אבטחת אתר 2026: צ'קליסט שכבות מהדומיין ועד וורדפרס

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: אבטחת אתר היא שש שכבות הגנה, מהדומיין ועד וורדפרס: רשם הדומיין, DNS, Cloudflare או CDN, השרת, האפליקציה והחשבונות. רוב הפריצות לאתרי וורדפרס מגיעות מתוספים לא מעודכנים ומסיסמאות חלשות, לא מהתקפות מתוחכמות. אחסון מנוהל כמו קלאודוויז (Cloudways) מכסה את שכבת השרת, אבל הדומיין, האתר והגישה נשארים באחריותכם.

⏱ זמן קריאה: כ-17 דקות · רמה: מתחילים ומעלה · נבדק לאחרונה: 7.11.2026

שכבה	הצעד הראשון	מי אחראי
1. רשם הדומיין	אימות דו-שלבי ונעילת העברה	אתם
2. DNS	ספק DNS עם 2FA, ו-DNSSEC אם נתמך	אתם
3. Cloudflare / CDN	WAF וחסימת נתיבים רגישים	אתם (הכלי של Cloudflare)
4. השרת	חומת אש, עדכוני מערכת, הגנת Brute Force	ספק האחסון
5. האפליקציה	עדכונים, מחיקת תוספים מיותרים, סריקת נוזקות	אתם
6. החשבונות	2FA לפאנל ולוורדפרס, משתמש לכל אדם	אתם

למה אתרים נפרצים?

אתרים נפרצים בעיקר בגלל חולשות ידועות שלא עודכנו וסיסמאות חלשות, ובדרך כלל על ידי בוטים ולא על ידי אדם. רוב הפריצות לא מכוונות אליכם אישית: בוטים סורקים את האינטרנט באופן אוטומטי ומחפשים כל אתר עם חולשה מוכרת. אלה הדרכים הנפוצות שבהן זה קורה.

איום	מה זה	איך מתגוננים
תוסף או תבנית פגיעים	חולשה ידועה בקוד שלא עודכן	עדכונים שוטפים, סורק פגיעויות, מחיקת תוספים לא בשימוש
ניחוש סיסמאות (Brute Force)	בוט מנסה אלפי סיסמאות בעמוד ההתחברות או ב-SSH	סיסמה חזקה, אימות דו-שלבי, חסימת ניסיונות חוזרים
תוכנה זדונית (Malware)	קוד שמוחדר לאתר: הפניות לספאם, גניבת פרטים, כריית מטבעות	סריקה, הגנה בזמן ריצה, ניקוי וגיבוי נקי
DDoS / DoS	הצפת השרת בבקשות עד שהוא קורס	הגנה ברמת הרשת והשרת, CDN
בוטים זדוניים	סריקה, גניבת תוכן, ספאם בטפסים, צריכת משאבים	חסימת בוטים, WAF
תבנית או תוסף "פרוץ" (Nulled)	גרסה פיראטית של תוסף בתשלום, לרוב עם קוד זדוני מובנה	להתקין רק ממקורות רשמיים
פישינג וגניבת פרטי גישה	מייל מזויף שגורם למנהל למסור סיסמה	אימות דו-שלבי, מודעות, משתמש נפרד לכל אדם

המחיר של פריצה לא נגמר בניקוי. אתר פרוץ יכול לקבל אזהרה בגוגל, לאבד מיקומים בתוצאות החיפוש, להיחסם על ידי דפדפנים ולהפיץ ספאם בשם העסק. אמון של לקוחות שנפגע חוזר לאט.

מי אחראי על מה בשכבות האבטחה של אתר?

ספק האחסון אחראי על הרשת, השרת ומערכת ההפעלה; אתם אחראים על האתר, הגישה והדומיין. אבטחה טובה בנויה כמו בצל: כל שכבה עוצרת חלק מהאיומים, וכשאחת נכשלת, הבאה תופסת.

שכבה	מה היא מגינה	אחריות
רשת	הצפות DDoS, תעבורה זדונית בהיקף גדול	ספק הענן וספק האחסון
חומת אש בשרת (WAF)	בקשות זדוניות, בוטים, ניסיונות פריצה ידועים	ספק האחסון
מערכת הפעלה ותוכנות שרת	חולשות במערכת ההפעלה, ב-PHP ובמסד הנתונים	ספק האחסון (באחסון מנוהל)
אפליקציה (וורדפרס, תוספים, תבנית)	חולשות בקוד האתר	אתם
גישה	מי יכול להיכנס ללוח הבקרה, ל-SFTP ולפאנל	אתם
גיבויים	היכולת לחזור למצב נקי	משותפת: הספק מספק כלי, אתם מוודאים שהוא עובד

איך מאבטחים כל שכבה, מהדומיין ועד וורדפרס?

עוברים מבחוץ פנימה: מי ששולט בדומיין שולט באתר, ולכן מתחילים ברשם ומסיימים בחשבונות. לכל שכבה יש כאן הצעדים העיקריים והמדריך המפורט שלנו.

שכבה 1: רשם הדומיין

מי שנכנס לחשבון אצל רשם הדומיין יכול להפנות את האתר והמייל לכל מקום. הפעילו אימות דו-שלבי בחשבון הרשם, ודאו שהדומיין רשום על שם העסק ולא על שם בונה האתר, ושכתובת המייל לשחזור היא כתובת שאתם עדיין קוראים. הפעילו חידוש אוטומטי: דומיין שפג תוקפו הוא סיכון אבטחה, לא רק תקלה.

שכבה 2: DNS

שינוי ברשומת A אחת מספיק כדי להעביר את הגולשים לשרת אחר. נהלו את ה-DNS אצל ספק עם אימות דו-שלבי, והגבילו מי מחברי הצוות יכול לערוך רשומות. DNSSEC הוא חתימה קריפטוגרפית על רשומות ה-DNS, שמונעת זיוף תשובות בדרך; Cloudflare מאפשרת להפעיל אותו, ובדומיין co.il צריך גם תמיכה של הרשם. איך מחברים דומיין דרך Cloudflare: חיבור דומיין לקלאודוויז דרך Cloudflare.

שכבה 3: Cloudflare או CDN עם WAF

שכבה שיושבת לפני השרת מסתירה את כתובת ה-IP שלו, מסננת בוטים ועוצרת חלק מהתקפות ה-DDoS לפני שהן צורכות משאבים. חסמו או אתגרו גישה לנתיבים רגישים כמו wp-login.php ו-xmlrpc.php. מה ההבדל בין החבילה החינמית ל-Enterprise: Cloudflare חינמי מול Enterprise. מה עושים בזמן התקפה: התקפת DDoS על אתר.

שכבה 4: השרת

באחסון מנוהל, השכבה הזו אצל הספק: חומת אש, עדכוני מערכת הפעלה, הגנה מניחוש סיסמאות ובידוד בין אתרים. מה שנשאר לכם: להגביל SSH ו-SFTP לכתובות IP מוכרות, ולבדוק שהגדרות ההקשחה פעילות. המדריך המלא: הקשחת שרת ואתר בקלאודוויז. ולמה הגנה ברמת השרת עדיפה על תוסף בתוך וורדפרס: Wordfence מול אבטחת שרת.

שכבה 5: האפליקציה (וורדפרס)

זו השכבה שבה קורות רוב הפריצות. עדכנו ליבה, תוספים ותבנית, מחקו מה שלא בשימוש, וסרקו נוזקות באופן קבוע. תוסף ניהול קבצים שנשכח ללא עדכון הוא דוגמה טובה, ראו פריצה דרך WP File Manager. סימנים שמשהו כבר קרה: אזהרת "אתר מסוכן" בגוגל או ספאם יפני בתוצאות החיפוש. 12 הצעדים המלאים מופיעים בהמשך העמוד.

שכבה 6: החשבונות

פאנל האחסון, וורדפרס, המייל וחשבון Cloudflare הם ארבע דלתות נפרדות. אימות דו-שלבי בכולן, משתמש נפרד לכל אדם, ומחיקת גישה למי שסיים לעבוד. בקלאודוויז: אבטחת חשבון קלאודוויז והרשאות לחברי צוות.

איך בודקים בעצמכם את הנקודות הרגישות?

בדיקה בסיסית לוקחת כמה דקות ואפשר להריץ אותה על כל אתר. שלחו בקשות curl מהמחשב שלכם לנתיבים רגישים, ובדקו את רשומות ה-DNS של הדומיין.

מה בודקים	תוצאה רצויה	למה זה חשוב
/wp-login.php ו-/xmlrpc.php	חסימה או אתגר (403 או עמוד אימות) לבקשה אוטומטית	אלה הנתיבים שבוטים תוקפים בניחוש סיסמאות
/.env ו-/wp-config.php	403 או 404, בלי תוכן הקובץ	קובצי הגדרות לא אמורים להיחשף לאינטרנט
DNSSEC (רשומת DS)	בדקו אם DNSSEC פעיל, והפעילו אם הרשם תומך	חתימה על רשומות ה-DNS מקשה על זיוף תשובות
כותרת HSTS בעמוד הבית	בדקו אם HSTS פעילה, והפעילו אחרי שוידאתם ש-HTTPS עובד בכל האתר	הדפדפן יגיע ל-HTTPS ישירות, בלי הפניה באמצע

אם נתיב רגיש מחזיר 200, הוסיפו לו חסימה מיד, בשכבת ה-WAF או בשרת. בדקו אם DNSSEC ו-HSTS פעילים, כי שתיהן הגדרות חד-פעמיות שמוסיפות שכבת הגנה. איך מזהים מאיזו שכבה הגיע 403 (Cloudflare, Nginx או Apache), הסברנו במדריך על שגיאת 403 Forbidden. חסימה נוספת שאפשר להפעיל בלחיצה בפאנל של קלאודוויז: Direct PHP Files Access, חסימת הרצת PHP ישירה בתוספים ובהעלאות.

מה ספק אחסון מאובטח צריך לתת לכם?

אחסון מאובטח הוא הבסיס. אם השרת עצמו פגיע, שום תוסף אבטחה לא יציל אתכם. אלה הדברים לבדוק אצל כל ספק:

• חומת אש ברמת השרת, שעוצרת בקשות זדוניות לפני שהן מגיעות לוורדפרס וצורכות משאבים.
• עדכוני אבטחה שוטפים למערכת ההפעלה ולתוכנות השרת.
• בידוד בין אתרים: משאבים מוקצים, כדי שפריצה לאתר של לקוח אחר לא תגיע אליכם.
• הגנה מניחוש סיסמאות ב-SSH ובעמוד ההתחברות.
• SSL חינמי עם חידוש אוטומטי.
• גיבויים אוטומטיים מחוץ לשרת, ושחזור בלחיצה.
• סריקת נוזקות ופגיעויות, והתראה כשמשהו נמצא.
• אימות דו-שלבי לפאנל הניהול של האחסון עצמו.

איך מאבטחים אתר וורדפרס? 12 צעדים

אלה הצעדים שבאחריותכם, לפי סדר החשיבות. ביצוע של כולם לוקח כשעתיים בפעם הראשונה, ורבע שעה בחודש אחר כך.

1. עדכנו הכול: וורדפרס, תוספים ותבנית. רוב הפריצות מנצלות חולשות שכבר תוקנו בגרסה חדשה.
2. מחקו את מה שלא בשימוש: תוסף מושבת עדיין יושב בשרת ויכול להיות פגיע. תבניות ישנות גם.
3. אל תתקינו תוספים "פרוצים": החיסכון של כמה עשרות דולרים יכול לעלות אתר שלם.
4. סיסמאות חזקות ומנהל סיסמאות: סיסמה ארוכה וייחודית לכל מערכת: וורדפרס, פאנל האחסון, SFTP ומייל.
5. אימות דו-שלבי: לכל מנהלי האתר ולפאנל האחסון. זה עוצר את רוב ניסיונות ההשתלטות, גם כשסיסמה דלפה.
6. הרשאות מינימליות: כותב תוכן מקבל תפקיד "עורך", לא "מנהל". כל אדם מקבל משתמש משלו, ומוחקים משתמשים של מי שסיים לעבוד.
7. HTTPS בכל האתר: התקינו SSL והפנו את כל התעבורה מ-HTTP ל-HTTPS.
8. חסמו עריכת קבצים מלוח הבקרה: הוספת השורה define('DISALLOW_FILE_EDIT', true); לקובץ wp-config.php מונעת מתוקף שהשיג גישת מנהל לערוך קוד ישירות.
9. הגבילו גישת SSH ו-SFTP: רק מכתובות IP שלכם, ועדיף עם מפתחות במקום סיסמה.
10. הפעילו סריקת פגיעויות ונוזקות, כדי לדעת על בעיה לפני שגוגל או הלקוחות מגלים.
11. גיבוי לפי כלל 3-2-1: שלושה עותקים, בשני סוגי אחסון, אחד מהם מחוץ לשרת. ובדקו שחזור פעם ברבעון.
12. שימו CDN עם WAF מלפנים (למשל Cloudflare) לאתרים שחשופים להתקפות או לבוטים רבים.

למה בוטים הם איום גם כשהם לא פורצים?

חלק גדול מהתעבורה לכל אתר הוא לא בני אדם. יש בוטים טובים (Googlebot שסורק את האתר לחיפוש), ויש בוטים זדוניים: סורקי חולשות, מנחשי סיסמאות, גונבי תוכן ושולחי ספאם בטפסים. גם כשהם לא מצליחים לפרוץ, הם צורכים מעבד וזיכרון, ומאטים את האתר לגולשים אמיתיים.

הפתרון הוא סינון ברמת השרת או ה-CDN, לפני שהבקשה מגיעה לוורדפרס. תוסף אבטחה בתוך וורדפרס יכול לחסום, אבל רק אחרי שהשרת כבר הריץ PHP ושילם את המחיר. בקלאודוויז זה נעשה עם Bot Protection, ראו המדריך לחסימת בוטים זדוניים.

מה עושים כשהאתר נפרץ?

אל תיבהלו ואל תמחקו דברים בחיפזון. הסדר הזה מצמצם נזק ושומר ראיות לניתוח.

1. החליפו סיסמאות לכל המערכות: מנהלי וורדפרס, פאנל האחסון, SFTP/SSH, מסד הנתונים והמייל.
2. קחו גיבוי של המצב הנוכחי, גם אם הוא נגוע, לצורך ניתוח.
3. פנו לתמיכה של ספק האחסון ודווחו. אצל חלק מהספקים יש ניקוי כחלק מהשירות או מתוסף.
4. שחזרו מגיבוי נקי מלפני הפריצה, אם יש כזה, או נקו בעזרת סורק נוזקות.
5. סגרו את הפרצה: עדכנו את מה שלא עודכן, ומחקו תוספים ומשתמשים חשודים. אחרת הפריצה תחזור.
6. בדקו ב-Google Search Console אם יש התראת אבטחה, ובקשו בדיקה חוזרת אחרי הניקוי.

המדריך המלא, צעד אחר צעד: האתר נפרץ – מה עושים.

מה כלול באבטחה של קלאודוויז, ומה בתשלום?

לפי עמודי האבטחה הרשמיים של קלאודוויז, נכון לנובמבר 2026, אלה השכבות שמגיעות עם שרת Flexible, ואלה שהן תוספים.

רכיב	מה הוא עושה	מחיר
חומת אש ברמת השרת (Imunify360)	מסננת תעבורה זדונית, בוטים, DoS וניסיונות התחברות	כלול
הגנת DDoS בשכבות 3 ו-4	מגיעה מספקי הענן	כלול
Fail2Ban והגנה מ-Brute Force	חוסמים כתובות שמנסות לנחש סיסמאות ב-SSH וב-HTTP	כלול
עדכוני מערכת הפעלה	טלאי אבטחה שוטפים לשרת	כלול
סורק פגיעויות לוורדפרס (Patchstack)	התראה על חולשות בליבה, בתוספים ובתבניות	כלול
חסימת IP ומדינות, Web Honeypot	חסימה ידנית ומלכודת לבוטים	כלול
רשימת IP מורשים ל-SSH/SFTP	גישה לשרת רק מכתובות שאישרתם	כלול
SSL של Let's Encrypt	הצפנת HTTPS	כלול
Bot Protection	חסימת בוטים זדוניים	כלול
Malware Protection	ניקוי אוטומטי, הגנה בזמן ריצה, סריקת מסד נתונים, ניקוי ידני על ידי התמיכה כשצריך	$4 לאפליקציה בחודש (1–5 אפליקציות), $3 (6–15), $2 (16 ומעלה)
Cloudflare Enterprise	CDN, WAF וקאש בקצה	החל מ-$4.99 לחודש לדומיין

שימו לב להבדל בין זיהוי לניקוי: לפי עמוד Malware Protection, הזיהוי של נוזקות ב-Flexible חינמי, אבל הניקוי האוטומטי הוא חלק מהתוסף בתשלום. פירוט והגדרה במדריך Malware Protection בקלאודוויז, וההקשחה המומלצת לשרת במדריך איך לחזק את אבטחת השרת והאתר בקלאודוויז. כל מחירי התוספים מרוכזים במחירון התוספים של קלאודוויז.

מה נשאר עליכם גם בקלאודוויז: עדכון התוספים והתבנית, ניהול משתמשים והרשאות בוורדפרס, ואימות דו-שלבי לפאנל. בנוסף, בלי גישת root אי אפשר להתקין תוכנת אבטחה משלכם ברמת מערכת ההפעלה. לרוב האתרים זה לא חסר, אבל ארגון עם דרישות אבטחה ייחודיות צריך לבדוק את זה מראש.

צ'קליסט אבטחת אתר לפי שכבות

• ☐ אימות דו-שלבי אצל רשם הדומיין, חידוש אוטומטי, הדומיין על שם העסק
• ☐ ספק DNS עם אימות דו-שלבי; DNSSEC אם הרשם תומך
• ☐ Cloudflare או CDN עם WAF לפני השרת
• ☐ וורדפרס, תוספים ותבנית מעודכנים
• ☐ אין תוספים ותבניות לא פעילים
• ☐ אין תוספים ממקורות לא רשמיים
• ☐ אימות דו-שלבי לכל המנהלים ולפאנל האחסון
• ☐ משתמש נפרד לכל אדם, בהרשאה המינימלית
• ☐ SSL פעיל והפניה מלאה ל-HTTPS
• ☐ עריכת קבצים מלוח הבקרה חסומה
• ☐ SSH ו-SFTP מוגבלים לכתובות IP מוכרות
• ☐ חומת אש וחסימת בוטים פעילות בשרת
• ☐ סריקת פגיעויות ונוזקות פעילה, עם התראות למייל
• ☐ גיבוי אוטומטי מחוץ לשרת, ושחזור נבדק ברבעון האחרון

אילו מיתוסים על אבטחת אתרים לא נכונים?

"האתר שלי קטן, אף אחד לא ירצה לפרוץ אותו." בוטים לא בודקים כמה האתר מוכר. הם מחפשים חולשה, ואתר קטן ולא מעודכן הוא מטרה קלה לשימוש כשרת ספאם.

"יש לי SSL, אז האתר מאובטח." SSL מצפין את החיבור בין הגולש לשרת. הוא לא מגן מתוסף פגיע, מסיסמה חלשה או מנוזקה.

"תוסף אבטחה פותר הכול." תוסף הוא שכבה אחת, וגם הוא רץ בתוך וורדפרס. הגנה ברמת השרת עוצרת התקפות מוקדם יותר ובלי לצרוך משאבים מהאתר.

"הספק מגבה, אז פריצה זה לא נורא." רק אם הגיבוי מלפני הפריצה, נקי, ונשמר מחוץ לשרת. ואחרי שחזור, אם לא סגרתם את הפרצה, הפריצה תחזור.

מקורות

העמוד מבוסס על התיעוד והעמודים הרשמיים הבאים:

• Cloudways Features
• Cloudways Malware Protection Add-on with Automatic Cleanup
• Hardening WordPress (WordPress.org)
• DNSSEC (Cloudflare Docs)
• Strict-Transport-Security (MDN)

שאלות נפוצות על אבטחת אתר

מדריכים קשורים

• Malware Protection בקלאודוויז – סריקה והגנה פרואקטיבית
• Bot Protection בקלאודוויז – חסימת בוטים זדוניים
• איך לחזק את אבטחת השרת והאתר בקלאודוויז
• Wordfence מול אבטחה ברמת השרת
• האתר נפרץ – מה עושים צעד אחר צעד
• אבטחת חשבון קלאודוויז – 2FA והרשאות
• כל מדריכי האבטחה: אבטחה בקלאודוויז
• ביקורת מלאה על קלאודוויז (Cloudways)

מקורות רשמיים: Cloudways Managed Security · Cloudways Malware Protection. המדריך נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים