איך לאבטח אתר וורדפרס: Cloudflare, Wordfence, ומה שום כלי לא עושה במקומכם

רוב בעלי האתרים נזכרים באבטחה רק אחרי שמשהו קרה. בפוסט הזה אעבור איתכם על הדרך לאבטח אתר וורדפרס לפני שזה קורה: הרגלי הבסיס שהכי חשובים, ושני כלים חינמיים שמוסיפים שכבות הגנה, Cloudflare ו-Wordfence. לא צריך להכיר אותם מראש. ואומר כבר עכשיו את הדבר החשוב: אף כלי לא נותן הגנה מלאה. הם מקטינים את הסיכון, ובהחלט עוזרים, אבל לא מבטלים אותו.

אין אתר מאובטח ב-100%, יש אתר שקשה יותר לפרוץ

גם התיעוד הרשמי של וורדפרס אומר את זה במפורש: אבטחה היא הקטנת סיכון, לא ביטול שלו. מי שמבטיח לכם אתר "חסין פריצות" מבטיח משהו שאי אפשר לקיים.

למה אתרי וורדפרס נפרצים, בקצרה

וורדפרס עצמו מתוחזק היטב. רוב הבעיות מגיעות מהתוספים וערכות העיצוב שמתקינים עליו.

Patchstack היא חברה שמוכרת פתרונות אבטחה, אז כדאי לקרוא את המספרים בהקשר הזה. אבל המסקנה המעשית ברורה: ככל שמתקינים יותר תוספים, יש יותר קוד שצריך לעדכן ולתחזק, והמרחק בין פרסום פרצה לניצול שלה יכול להיות שעות, לא שבועות.

הבסיס: הרגלים שמגנים יותר מכל כלי

לפני שמדברים על כלים, אלה הדברים שהכי משפיעים, ורובם לא עולים כסף. כולם מופיעים גם במדריך האבטחה הרשמי של וורדפרס:

• עדכונים. וורדפרס, תוספים וערכות עיצוב. אל תדחו עדכוני אבטחה לאורך זמן, במיוחד כשמדובר בפרצה שכבר פורסמה.
• פחות תוספים. מחקו תוספים שאתן לא משתמשות בהם, לא רק השביתו אותם. והתקינו רק ממקורות מוכרים.
• סיסמאות חזקות ואימות דו-שלבי לכל מי שיש לו גישת ניהול, לא רק לחשבון הראשי.
• הרשאות מינימליות. כותבת תוכן לא צריכה הרשאות מנהלת. ומשתמשים שכבר לא עובדים איתכן, מוחקים.
• גיבויים שבדקתן. גיבוי שמעולם לא שוחזר הוא לפעמים גיבוי שלא עובד. ורצוי שיישמר מחוץ לשרת של האתר.
• אחסון סביר. חברת אחסון שמעדכנת את השרתים שלה ונותנת גיבוי ושחזור.

שני הכלים שאציג עכשיו מוסיפים שכבות מעל הבסיס הזה. הם לא מחליפים אותו.

שכבה ראשונה, לפני האתר: Cloudflare בחשבון החינמי

Cloudflare (קלאודפלייר) הוא שירות שעומד בין המבקרים באתר לבין השרת שעליו האתר יושב. כל בקשה לאתר עוברת קודם דרכו, והוא מחליט מה לעשות איתה: להעביר אותה לשרת, להגיש עותק שמור מקרוב, או לחסום אותה.

מה מקבלים בחינם

הנתונים כאן נכונים לספטמבר 2026, לפי התיעוד הרשמי של Cloudflare. מגבלות וחבילות משתנות, אז שווה לבדוק שוב לפני שמסתמכים על מספר מסוים.

• הגנה מהתקפות הצפה (DDoS), כלומר ניסיון להפיל אתר בכמות עצומה של בקשות. Cloudflare מצהירים על הגנה ללא הגבלה ובלי מדידת שימוש, בכל החבילות, כולל החינמית. לדעתי זה היתרון הכי משמעותי: בתעבורה שעוברת דרך Cloudflare, ההצפה יכולה להיבלם אצלם לפני שהיא מגיעה לשרת שלכם.
• חומת אש בסיסית (WAF), מערכת שבודקת כל בקשה ומחפשת ניסיונות פריצה מוכרים: סט חוקים מנוהל מצומצם נגד פרצות נפוצות ומשמעותיות (הסט המלא בתשלום), עד 5 חוקים משלכם (למשל הגבלת גישה לעמוד ההתחברות לפי תנאים שהגדרתם), וחוק אחד להגבלת קצב בקשות, עם חלון של 10 שניות ולפי כתובת IP בלבד. שימושי, אבל בסיסי.
• סינון בוטים עם Bot Fight Mode, שמזהה תנועה שמתאימה לדפוסים מוכרים של בוטים ומציב לה אתגר.
• תעודת SSL חינמית (ההצפנה שמאחורי המנעול בשורת הכתובת) לחיבור שבין הגולשים ל-Cloudflare, ש-Cloudflare מנפיקים ומחדשים אוטומטית.
• האצה לקבצים סטטיים (תמונות, קבצי עיצוב, סקריפטים) דרך שרתים ברחבי העולם, מה שנקרא CDN. דפי ה-HTML עצמם לא נשמרים כברירת מחדל, כך שהשיפור במהירות חלקי. אם האתר איטי, כדאי קודם לדעת איך בודקים מה באמת מאט את אתר הוורדפרס שלכם.
• Turnstile, חלופה חינמית ל-CAPTCHA שמסננת ספאם בטפסים בלי לבקש מהגולשים לזהות רמזורים. אפשר להשתמש בה גם בלי להעביר את כל האתר דרך Cloudflare.

מה חשוב לדעת לפני שמחברים

החשבון החינמי טוב, אבל יש לו גם צדדים פחות נוחים:

• תלות בשירות חיצוני. תקלה אצלם היא תקלה אצלכן. ב-18 בנובמבר 2025, למשל, גולשים באתרים רבים שעוברים דרך Cloudflare קיבלו דפי שגיאה במשך כמה שעות. לפי הדוח שפרסמה Cloudflare, הסיבה הייתה שינוי הגדרות פנימי, לא מתקפה. גם לחברות אחסון יש תקלות, אבל זו עוד חוליה בשרשרת.
• שתי הגדרות שיכולות לשבור דברים. מצב SSL שנקרא Flexible משאיר את החיבור בין Cloudflare לשרת שלכן לא מוצפן, ו-Cloudflare עצמם ממליצים לא להשתמש בו באתרים עם פרטים אישיים או התחברות. ו-Bot Fight Mode עלול לחסום גם תנועה לגיטימית של ממשקי API (חיבורים אוטומטיים בין מערכות), ואי אפשר להחריג אותו בחוקים. אם אתן מפעילות אותו בחנות, בדקו שאישורי תשלום מחברת הסליקה עדיין מגיעים.
• ניהול ה-DNS עובר ל-Cloudflare. בדרך כלל מעבירים אליהם את ניהול הגדרות הדומיין, כך שחיבור מייל או אימות מול גוגל נעשים מעכשיו שם.
• אפשר לעקוף את ההגנה. מי שיודע מה כתובת ה-IP האמיתית של השרת יכול לפנות אליו ישירות ולדלג על Cloudflare. הם עצמם ממליצים לבדוק את זה.
• פרטיות. כל התנועה לאתר, כולל כתובות IP של גולשים, עוברת דרכם. אני ממליץ לציין את Cloudflare ברשימת נותני השירות במדיניות הפרטיות. לגבי עוגיות, Cloudflare מגדירים את העוגיות שלהם כנחוצות לפעולת השירות, אלא אם מצוין אחרת.

שכבה שנייה, על שרת האתר: תוסף אבטחה כמו Wordfence

Wordfence הוא תוסף אבטחה לוורדפרס, עם יותר מ-5 מיליון התקנות פעילות. הוא פועל על שרת האתר ומכיר היטב את וורדפרס ואת התוספים שלו, ולכן רואה דברים ש-Cloudflare לא רואה. בגרסה החינמית מקבלים:

• חומת אש שפועלת על שרת האתר ומותאמת במיוחד לוורדפרס.
• סריקה של קבצי הליבה, התוספים וערכות העיצוב לאיתור קוד זדוני, דלתות אחוריות והפניות חשודות.
• אימות דו-שלבי להתחברות לוורדפרס, והגנה על עמוד ההתחברות מניסיונות ניחוש סיסמה.

ומה חסר בגרסה החינמית: לפי עמוד התוסף, חוקי חומת האש וחתימות הנוזקות מגיעים אליה באיחור של 30 יום לעומת הגרסה בתשלום. חסימת מדינות ורשימת IP זדוניים בזמן אמת שמורות גם הן לגרסה בתשלום. זה לא הופך את הגרסה החינמית לחסרת ערך, אבל כשזמן הניצול של פרצות נמדד בשעות, כדאי לדעת את זה. וגם: בניגוד ל-Cloudflare, הבקשה כבר הגיעה לשרת שלכם לפני ש-Wordfence יכול לחסום אותה.

Cloudflare, Wordfence, או שניהם?

	Cloudflare (חינם)	Wordfence (חינם)
איפה הוא עובד	לפני השרת	על שרת האתר
הגנה מהתקפות הצפה	כן, לפני שהבקשות מגיעות לשרת	לא, הבקשות כבר מגיעות לשרת
חומת אש	סט חוקים בסיסי + 5 חוקים שלכם	חומת אש על שרת האתר, מותאמת לוורדפרס
סריקת קבצים לאיתור קוד זדוני	לא	כן
התראה על תוסף עם פרצה מוכרת	לא	כן
אימות דו-שלבי להתחברות לוורדפרס	לא	כן
עדכוני חוקים וחתימות	מנוהלים על ידי Cloudflare	מתעכבים ב-30 יום בגרסה החינמית
האצת האתר	כן, לקבצים סטטיים	לא
עובד גם באתר שאינו וורדפרס	כן	לא

ברוב אתרי הוורדפרס אני לא רואה את זה כבחירה בין השניים. Cloudflare מוריד חלק גדול מהרעש לפני שהוא מגיע לשרת, ו-Wordfence (או תוסף אבטחה דומה) שומר על מה שקורה בפנים: התחברות, קבצים, התראות.

האם שני הכלים מתנגשים?

בדרך כלל לא, והשילוב נפוץ. אבל יש שתי נקודות חיכוך מוכרות שכדאי לבדוק אחרי החיבור:

• זיהוי כתובת ה-IP של הגולשים. כשהאתר עובר דרך Cloudflare, השרת רואה כברירת מחדל את כתובת ה-IP של Cloudflare, והכתובת האמיתית של הגולש מגיעה בנפרד. אם Wordfence לא מוגדר לקרוא אותה, הוא עלול לחסום או להגביל את Cloudflare עצמו במקום את התוקף, כלומר לפגוע בגולשים אמיתיים, והיומנים שלו יציגו כתובות לא נכונות. ב-Wordfence יש הגדרה ייעודית לזה (How does Wordfence get IPs), עם אפשרות לקרוא את הכתובת האמיתית מהכותרת ש-Cloudflare מוסיפים. ודאו שהיא מוגדרת.
• Cloudflare חוסם את Wordfence. חלק מהפעולות של Wordfence מתבצעות דרך פנייה של האתר לעצמו. הגדרות אבטחה ב-Cloudflare, כולל Bot Fight Mode, עלולות לחסום את הפניות האלה ולפגוע בסריקות, ו-Wordfence אפילו הוסיף זיהוי ייעודי למצב הזה (גרסה 7.10.5). אם אחרי החיבור Wordfence מתריע על תקלה בסריקה או בחומת האש, זה המקום הראשון לבדוק.

ועוד המלצה אחת שלי: החליטו איפה מנהלים כל כלל. למשל, הגבלת ניסיונות התחברות עדיף להגדיר במקום אחד ולא בשני הכלים במקביל, כדי שכשמשהו נחסם יהיה ברור מאיפה.

חלופות נוספות

• Sucuri. חומת אש בענן שעובדת באותו עיקרון כמו Cloudflare, שכבה לפני השרת, אבל בתשלום וממוקדת באבטחה ובניקוי אתרים.
• ההגנה של חברת האחסון. חלק מחברות האחסון המנוהל כוללות חומת אש, סריקה ו-CDN משלהן. שאלו מה כבר כלול לפני שמוסיפים שכבה.

מה הכלים האלה לא עושים

מה צריך	Cloudflare החינמי	Wordfence החינמי	מה כן מכסה את זה
עדכון תוספים ווורדפרס	לא	מתריע, לא מעדכן במקומכם	אתם, או תחזוקה שוטפת
גיבוי ושחזור	לא	לא	חברת האחסון או תוסף גיבוי
ניקוי אתר שכבר נפרץ	לא	סורק ומאתר, אבל הניקוי דורש עבודה	איש מקצוע, או חברת האחסון
סיסמה חלשה של משתמש	לא	אימות דו-שלבי עוזר, אם מפעילים אותו	מדיניות סיסמאות ואימות דו-שלבי לכולם
תמיכה אנושית וזמינות מובטחת	פורום קהילה, בלי SLA	לא בגרסה החינמית	חבילה בתשלום

שימו לב לשורה הראשונה והשנייה: אלה בדיוק הדברים מהבסיס. שום כלי לא עושה אותם בשבילכם.

מי מחזיק במפתחות של האתר?

נתקלתי כבר בלקוחות שלא ידעו אם האתר שלהם בכלל מחובר ל-Cloudflare. וגם כשהתברר שכן, אף אחד לא ידע איפה פרטי הכניסה ומי מנהל את החשבון. וכשהגיעה מתקפה, לקח זמן עד שאפשר היה להיכנס לחשבון ולהפעיל את מצב "Under Attack", מצב חירום שמוסיף בדיקת אבטחה לפני הכניסה לאתר.

לכן אני מעדיף לחבר את הלקוחות שלי לחשבון החינמי של Cloudflare, כך שברור שיש חשבון, איפה הוא ומי מנהל אותו. ומה שאני ממליץ לכל בעלת אתר, לגבי Cloudflare וגם לגבי האחסון, הדומיין וחשבון הניהול של וורדפרס:

• פתחו את החשבונות על כתובת המייל של העסק, לא על המייל הפרטי של מי שבנה את האתר.
• את איש המקצוע הוסיפו כחבר בחשבון (או כמשתמש נפרד באחסון ובוורדפרס), במקום לתת לו את הסיסמה שלכן.
• הפעילו אימות דו-שלבי, ושמרו את פרטי הכניסה במנהל סיסמאות.
• דעו איפה נמצא מצב Under Attack ב-Cloudflare. הוא נועד לשימוש זמני בזמן מתקפה בלבד, כי הוא מציב בדיקה גם לגולשים אמיתיים ומשפיע על נתוני האנליטיקס.

אז איך לאבטח את אתר הוורדפרס שלכם? לפי המצב

המצב שלכם	ההמלצה שלי
אתר עסקי קטן וחדש	הבסיס, Cloudflare בחשבון החינמי ותוסף אבטחה לוורדפרס
אתר ותיק שאתם לא יודעים מה מותקן ומחובר אליו	קודם בררו מי מחזיק בחשבונות (אחסון, דומיין, Cloudflare), ואז עדכונים וגיבוי
חנות ווקומרס	כמו אתר עסקי, ובנוסף בדקו אחרי כל שינוי שתשלומים, מיילים ועדכוני הזמנות עובדים
אתר על אחסון מנוהל שכבר כולל חומת אש ו-CDN	הבסיס ותוסף אבטחה. Cloudflare לא חובה, שאלו את חברת האחסון מה כלול
אתר שסובל מבוטים או מתקפות חוזרות	כל השכבות, וכנראה שווה לבדוק גם חבילה בתשלום

 

השורה התחתונה

אבטחת אתר וורדפרס היא לא כלי אחד, אלא שכבות: הבסיס (עדכונים, סיסמאות, מעט תוספים וגיבויים), שכבה לפני האתר כמו Cloudflare החינמי, ושכבה על השרת עצמו כמו Wordfence. אף אחת מהן לא נותנת הגנה של 100%, אבל יחד הן מקשות מאוד על פריצה. ואם אתם עושים דבר אחד היום: בדקו מי מחזיק בחשבונות של האתר שלכם, ואיפה פרטי הכניסה. ביום של מתקפה, זה מה שיקבע כמה מהר תוכלו להגיב.