Alfabet

Filtr

Szukaj hasła

ARK. 1Wiedza · Baza wiedzy · Słownik60 z 473 haseł · wyczyść

Słownik pojęć: po angielsku, po polsku i której formy używać.

TAB. 1A2 haseł

Nazwa	Definicja
aktualizacja rdzenia WordPressa +W	Aktualizacja samego oprogramowania WordPress — a nie wtyczek czy motywów — która w wydaniach bezpieczeństwa usuwa konkretne podatności i jest najtańszym elementem ochrony strony.
core update
automatyczna aktualizacja +W	Mechanizm samoczynnej instalacji aktualizacji: dla mniejszych wydań rdzenia włączony domyślnie od WordPressa 3.7, a dla wtyczek i motywów dostępny opcjonalnie od wersji 5.5.
auto-update

TAB. 2B1 haseł

Nazwa	Definicja
blokada wykonywania PHP w katalogu uploads +W	Reguła serwera (plik .htaccess w wp-content/uploads albo wpis w konfiguracji nginx), która zabrania uruchamiania plików .php w katalogu na media. Nawet jeśli atakujący wgra przez lukę webshell do uploads, serwer go nie wykona.
disabling PHP execution in uploads directory

TAB. 3C5 haseł

Nazwa	Definicja
CAPTCHA +W	Test odróżniający człowieka od bota, stosowany w formularzach kontaktowych, logowaniu, rejestracji i zamówieniu. W WordPressie dodaje się go wtyczką lub w ustawieniach wtyczki formularzy; popularne warianty to Google reCAPTCHA (v2 z polem „Nie jestem robotem”, v3 niewidoczna), hCaptcha i Cloudflare Turnstile.
CAPTCHA (reCAPTCHA, Turnstile)
certyfikat SSL/TLS +W	Podpisane przez urząd certyfikacji poświadczenie wiążące klucz publiczny z domeną, umożliwiające szyfrowane połączenie HTTPS; chroni dane w drodze między przeglądarką a serwerem, ale w żaden sposób nie zabezpiecza samej strony przed włamaniem.
SSL/TLS certificate
cross-site contamination +W	Rozprzestrzenienie się infekcji z jednej witryny na pozostałe strony w tym samym koncie hostingowym — przez wspólny katalog nadrzędny, wspólnego użytkownika systemowego albo współdzieloną bazę — przez co wyczyszczenie pojedynczej strony nie kończy problemu.
cross-site contamination
CSP (Content Security Policy) +W	Nagłówek określający, z jakich źródeł przeglądarka może wczytywać skrypty, style i inne zasoby, przez co ogranicza SKUTKI wstrzyknięcia obcego kodu (XSS) — jest warstwą ograniczającą szkody, a nie naprawą podatności po stronie serwera.
Content Security Policy (CSP)
czyszczenie przejętej strony +W	Usunięcie ze strony złośliwego kodu, backdoorów i kont napastnika oraz przywrócenie pierwotnej treści, zakończone zamknięciem drogi, którą doszło do włamania — bez tego infekcja wraca.
site cleanup

TAB. 4D1 haseł

Nazwa	Definicja
default_role +W	Opcja WordPressa określająca rolę, którą dostaje każdy nowy użytkownik — zarejestrowany sam albo dodany przez administratora (Ustawienia → Ogólne → Domyślna rola nowych użytkowników). Razem z opcją users_can_register („Każdy może się zarejestrować”) tworzy jedno ryzyko: otwarta rejestracja z rolą domyślną wyższą niż Subskrybent pozwala każdemu założyć konto z uprawnieniami.
default_role

Nazwa

Definicja

default_role +W

Opcja WordPressa określająca rolę, którą dostaje każdy nowy użytkownik — zarejestrowany sam albo dodany przez administratora (Ustawienia → Ogólne → Domyślna rola nowych użytkowników). Razem z opcją users_can_register („Każdy może się zarejestrować”) tworzy jedno ryzyko: otwarta rejestracja z rolą domyślną wyższą niż Subskrybent pozwala każdemu założyć konto z uprawnieniami.

default_role

TAB. 5E3 haseł

Nazwa	Definicja
edytor plików motywów i wtyczek +W	Wbudowany w panel WordPressa edytor kodu (Wygląd → Edytor plików motywu, Wtyczki → Edytor plików wtyczek), który pozwala administratorowi zmieniać pliki PHP prosto z przeglądarki. Stała define('DISALLOW_FILE_EDIT', true); w wp-config.php wyłącza go, żeby przejęte konto administratora nie dawało od ręki możliwości wykonania kodu na serwerze.
theme/plugin file editor (DISALLOW_FILE_EDIT)
enumeracja użytkowników +W	Pozyskiwanie listy istniejących loginów aplikacji — w WordPressie m.in. przez archiwa autorów, adres /?author=1 i endpoint /wp-json/wp/v2/users, gdzie indziej przez różnicę w odpowiedziach dla konta istniejącego i nieistniejącego — jako przygotowanie do ataku na hasła.
user enumeration
escapowanie +W	Zakodowanie danych tuż przed wypisaniem ich na stronę, zależnie od kontekstu wyjścia (HTML, atrybut, URL, JavaScript), tak by przeglądarka potraktowała je jako tekst, a nie kod — podstawowa obrona przed XSS, wykonywana na wyjściu, a nie na wejściu.
escaping

TAB. 6F2 haseł

Nazwa	Definicja
fałszywa wtyczka +W	Wtyczka WordPressa stworzona lub przerobiona w złym zamiarze — często podszywająca się pod znaną nazwę (np. Wordfence) albo obiecująca „optymalizację SEO” — która po instalacji tworzy konta administratorów, instaluje backdoor lub wstrzykuje złośliwy kod. Trafia na stronę przez przejęty panel admina, fałszywe maile „od zespołu WordPressa” albo z nieoficjalnych źródeł.
fake plugin / malicious plugin
flagi ciasteczek +W	Atrybuty nagłówka Set-Cookie ograniczające nadużycia ciasteczek: HttpOnly blokuje odczyt przez JavaScript (utrudnia kradzież sesji przez XSS), Secure pozwala wysyłać ciasteczko tylko po HTTPS, SameSite ogranicza wysyłanie przy żądaniach z innych witryn (ochrona przed CSRF). WordPress ustawia ciasteczka logowania z HttpOnly, a z Secure na stronach działających po HTTPS.
cookie security attributes (HttpOnly, Secure, SameSite)

TAB. 7H3 haseł

Nazwa	Definicja
hasła aplikacji +W	Mechanizm WordPressa (od wersji 5.6), w którym w profilu użytkownika generuje się osobne hasło dla każdej zewnętrznej aplikacji łączącej się przez REST API lub XML-RPC. Każde można odwołać niezależnie, ale daje ono aplikacji pełne uprawnienia roli tego użytkownika i omija logowanie z 2FA.
application passwords (WordPress)
hosting współdzielony +W	Hosting, w którym wiele kont klientów działa na jednym serwerze i dzieli jego zasoby (CPU, RAM, adres IP). Bezpieczeństwo zależy od izolacji kont (np. CloudLinux/CageFS, osobni użytkownicy systemowi): przy słabej izolacji infekcja jednej strony może przejść na sąsiednie, a zasobożerny sąsiad spowalnia pozostałe.
shared hosting
HSTS (HTTP Strict Transport Security) +W	Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki.
HTTP Strict Transport Security (HSTS)

TAB. 8K3 haseł

Nazwa	Definicja
klucze bezpieczeństwa i sole +W	Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego.
WordPress security keys and salts
koniec wsparcia dla wersji PHP +W	Moment, w którym dana wersja PHP przestaje otrzymywać poprawki bezpieczeństwa od twórców języka — po nim środowisko hostingowe strony pozostaje podatne niezależnie od tego, jak aktualny jest sam WordPress. Każde wydanie PHP ma dwie fazy: 2 lata aktywnego wsparcia (poprawki błędów i bezpieczeństwa) i kolejne 2 lata wyłącznie poprawek krytycznych podatności; łącznie ok. 4 lata od premiery.
PHP end-of-life
kopia zapasowa +W	Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia.
backup

TAB. 9L1 haseł

Nazwa	Definicja
limit prób logowania +W	Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont).
login lockout

Nazwa

Definicja

limit prób logowania +W

Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont).

TAB. 10M3 haseł

Nazwa	Definicja
mixed content +W	Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie.
mixed content
ModSecurity +W	Otwartoźródłowy WAF działający jako moduł serwera WWW (Apache, Nginx, LiteSpeed), który filtruje żądania HTTP według reguł (np. OWASP Core Rule Set lub reguł hostingu). Na hostingu współdzielonym to on najczęściej stoi za nagłym błędem 403 przy zapisie wpisu w WordPressie — rozwiązaniem jest wyjątek dla konkretnej reguły (ID z logu), a nie wyłączenie ochrony.
ModSecurity
monitorowanie integralności plików +W	Porównywanie plików strony z wzorcem — na przykład sumami kontrolnymi oficjalnego wydania WordPressa — w celu wykrycia plików zmodyfikowanych lub dodanych przez napastnika.
file integrity monitoring

TAB. 11N3 haseł

Nazwa	Definicja
nagłówki bezpieczeństwa HTTP +W	Nagłówki odpowiedzi serwera (m.in. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy), którymi strona instruuje przeglądarkę, jak ma ograniczyć ryzykowne zachowania.
HTTP security headers
niezabezpieczony endpoint REST API +W	Wykorzystanie publicznie wystawionego endpointu REST API WordPressa lub wtyczki do pobrania danych albo wywołania akcji bez wymaganego uwierzytelnienia i autoryzacji — typowo dlatego, że kod rejestrujący trasę nie sprawdza uprawnień w permission_callback (albo zwraca w nim stałe true).
REST API abuse
nonce +W	Dwa różne znaczenia pod jedną nazwą. (1) Kryptograficzne: wartość użyta tylko raz w danym kontekście (klucz/sesja); jej ponowne użycie łamie bezpieczeństwo szyfru — na tym polegały ataki KRACK i Kr00k. (2) WordPressowe: token powiązany z użytkownikiem, konkretną akcją i ograniczonym czasem życia (domyślnie ważny do ok. 24 godzin), chroniący przed CSRF — mimo nazwy NIE jest jednorazowy, działa wielokrotnie w swoim oknie czasowym i nie zastępuje weryfikacji uprawnień (current_user_can).
nonce

TAB. 12O1 haseł

Nazwa	Definicja
ochrona przed atakami brute force +W	Zestaw mechanizmów utrudniających zgadywanie haseł do panelu — limity prób liczone zarówno per konto, jak i per źródło żądania, CAPTCHA, narastające opóźnienia, blokady czasowe oraz drugi składnik logowania.
brute force protection

TAB. 13P6 haseł

Nazwa	Definicja
piracka wtyczka (nulled plugin) +W	Płatna wtyczka lub motyw rozpowszechniany za darmo z usuniętą kontrolą licencji, często z celowo doklejonym backdoorem, który daje napastnikowi dostęp do strony od pierwszego dnia.
nulled plugin
podatność w motywie +W	Błąd bezpieczeństwa w kodzie motywu (szablonu) WordPressa lub w bibliotece dołączonej do motywu, wykorzystywany do przejęcia strony — groźny zwłaszcza w motywach kupowanych na giełdach szablonów, rzadko aktualizowanych, oraz w motywach nieaktywnych, które pozostają na serwerze i nadal zawierają podatny kod.
theme vulnerability
podatność we wtyczce +W	Błąd bezpieczeństwa w kodzie wtyczki WordPressa, pozwalający napastnikowi na działania niedostępne dla zwykłego użytkownika (wgranie pliku, zmianę treści, przejęcie konta). Wtyczki odpowiadają za zdecydowaną większość publikowanych podatności ekosystemu WordPressa i są — obok słabych i wykradzionych haseł — jednym z głównych wektorów przejmowania stron.
plugin vulnerability
podmiana treści strony (defacement) +W	Atak polegający na jawnym zastąpieniu wyglądu lub treści strony komunikatem napastnika, nastawiony na rozgłos i kompromitację właściciela, a nie na pozostanie w ukryciu.
defacement
porzucona wtyczka +W	Wtyczka, której autor przestał rozwijać i łatać, przez co znane w niej podatności pozostają nienaprawione, mimo że wtyczka nadal działa na stronie.
abandoned plugin
prefiks tabel +W	Przedrostek nazw tabel bazy danych WordPressa ustawiany w wp-config.php zmienną $table_prefix (domyślnie wp_, np. wp_users). Zmiana na nietypowy utrudnia gotowym exploitom SQL injection zgadywanie nazw tabel, ale nie usuwa samej luki; na działającej stronie wymaga zmiany nazw tabel i wpisów w wp_options oraz wp_usermeta.
database table prefix (changing wp_)

TAB. 14R1 haseł

Nazwa	Definicja
role i uprawnienia użytkowników +W	System WordPressa przypisujący każdemu kontu rolę (Administrator, Redaktor, Autor, Współpracownik, Subskrybent; w sieci witryn także Super administrator), a roli zestaw uprawnień (capabilities), np. edit_posts, install_plugins. Z punktu widzenia bezpieczeństwa: jak najmniej kont z rolą Administrator, a luki we wtyczkach dostępne „dla subskrybenta” są groźne, gdy rejestracja jest otwarta.
user roles and capabilities (WordPress)

Nazwa

Definicja

role i uprawnienia użytkowników +W

System WordPressa przypisujący każdemu kontu rolę (Administrator, Redaktor, Autor, Współpracownik, Subskrybent; w sieci witryn także Super administrator), a roli zestaw uprawnień (capabilities), np. edit_posts, install_plugins. Z punktu widzenia bezpieczeństwa: jak najmniej kont z rolą Administrator, a luki we wtyczkach dostępne „dla subskrybenta” są groźne, gdy rejestracja jest otwarta.

user roles and capabilities (WordPress)

TAB. 15S6 haseł

Nazwa	Definicja
sanityzacja danych wejściowych +W	Oczyszczanie i filtrowanie danych przyjmowanych od użytkownika do dopuszczalnej postaci w momencie ich wczytania, zanim trafią do bazy lub logiki aplikacji.
sanitization
scraping +W	Automatyczne pobieranie treści lub danych ze strony (artykułów, opisów produktów, cen, danych osobowych) przez boty, zwykle bez zgody właściciela — w celu kopiowania, porównywania cen albo trenowania modeli AI. Na stronie WordPress widać to jako masowe żądania do wpisów, kanału RSS lub REST API.
content scraping
SEO spam +W	Nadużycie już przejętej strony polegające na ukrytym dodaniu do niej treści i linków pozycjonujących cudze serwisy — najczęściej hazardowe, farmaceutyczne lub pirackie — zwykle widocznych dla robota wyszukiwarki, a nie dla właściciela.
SEO spam
SFTP +W	SSH File Transfer Protocol — protokół przesyłania plików działający jako podsystem SSH (na tym samym połączeniu i porcie co SSH, domyślnie 22), który w odróżnieniu od klasycznego FTP nie wysyła loginu, hasła ani zawartości plików tekstem jawnym.
SFTP
skaner złośliwego oprogramowania (malware scanner) +W	Narzędzie przeszukujące pliki i bazę danych strony pod kątem sygnatur złośliwego kodu, backdoorów i podejrzanych wzorców; wykrywa infekcję i zwykle potrafi wyleczyć zmienione pliki rdzenia, ale nie zamyka drogi, którą napastnik wszedł — to zostaje po stronie operatora.
malware scanner
spam w komentarzach +W	Masowo dodawane komentarze (a w WordPressie także fałszywe pingbacki i trackbacki) z odnośnikami do obcych stron, obciążające witrynę i szkodzące jej ocenie w wyszukiwarce; ograniczany moderacją, filtrami antyspamowymi i wyłączaniem komentarzy tam, gdzie są zbędne.
comment spam

TAB. 16Ś1 haseł

Nazwa	Definicja
środowisko testowe +W	Odrębna kopia strony (staging) postawiona obok produkcji i służąca do testowania zmian przed ich wdrożeniem, która z punktu widzenia bezpieczeństwa nie może być publicznie dostępna, indeksowana ani porzucona bez aktualizacji.
staging

TAB. 17T3 haseł

Nazwa	Definicja
Ta witryna mogła paść ofiarą ataku hakerów +W	Oznaczenie, które Google dodaje do wyniku wyszukiwania witryny, gdy uzna, że haker zmienił jej strony lub dodał spam — po polsku „Ta witryna mogła paść ofiarą ataku hakerów”. Właściciel dostaje powiadomienie w Search Console (raport „Problemy dotyczące bezpieczeństwa”); po wyczyszczeniu strony zgłasza tam prośbę o ponowne sprawdzenie.
hacked site warning
testowanie kart +W	Nadużycie, w którym przestępcy (zwykle botami) wykonują w sklepie serię drobnych płatności lub autoryzacji skradzionymi albo wygenerowanymi numerami kart, aby sprawdzić, które karty są aktywne. W WooCommerce objawia się lawiną nieudanych zamówień i odrzuconych płatności, często przez Store API z pominięciem formularza zamówienia.
card testing attack
tryb debugowania na produkcji +W	Pozostawienie włączonego WP_DEBUG (i WP_DEBUG_DISPLAY/WP_DEBUG_LOG) na działającej stronie. Błędy PHP pokazują wtedy odwiedzającym ścieżki serwera i fragmenty zapytań, a plik wp-content/debug.log bywa dostępny z przeglądarki — zdarzało się, że wtyczki zapisywały w nim tokeny pozwalające przejąć konto.
debug mode in production (WP_DEBUG, publicly exposed debug.log)

TAB. 18U3 haseł

Nazwa	Definicja
unfiltered_html +W	Uprawnienie WordPressa pozwalające publikować dowolny HTML i JavaScript we wpisach, stronach, komentarzach i widżetach bez filtrowania. Domyślnie mają je tylko Administrator i Redaktor (w multisite wyłącznie Super Admin); przyznane niższej roli albo niezaufanemu kontu oznacza w praktyce stored XSS.
unfiltered_html
uprawnienia plików +W	Ustawienia praw odczytu, zapisu i wykonania plików oraz katalogów na serwerze (typowo 644 dla plików i 755 dla katalogów), ograniczające możliwość podmiany kodu strony przez proces serwera WWW.
file permissions
utwardzanie pliku wp-config.php +W	Zabezpieczenie głównego pliku konfiguracyjnego WordPressa, zawierającego dane dostępowe do bazy: ustawienie unikalnych kluczy i soli, wyłączenie edytora plików w panelu (DISALLOW_FILE_EDIT) oraz zablokowanie dostępu do pliku z zewnątrz.
wp-config hardening

TAB. 19W6 haseł

Nazwa	Definicja
webshell +W	Skrypt wgrany na serwer strony, który przez zwykłe żądanie HTTP pozwala napastnikowi wykonywać polecenia i operacje na plikach — najczęstsza postać backdoora na WordPressie.
web shell
weryfikacja uprawnień +W	Sprawdzenie po stronie serwera — w WordPressie funkcją current_user_can() — czy uwierzytelniony użytkownik ma prawo wykonać daną operację, czyli właściwa kontrola autoryzacji, odrębna od nonce'a i przez niego niezastępowalna.
capability check
wirtualne patchowanie (virtual patching) +W	Blokowanie prób wykorzystania znanej podatności regułą zapory aplikacyjnej (WAF), zanim powstanie poprawka w kodzie wtyczki czy motywu — albo gdy nie powstanie w ogóle.
virtual patching
WPCS +W	Zestaw reguł PHP_CodeSniffer sprawdzających, czy kod wtyczki lub motywu trzyma się oficjalnych standardów kodowania WordPressa. Poza stylem zawiera reguły bezpieczeństwa: weryfikację nonce, sanityzację i escapowanie danych oraz przygotowane zapytania SQL — to na nich opiera się automatyczna kontrola kodu przed wdrożeniem.
WordPress Coding Standards (WPCS)
wpis na czarną listę (blacklisting) +W	Oznaczenie domeny jako niebezpiecznej przez Google Safe Browsing, przeglądarki lub filtry pocztowe, skutkujące ostrzeżeniem dla odwiedzających i gwałtowną utratą ruchu.
blacklisting
wtyczka bezpieczeństwa +W	Wtyczka łącząca funkcje ochrony i wykrywania (zapora aplikacyjna, skaner plików, blokada prób logowania, powiadomienia, rejestr zdarzeń) — uzupełnienie, a nie zamiennik aktualizacji, kopii zapasowych i poprawnie napisanego kodu.
security plugin

TAB. 20X1 haseł

Nazwa	Definicja
XML-RPC +W	Protokół zdalnego wywoływania procedur, przesyłający wywołania zakodowane w XML przez HTTP. W WordPressie wystawiony plikiem xmlrpc.php (starszy kanał zdalnego zarządzania, dziś w większości zastąpiony przez REST API) i nadużywany do dwóch rzeczy: wzmacniania ataków brute-force (metoda system.multicall pozwala sprawdzić wiele haseł w jednym żądaniu, omijając liczniki nieudanych logowań) oraz do rozproszonych ataków DDoS, w których podatne witryny WordPress służą jako reflektory wysyłające ruch do ofiary (pingback).
XML-RPC

Nazwa

Definicja

XML-RPC +W

Protokół zdalnego wywoływania procedur, przesyłający wywołania zakodowane w XML przez HTTP. W WordPressie wystawiony plikiem xmlrpc.php (starszy kanał zdalnego zarządzania, dziś w większości zastąpiony przez REST API) i nadużywany do dwóch rzeczy: wzmacniania ataków brute-force (metoda system.multicall pozwala sprawdzić wiele haseł w jednym żądaniu, omijając liczniki nieudanych logowań) oraz do rozproszonych ataków DDoS, w których podatne witryny WordPress służą jako reflektory wysyłające ruch do ofiary (pingback).

XML-RPC

TAB. 21Z5 haseł

Nazwa	Definicja
zabezpieczenia w .htaccess +W	Reguły dopisane do pliku .htaccess (serwer Apache/LiteSpeed), które ograniczają dostęp do wrażliwych plików i katalogów WordPressa: blokują wp-config.php i xmlrpc.php, wyłączają listowanie katalogów (Options -Indexes), zabraniają uruchamiania PHP w uploads, zawężają wp-admin do wybranych adresów IP. Reguły wpisuje się poza blokiem # BEGIN WordPress, który WordPress sam nadpisuje.
.htaccess hardening
zabezpieczenie katalogu hasłem +W	Dodatkowe hasło wymagane przez sam serwer WWW (okienko logowania przeglądarki, pliki .htaccess i .htpasswd) zanim w ogóle załaduje się wp-login.php lub wp-admin. Zatrzymuje boty zgadujące hasła WordPressa; trzeba wyłączyć z ochrony admin-ajax.php, bo korzystają z niego wtyczki na froncie strony.
HTTP basic authentication (password-protecting wp-admin)
zapytanie parametryzowane +W	Zapytanie SQL, w którym dane przekazuje się osobno od jego treści, dzięki czemu wartość od użytkownika nie może zmienić struktury zapytania — zalecana, niezależna od języka programowania ochrona przed SQL injection (w PHP: PDO/mysqli z bindowaniem parametrów). WAŻNE: WordPressowe $wpdb->prepare() NIE jest prawdziwym prepared statement — to własna funkcja działająca, jak pisze sekurak, „na zasadzie match & replace”, która podstawia wartości w miejsce %s/%d z escapowaniem po stronie PHP. Skutek praktyczny: sam szablon zapytania (pierwszy argument prepare) nigdy nie może pochodzić od użytkownika, bo wtedy parametryzacja niczego nie chroni.
prepared statement
złośliwe boty +W	Zautomatyzowany ruch, który nie służy użytkownikom ani wyszukiwarkom: boty skanujące podatności, zgadujące hasła, kopiujące treści i ceny, spamujące formularze, testujące karty. Na stronie WordPress obciążają serwer i zaśmiecają statystyki; ogranicza się je WAF-em, rate limitingiem, regułami na poziomie serwera lub CDN.
bad bots / bot traffic
zmiana adresu logowania +W	Zastąpienie domyślnego adresu logowania WordPressa (/wp-login.php, /wp-admin) własnym, np. wtyczką WPS Hide Login lub opcją wtyczki bezpieczeństwa. Odcina masowe boty zgadujące hasła i zmniejsza obciążenie serwera, ale nie zastępuje silnych haseł ani 2FA.
custom login URL / hiding wp-login.php

po polsku: nazwa polska w kolorze. Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
obie formy: obie nazwy w kolorze. Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
po angielsku: nazwa angielska w kolorze. Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
bez tłumaczenia: nazwa angielska w kolorze. Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Nazwa: Pierwszy wiersz — polska nazwa (link do strony hasła), drugi — angielska. Szara nazwa istnieje, ale nie jest formą, której używamy.
Definicja: Skrócona do dwóch wierszy. Pełna — razem z odmianą, synonimami i cytatami ze źródeł — jest na stronie hasła.
Alfabet: Litera pokazuje tylko hasła na tę literę; „Wsz.” wraca do całości. Wyszarzone litery nie mają haseł w bieżącym filtrze.
Szukaj hasła: Szuka w nazwie polskiej i angielskiej, w synonimach i w definicji. Najpierw hasła, których nazwa pasuje, potem te, w których słowo pada tylko w definicji. Ta sama wyszukiwarka stoi w Bazie wiedzy i w Rozszerzeniach.