí) chybují nejvíc – a kde je cena chyby nejvyšší.

Slabé přihlašovací údaje

Uživatelské jméno „admin“ a heslo typu „web2026″ je pořád překvapivě časté. Automatizované boty zkoušejí tyto kombinace nepřetržitě, 24 hodin denně.

Chybějící dvoufaktorové ověření (2FA)

V roce 2026 už je 2FA naprostý standard, ne „bonus navíc“. Pokud ho váš web ještě nemá, je to jedna z prvních věcí, kterou byste měli změnit ještě dnes.

Absence WAF (Web Application Firewall)

Firewall na úrovni aplikace dokáže odchytit velkou část útoků dřív, než se vůbec dostanou k WordPressu samotnému. Bez něj se web spoléhá výhradně na zabezpečení jádra a pluginů, což nestačí.

Doporučené nástroje pro zabezpečení:

Nástroj Účel Poznámka
Wordfence Firewall, skenování malwaru, 2FA Vhodné i pro začátečníky
Sucuri WAF na úrovni DNS, monitoring Silné řešení pro exponovanější weby
iThemes Security Komplexní bezpečnostní sada Dobrý poměr funkcí a jednoduchosti
Cloudflare (WAF vrstva) Ochrana na úrovni sítě, cache Vhodné kombinovat s pluginem výše

Práva uživatelů „na férovku"

Dávat všem přispěvatelům roli administrátora je jako dát každému zaměstnanci klíče od celé budovy včetně trezoru. WordPress nabízí rozdělení rolí (administrátor, editor, autor, přispěvatel) přesně proto, aby se tomu předešlo.

Chyby ve výkonu a rychlosti načítání

Přemíra pluginů

Desítky nainstalovaných pluginů, z nichž polovina jen „leží“ a nepoužívá se, zpomalují web a zvětšují bezpečnostní riziko. Platí zásada: méně, ale kvalitněji.

Pravidlo tří otázek před instalací pluginu:

  1. Je aktuálně udržovaný (aktualizace v posledních měsících)?
  2. Má dostatek pozitivních recenzí a aktivních instalací?
  3. Řeší skutečně potřebu, kterou nejde vyřešit jinak?

Neoptimalizované obrázky

Nahrání fotky z fotoaparátu nebo telefonu přímo do WordPressu bez komprese je jedna z nejčastějších příčin pomalého webu. Obrázek o velikosti 8 MB dokáže sám o sobě zpomalit stránku o několik sekund.

Doporučený postup:

  • Komprimovat obrázky před nahráním (formát WebP nebo AVIF)
  • Používat lazy loading (ve WordPressu už částečně nativně od jádra)
  • Nastavit odpovídající rozměry místo spoléhání na zmenšení přes CSS

Chybějící cachování

Bez cachovacího řešení generuje WordPress každou stránku znovu při každé návštěvě, což zbytečně zatěžuje server.

Doporučené cachovací a optimalizační pluginy:

Nástroj Zaměření
WP Rocket Komplexní cache, komprese, lazy loading
WP Super Cache Jednodušší, zdarma varianta
Autoptimize Minifikace CSS/JS
ShortPixel / Imagify Komprese obrázků

SEO chyby, kterých se dopouští téměř každý začátečník

Neupravená struktura URL adres

Výchozí nastavení WordPressu často generuje adresy typu ?p=123. Bez čitelné struktury permalinků ztrácíte jak na SEO, tak na důvěryhodnosti v očích návštěvníka.

Doporučená struktura: lukasmuller.cz/nazev-clanku – krátká, popisná, bez diakritiky a zbytečných slov.

Duplicitní obsah a chybějící kanonické adresy

Stejný obsah dostupný na více URL (např. s parametry, s/bez www, s/bez lomítka na konci) matoucí pro vyhledávače i pro měření AI vyhledávačů.

Chybějící nebo automaticky generované meta popisy

Meta description, kterou vygeneruje WordPress sám z prvních vět článku, jen zřídka odpovídá tomu, co by mělo návštěvníka přesvědčit ke kliknutí.

GEO (Generative Engine Optimization) – nová disciplína roku 2026

Kromě klasických vyhledávačů dnes obsah čtou i AI asistenti a generativní vyhledávače, které z webu extrahují odpovědi přímo do svých výstupů. To mění pravidla hry:

  • Strukturovaná data (schema.org) pomáhají AI systémům pochopit kontext stránky (FAQ, Article, HowTo).
  • Jasně formulované odpovědi hned v úvodu sekcí zvyšují šanci na citaci v AI odpovědích.
  • Přehledná H2/H3 struktura usnadňuje strojové „porozumění“ obsahu.
  • Aktuálnost a přesnost dat – generativní vyhledávače preferují ověřitelný a čerstvý obsah.

Chyby v designu a uživatelském zážitku (UX)

Přetížené šablony a nekonečné page buildery

Elementor, Divi a podobné nástroje jsou skvělí pomocníci, ale snadno vedou k webu plnému animací, efektů a sekcí, které nemají žádný účel kromě „vypadá to hezky“. Výsledkem je pomalý web s nepřehlednou strukturou kódu.

Nekonzistentní vizuální styl

Míchání barev, fontů a stylů tlačítek napříč stránkami působí neprofesionálně a oslabuje důvěryhodnost značky. Mít definovaný jednotný design manuál (barvy, typografie, komponenty) je základ, ne luxus – i pro menší weby.

Nedostatečná mobilní optimalizace

Přes 60 % návštěvnosti dnes přichází z mobilních zařízení. Web, který sice „nějak“ funguje na mobilu, ale tlačítka jsou nedotažená, texty přetékají a menu se nedá pořádně otevřít, ztrácí návštěvníky během několika sekund.

Chyby ve správě obsahu

Chybějící redakční plán

Publikování „když je nálada“ vede k nepravidelnému obsahu a ztrátě návaznosti. I jednoduchý měsíční plán s tématy zásadně zvyšuje konzistenci a dlouhodobě i SEO výkon.

Špatná práce s kategoriemi a štítky

Vytváření desítek kategorií pro každý článek zvlášť vede k rozmělněné a nepřehledné struktuře webu. Doporučuji mít promyšlenou, stabilní sadu hlavních kategorií a štítky používat střídmě jako doplněk, ne náhradu.

Ignorování interního provázání článků

Nový obsah, který na nic needuje a na nic z něj neodkazuje ostatní stránky, zůstává izolovaným ostrovem – jak pro návštěvníky, tak pro vyhledávače.

Doporučený „startovací balíček" nástrojů pro rok 2026

Kategorie Doporučený nástroj
Bezpečnost Wordfence nebo Sucuri
Výkon / cache WP Rocket
SEO Rank Math nebo Yoast SEO
Zálohování UpdraftPlus
Optimalizace obrázků ShortPixel
Formuláře WPForms
Analytika Google Analytics 4 + Search Console

Tipy z fungujícího provozu

  • Menší, ale ověřené pluginy vždy porazí velký „vše v jednom“ balík. Modularita znamená menší riziko, že jedna chyba položí celý web.
  • Staging prostředí není luxus pro velké firmy – vyplatí se i malému blogu, protože jedna neúspěšná aktualizace na produkci může znamenat hodiny ztraceného času.
  • Pravidelný audit webu jednou za čtvrt roku (rychlost, bezpečnost, nefunkční odkazy, zastaralé pluginy) ušetří mnohem víc práce, než kdybyste čekali na první problém.
  • Obsah psaný pro čtenáře, ne pro algoritmus, dlouhodobě funguje lépe i v SEO i v GEO – vyhledávače i AI systémy dnes velmi dobře rozpoznají obsah psaný „na efekt“.

FAQ – Nejčastější otázky k tématu

Je WordPress v roce 2026 stále bezpečná volba pro nový web?

Ano, WordPress zůstává bezpečnou a rozšířenou platformou, pokud se dodržují základní zásady zabezpečení – aktuální jádro, kvalitní hosting, 2FA a firewall. Naprostá většina bezpečnostních incidentů nevzniká chybou v jádru WordPressu, ale zanedbanou údržbou nebo nekvalitními pluginy.

Neexistuje univerzální číslo, ale obecně platí, že pokud web přesáhne 20–30 aktivních pluginů, je čas na audit a případné sloučení funkcí. Důležitější než počet je kvalita a aktuálnost každého pluginu.

Ne, základní správa webu (obsah, nastavení, bezpečnost) programování nevyžaduje. Znalost základů HTML a CSS ale výrazně pomáhá při řešení drobných úprav vzhledu a při lepším porozumění tomu, co jednotlivé pluginy a šablony dělají.

Některé chyby (např. slabé heslo) se mohou projevit okamžitě, jiné (zanedbaná optimalizace obrázků nebo přemíra pluginů) se hromadí postupně a projeví se až po měsících růstu obsahu a návštěvnosti – proto je důležitá pravidelná kontrola, ne jen jednorázové nastavení.

GEO (Generative Engine Optimization) je optimalizace obsahu pro generativní vyhledávače a AI asistenty, kteří odpovídají uživatelům přímo, bez nutnosti kliknout na web. I malý web má šanci být citovaný jako zdroj, pokud má přehlednou strukturu, strukturovaná data a jasně formulované odpovědi na konkrétní otázky.

Chyby, o kterých jsem psal výše, nejsou žádná exotika – potkávám je znovu a znovu, ať dělám audit webu pro velkou firmu, nebo pomáhám s prvním blogem začínajícímu podnikateli. Dobrá zpráva je, že drtivá většina z nich se dá napravit bez zásadního přepisování webu – stačí systematicky projít checklisty výše a postupně odstranit slabá místa.

]]> Jak zabezpečit WordPress v roce 2026: Kompletní průvodce pro začátečníky i pokročilé https://lukasmuller.cz/zabezpeceni-wordpress-2026/ Mon, 06 Jul 2026 05:36:56 +0000 https://lukasmuller.cz/?p=1660

Rok 2026 přináší nové výzvy – útoky generované pomocí AI nástrojů, sofistikovanější phishing kampaně cílené na administrátory a rostoucí tlak na dodržování bezpečnostních standardů kvůli evropské směrnici NIS2 a GDPR. Zároveň se ale zlepšily i obranné nástroje. V tomto článku vás provedu kompletním postupem, jak svůj WordPress web zabezpečit – od základních kroků, které zvládne i úplný začátečník, až po pokročilé techniky pro vývojáře a správce firemních webů.

Proč je zabezpečení WordPressu v roce 2026 kritické

Aktuální hrozby, se kterými se setkávám u klientů

V praxi se dnes nejčastěji setkávám s těmito typy útoků:

  • Brute-force útoky na přihlašovací formulář – automatizované zkoušení kombinací hesel, často pomocí botnetů čítajících tisíce IP adres.
  • Zneužití zastaralých pluginů a šablon – útočníci skenují internet a hledají konkrétní verze s veřejně známou zranitelností (CVE).
  • Injektování škodlivého kódu (malware injection) – nejčastěji přes zranitelné nahrávací formuláře nebo neaktualizované komponenty.
  • Phishing zaměřený přímo na administrátory – e-maily napodobující oficiální WordPress.org upozornění na „bezpečnostní aktualizaci“.
  • Zneužití API a REST endpointů – zejména u webů propojených s externími systémy (CRM, e-shopy, rezervační systémy).

Co je v sázce, pokud web zanedbáte

Napadený web nemá jen technický dopad. V praxi jsem viděl:

  • Vyřazení webu z indexu Google po detekci malwaru (propad návštěvnosti prakticky na nulu).
  • Odeslání spamových e-mailů z vašeho serveru, což vede k zablokování domény u poskytovatelů e-mailu.
  • Krádež databáze s osobními údaji klientů – s možnými právními důsledky podle GDPR.
  • Ztrátu důvěry klientů a poškození značky, které se často nedá levně napravit.

Základní zabezpečení pro začátečníky

Pokud správu webu neděláte profesionálně, tato sekce vám pokryje přibližně 80 % rizik s minimálním úsilím.

1. Aktualizace jádra, šablon a pluginů

Naprostá většina úspěšných útoků cílí na známé zranitelnosti ve starých verzích. Doporučuji:

  • Zapnout automatické aktualizace pro drobné (patch) verze jádra WordPressu.
  • Aktualizovat pluginy a šablony minimálně jednou týdně, ideálně po předchozím zálohování.
  • Odstranit neaktivní pluginy a šablony – i deaktivovaný plugin může být zranitelný, pokud zůstává na serveru.

2. Silná hesla a limity přihlašování

Doporučení Proč je to důležité
Heslo min. 16 znaků, kombinace znaků Zkracuje čas potřebný na brute-force útok z hodin na roky.
Použití správce hesel (např. Bitwarden, 1Password) Eliminuje opakované používání stejného hesla.
Omezení počtu pokusů o přihlášení Zablokuje automatizované boty po několika neúspěšných pokusech.
Změna výchozího uživatelského jména „admin“ Odstraní nejčastěji zkoušené uživatelské jméno.

3. Dvoufázové ověření (2FA)

Dvoufázové ověření je v roce 2026 už prakticky standardem, ne nadstandardem. I při odhalení hesla útočníkem mu chybí druhý faktor.

Doporučené nástroje:

  • WordPress 2FA (jednoduchý a zdarma)
  • Wordfence Login Security
  • Google Authenticator / autentikační aplikace podle vašeho volby

4. Kvalitní hosting se zabezpečením na úrovni serveru

Zabezpečení nekončí u pluginů. Hosting, který nenabízí alespoň základní ochranu, je slabým článkem celého řetězce. Při výběru správného hostingu doporučuji sledovat:

  • Podporu PHP 8.3+ a pravidelné aktualizace serverového softwaru.
  • Izolaci jednotlivých webů na serveru (tzv. account isolation).
  • Vlastní WAF firewall na úrovni serveru, nejen na úrovni pluginu.
  • Automatické denní zálohy nezávislé na WordPressu samotném.

Pokročilé zabezpečení pro vývojáře a firemní weby

1. Web Application Firewall (WAF)

WAF filtruje škodlivý provoz ještě před tím, než se dostane k WordPressu. Rozlišujeme dvě úrovně:

  • Cloudové WAF (např. Cloudflare, Sucuri) – filtruje provoz mimo váš server, ideální i proti DDoS útokům.
  • Pluginový WAF (např. Wordfence, Solid Security) – kontroluje provoz přímo v rámci WordPressu, má přístup k detailnějšímu kontextu (přihlášený uživatel, role apod.).

Doporučuji kombinaci obou úrovní u webů, kde hrozí vyšší riziko – e-shopy, weby s citlivými daty, weby s vyšší návštěvností.

2. Zabezpečení souboru wp-config.php a databáze

  • Přesuňte wp-config.php o úroveň výš mimo veřejně přístupnou složku (pokud to hosting umožňuje).
  • Změňte výchozí prefix databázových tabulek z wp_ na vlastní kombinaci znaků.
  • Definujte bezpečnostní klíče (Authentication Unique Keys) a pravidelně je obměňujte.
  • Omezte přímý přístup k wp-config.php pravidlem v .htaccess nebo přes konfiguraci Nginx.

3. Hardening souborů a oprávnění

Typ souboru/složky Doporučené oprávnění
Složky 755
Soubory 644
wp-config.php 440 nebo 400 (podle konfigurace serveru)
wp-content/uploads zákaz spouštění PHP skriptů

4. Omezení a monitoring REST API a XML-RPC

  • Pokud nepoužíváte externí aplikace komunikující přes XML-RPC, zcela ho vypněte.
  • Omezte REST API endpointy jen na ty, které web skutečně využívá.
  • Logujte a monitorujte neobvyklé požadavky na /wp-json/ – často jde o první krok průzkumu před útokem.

5. Bezpečnostní hlavičky (Security Headers)

Nastavení HTTP hlaviček patří k pokročilým, ale velmi efektivním krokům:

  • Content-Security-Policy – omezuje, odkud lze načítat skripty.
  • X-Frame-Options – chrání proti clickjacking útokům.
  • Strict-Transport-Security – vynucuje HTTPS připojení.
  • X-Content-Type-Options: nosniff – zabraňuje MIME-sniffing útokům.

6. Pravidelný penetrační test a bezpečnostní audit

U firemních webů a e-shopů doporučuji minimálně jednou ročně provést:

  • Automatizovaný sken zranitelností (např. přes WPScan).
  • Manuální revizi vlastního kódu, pokud web obsahuje custom vývoj.
  • Kontrolu, zda logy neobsahují stopy již proběhlého (neúspěšného) pokusu o průnik.

Zálohování jako poslední záchranná síť

Ani nejlepší zabezpečení nedává 100% jistotu. Proto je zálohování nezbytnou součástí strategie, ne doplňkem.

Pravidlo 3-2-1 pro zálohy

  • 3 kopie dat – originál plus dvě zálohy.
  • 2 různá média/umístění – např. hosting a cloudové úložiště.
  • 1 kopie mimo primární server – aby výpadek serveru neznamenal ztrátu i zálohy.

Doporučené zálohovací nástroje

Nástroj Vhodné pro
UpdraftPlus Menší weby, jednoduché nastavení
BlogVault Firemní weby, e-shopy, rychlé obnovení
Serverová záloha u hostingu Doplňková vrstva, nezávislá na WordPressu

Doporučené pluginy a nástroje pro rok 2026

Kategorie Doporučený nástroj Poznámka
Firewall a monitoring Wordfence Security Komplexní řešení s live monitoringem
Cloudová ochrana Cloudflare Ochrana proti DDoS, cache, WAF
2FA přihlášení WP 2FA Jednoduché nastavení zdarma
Zálohy UpdraftPlus / BlogVault Podle velikosti a rozpočtu
Skenování zranitelností WPScan Detekce zranitelných verzí pluginů
SHardening a hlavičky Solid Security (dříve iThemes Security) Automatizovaný hardening

Nejčastější chyby, které vidím u klientů

  1. Ponechání výchozího uživatelského jména „admin“.
  2. Používání jednoho hesla pro více služeb (hosting, WordPress, FTP).
  3. Ignorování upozornění na aktualizace po dobu měsíců.
  4. Absence 2FA u administrátorského účtu.
  5. Zálohy uložené pouze na stejném serveru jako web.
  6. Používání nulled (pirátských) pluginů a šablon – téměř vždy obsahují skrytý malware.
  7. Chybějící monitoring – napadení je odhaleno až po propadu návštěvnosti nebo stížnosti klienta.

Časté dotazy (FAQ)

Je bezpečnostní plugin dostatečnou ochranou pro WordPress web?
Bezpečnostní plugin je důležitou, ale ne jedinou vrstvou ochrany. Skutečná bezpečnost vzniká kombinací kvalitního hostingu, aktuálního softwaru, silné autentizace a pravidelných záloh. Spoléhat se pouze na jeden plugin je v roce 2026 rizikové.
Drobné aktualizace jádra by měly být zapnuté automaticky. Pluginy a šablony doporučuji kontrolovat a aktualizovat minimálně jednou týdně, ideálně po předchozí záloze webu, aby bylo možné rychle obnovit funkčnost v případě konfliktu.
Ano. Velikost webu neurčuje, zda bude terčem útoku – většina útoků je automatizovaná a necílí na konkrétní web, ale na známé zranitelnosti WordPressu obecně. I malý web tak může být napaden jen kvůli zastaralému pluginu.

Mezi typické signály patří náhlý propad návštěvnosti, varování v Google Search Console, neznámé administrátorské účty, nevysvětlitelné odchozí e-maily nebo přesměrování návštěvníků na jiné stránky. Pravidelný monitoring a skenování pomáhá tyto signály odhalit včas.

Ne. Nulled verze placených pluginů a šablon téměř vždy obsahují skrytý škodlivý kód, který umožňuje útočníkům neomezený přístup k webu. Úspora na licenci se v praxi mnohonásobně prodraží při řešení napadeného webu.
Zabezpečení WordPressu v roce 2026 není jednorázový úkol, ale kontinuální proces, který kombinuje technická opatření, kvalitní hosting a pravidelnou údržbu. Základní kroky – aktualizace, silná hesla, 2FA a zálohy – zvládne každý majitel webu. Pokročilejší opatření, jako je hardening serveru, WAF na více úrovních nebo pravidelné penetrační testy, už vyžadují odbornou péči.
]]>