ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
złośliwe boty
Zautomatyzowany ruch, który nie służy użytkownikom ani wyszukiwarkom: boty skanujące podatności, zgadujące hasła, kopiujące treści i ceny, spamujące formularze, testujące karty. Na stronie WordPress obciążają serwer i zaśmiecają statystyki; ogranicza się je WAF-em, rate limitingiem, regułami na poziomie serwera lub CDN.
TAB. 1Nazwapo polsku
| Po angielsku | bad bots / bot traffic |
|---|---|
| Po polsku | złośliwe boty |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | złe boty · ruch botów · bad bots · szkodliwe boty |
| Odmiana | bot (r.m.): złośliwych botów, złośliwymi botami |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Prasa branżowa pisze po polsku: itwiz — „Złośliwe boty co roku stają się coraz bardziej zaawansowane”; homodigital — „Złe boty przejmują coraz więcej ruchu w internecie”; raport Imperva/Thales pozostaje pod angielską nazwą „Bad Bot Report”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Złośliwe boty co roku stają się coraz bardziej zaawansowane.” | itwiz.pl |
| PL | „Złe boty przejmują coraz więcej ruchu w internecie, a sztuczna inteligencja daje im lepsze możliwości ataków” | homodigital.pl |
| PL | „Według raportu „2026 Thales Bad Bot Report” boty generują już 53 proc. całego ruchu internetowego. Co szczególnie niepokojące, aż 40 proc. ruchu to tzw. złe boty.” | polskiprzemysl.com.pl |
TAB. 4Obok w tej dziedzinie4
| zabezpieczenia w .htaccess | .htaccess hardening | Reguły dopisane do pliku .htaccess (serwer Apache/LiteSpeed), które ograniczają dostęp do wrażliwych plików i katalogów WordPressa: blokują wp-config.php i xmlrpc.php, wyłączają listowanie katalogów (Options -Indexes), zabraniają uruchamiania PHP w uploads, zawężają wp-admin do wybranych adresów IP. Reguły wpisuje się poza blokiem # BEGIN WordPress, który WordPress sam nadpisuje. |
| zabezpieczenie katalogu hasłem | HTTP basic authentication (password-protecting wp-admin) | Dodatkowe hasło wymagane przez sam serwer WWW (okienko logowania przeglądarki, pliki .htaccess i .htpasswd) zanim w ogóle załaduje się wp-login.php lub wp-admin. Zatrzymuje boty zgadujące hasła WordPressa; trzeba wyłączyć z ochrony admin-ajax.php, bo korzystają z niego wtyczki na froncie strony. |
| zapytanie parametryzowane | prepared statement | Zapytanie SQL, w którym dane przekazuje się osobno od jego treści, dzięki czemu wartość od użytkownika nie może zmienić struktury zapytania — zalecana, niezależna od języka programowania ochrona przed SQL injection (w PHP: PDO/mysqli z bindowaniem parametrów). WAŻNE: WordPressowe $wpdb->prepare() NIE jest prawdziwym prepared statement — to własna funkcja działająca, jak pisze sekurak, „na zasadzie match & replace”, która podstawia wartości w miejsce %s/%d z escapowaniem po stronie PHP. Skutek praktyczny: sam szablon zapytania (pierwszy argument prepare) nigdy nie może pochodzić od użytkownika, bo wtedy parametryzacja niczego nie chroni. |
| zmiana adresu logowania | custom login URL / hiding wp-login.php | Zastąpienie domyślnego adresu logowania WordPressa (/wp-login.php, /wp-admin) własnym, np. wtyczką WPS Hide Login lub opcją wtyczki bezpieczeństwa. Odcina masowe boty zgadujące hasła i zmniejsza obciążenie serwera, ale nie zastępuje silnych haseł ani 2FA. |