Wordfence je eden najbolj znanih varnostnih vtičnikov WordPress: daje spletni požarni zid, iskalnik škodljive programske opreme, zaščito prijave in spremljanje prometa. Vsako spletno mesto ga ne potrebuje, na deljenem gostovanju pa ima svojo ceno. Spodaj opisujemo, kdaj se splača in na kaj paziti, če ga namestiš.

Podatke smo oktobra 2026 izmerili z brezplačno licenco različice 9.0.2 Wordfence na testnem računu gostovanja cPanel aWh, ob WordPress 7.1, na spletnem mestu brez vsebine. Preizkusili smo tudi iskanje, vklop požarnega zidu in odstranitev.

Ali ga potrebuješ?

Vprašanje je, kaj že teče na tvojem gostovanju.

Zaščita	Na gostovanju cPanel privzeto	Ali jo Wordfence doda?
Iskanje škodljive programske opreme v datotekah	ImunifyAV+ na strežniku (če kaj najde)	Da, primerja jih tudi z lastnimi datotekami WordPressa
Opozarjanje na ranljive vtičnike	WP Toolkit	Da
Varnostne nastavitve	WP Toolkit	Deloma
Omejevanje ugibanja gesel	Zaščita na strani strežnika	Da, na ravni WordPressa
Dvostopenjska prijava	Ne	Da (Login Security)
Spletni požarni zid pred WordPressom	Ne	Da

Za preprosto, posodabljano spletno mesto na gostovanju cPanel večinoma zadošča tisto, kar da strežnik, dopolnjeno z osnovnimi varnostnimi nastavitvami in manjšim vtičnikom, ki daje le dvostopenjsko prijavo. Wordfence se splača, če želiš spletni požarni zid pred WordPressom, na primer pri spletni trgovini ali strani za članstvo, z veliko uporabniki, ali če želiš sam videti, kakšni napadi zadenejo spletno mesto. WP Toolkit je na voljo le na gostovanju cPanel, zato lahko na spletnem gostovanju varnostni vtičnik zaradi opozarjanja na ranljive vtičnike in zaščite na ravni WordPressa da več.

Če je pred spletnim mestom Cloudflare ali drug proxy, del tamkajšnjih pravil požarnega zidu nadomesti požarni zid Wordfence, obremenitev pa tudi ne nastane na gostovanju.

Namestitev

1. V skrbniškem vmesniku izberi točko Vtičniki › Dodaj vtičnik, poišči Wordfence, ga namesti in vklopi. To lahko narediš tudi iz WP Toolkit ali iz ukazne vrstice: wp plugin install wordfence --activate.
2. Vtičnik po vklopu izpiše: You must install a license to continue using Wordfence. Tudi za brezplačno uporabo je potrebna registracija. Z gumbom RESUME INSTALLATION, nato GET YOUR WORDFENCE LICENSE licenco zahtevaš na strani Wordfence.
3. Prejeti ključ vneseš s klikom na povezavo Install an existing license: v polje Email pride prejemnik opozoril, v polje License Key ključ, nato klikni gumb INSTALL LICENSE. Uspešno namestitev označi sporočilo Free License Installed. Wordfence prosi, naj vsaka namestitev dobi lasten ključ.
4. Navedi e-poštni naslov, ki ga redno bereš, ker vtičnik sem pošilja opozorila.

Meni vtičnika se prikaže v levi vrstici, v angleščini: Dashboard, Firewall, Scan, Tools, Audit Log, Login Security, All Options, Help.

Prvo iskanje

Na strani Scan iskanje zažene gumb START NEW SCAN. Na našem testnem spletnem mestu brez vsebine je v 21 sekundah pregledal 4433 datotek, 3 vtičnike, 3 predloge in 414 naslovov. Njegov edini zadetek nizke resnosti je bil, da je zaradi nastavitev dve poti izpustil iz iskanja škodljive programske opreme, kar ne pomeni okužbe. Na spletnem mestu z veliko slikami in vtičniki iskanje traja precej dlje.

V brezplačni različici se vzorci škodljive programske opreme posodabljajo s 30-dnevno zamudo (Signature updates delayed by 30 days), črni seznam IP v realnem času in preverjanja ugleda (Spamvertising Checks, Spam Check, Blocklist Check) pa niso na voljo.

Vklop požarnega zidu

Požarni zid se zažene v načinu Learning Mode (učenje), v našem preizkusu nastavljenem na sedem dni. V tem času le opazuje, da spozna običajni promet spletnega mesta, in ne blokira: v našem preizkusu so šli skozi tudi vzorci napadov. Do konca tedna preizkusi pomembne funkcije spletnega mesta, prijavo, obrazce in blagajno. Nato v nastavitvah strani Firewall preklopi v način Enabled and Protecting, če samodejni preklop ni vklopljen.

Privzeta raven Basic WordPress Protection začne delovati šele ob nalaganju WordPressa. Močnejši način Extended Protection vklopiš z gumbom Optimize the Wordfence Firewall:

1. Čarovnik prepozna strežnik; na strežniku cPanel aWh je bil vnaprej izbran LiteSpeed/lsapi, to pusti.
2. Z gumboma DOWNLOAD .HTACCESS in DOWNLOAD .USER.INI prenesi obe varnostni kopiji. Gumb CONTINUE je aktiven šele nato.
3. Uspešno nastavitev označi sporočilo Installation Successful.

Čarovnik v korenu spletnega mesta ustvari datoteko wordfence-waf.php in v datoteki .htaccess in .user.ini zapiše blok # Wordfence WAF. V našem preizkusu je požarni zid nato z napako 403 in sporočilom A potentially unsafe operation has been detected zavrnil vzorce prečkanja imenikov in vstavljanja skriptov, običajne zahteve pa so šle skozi. Preprost vzorec vbrizgavanja SQL pa je prišel skozi, ker se ni ujemal z nobenim pravilom, zato požarni zid ne nadomesti posodobitev.

Na kaj paziti ob Extended Protection

To smo izkusili v lastnem preizkusu:

• Ne izbriši datoteke wordfence-waf.php. Če datoteka manjka, nastavitev pa se še sklicuje nanjo, celotno spletno mesto vrne napako 500. Če se je to zgodilo, datoteko vrni ali izbriši blok # Wordfence WAF iz datoteke .htaccess.
• Obnovitev .htaccess tiho izklopi požarni zid. Če datoteko ponastaviš na privzeto stanje, spletno mesto deluje naprej brezhibno, požarni zid pa ne teče dovolj zgodaj, zato moraš čarovnika zagnati znova.
• Selitev: blok vsebuje celotno pot datoteke. Pred selitvijo ali menjavo mape ga izklopi z gumbom REMOVE EXTENDED PROTECTION, nato ga s čarovnikom vklopi nazaj.

Koliko virov porabi?

Naši izmerjeni podatki s testnega spletnega mesta brez vsebine:

Kaj smo merili	Rezultat
Čas do prvega bajta začetne strani	Izklopljeno pribl. 0,10 s, vklopljeno pribl. 0,15 s, v načinu Extended Protection pribl. 0,17 s
Velikost vtičnika	22 MB
Mapa wp-content/wflogs	8,3 MB, že po vklopu
Nove tabele podatkovne baze	26
Nova načrtovana opravila	Urni in dnevni zagoni

Na praznem spletnem mestu to ni veliko, vendar se vtičnik izvede ob vsaki zahtevi, celotno iskanje pa bere veliko datotek. Na deljenem gostovanju lahko to trči ob omejitev virov in povzroči napako 508. Zato:

• Scan: v razdelku Performance Options strani All Options vklopi nastavitev Use low resource scanning. Iskanje traja dlje, a manj obremeni gostovanje. Iskanja časovno načrtuj v obdobje z malo prometa, če imaš to možnost.
• Live Traffic: pusti omejeno na varnostne dogodke. Beleženje celotnega prometa nenehno piše v podatkovno bazo, zato ga vklopi le za kratko iskanje napak.
• En vtičnik zadošča: ne uporabljaj hkrati dveh varnostnih vtičnikov s požarnim zidom, ker se spopadata in dvojno obremenjujeta gostovanje.

Za Cloudflare

Če je pred spletnim mestom Cloudflare in Wordfence napačno prepozna naslov obiskovalca, lahko namesto obiskovalca vidiš naslov IP proxyja, zato lahko blokada izključi vse obiskovalce. V nastavitvi How does Wordfence get IPs strani All Options navedi ustrezen vir in na strani Tools › Live Traffic preveri svoj naslov IP.

Če si se zaklenil ven

Če Wordfence blokira tvoj naslov IP ali se zaradi njegovega požarnega zidu skrbniški vmesnik ne naloži, ga lahko izklopiš s preimenovanjem mape vtičnika v Upravitelju datotek ali prek FTP: wp-content/plugins/wordfence naj postane na primer wordfence-ki. S SSH: wp plugin deactivate wordfence. Nato glej članek o blokadi IP v požarnem zidu, če tvoj naslov blokira tudi požarni zid strežnika.

Odstranitev

Navadna odstranitev pusti veliko stvari. V našem preizkusu je po izbrisu vtičnika ostalo vseh 26 tabel, mapa wflogs velikosti 8,3 MB in nekaj nastavitev. Zato napreduj v tem vrstnem redu:

1. Če si uporabljal način Extended Protection, v nastavitvah požarnega zidu klikni gumb REMOVE EXTENDED PROTECTION, prenesi obe varnostni kopiji in klikni gumb CONTINUE. Uveljavitev spremembe lahko traja do 5 minut, do takrat vtičnika ne briši.
2. V razdelku General Wordfence Options strani All Options vklopi nastavitev Delete Wordfence tables and data on deactivation in shrani.
3. Vtičnik izklopi, nato ga izbriši.
4. Iz korena spletnega mesta izbriši preostalo datoteko wordfence-waf.php.

Tako je v našem preizkusu mapa wflogs izginila, od 26 tabel pa so ostale štiri: tabele s predpono wfls_ spadajo k delu Login Security, v podatkovni bazi pa ostane tudi nekaj nastavitev. Te ne tečejo, le zasedajo prostor. Med nastavitvami Login Security jih izbriše tudi Delete Login Security tables and data on deactivation, tega nismo preizkusili; naknadno jih je mogoče izbrisati tudi v phpMyAdmin.

Več varnostnih korakov za WordPress najdeš v našem praktičnem kontrolnem seznamu.