Sigurnost sajta: kako firme bivaju hakovane i kako se branitiWebsite security: how companies get hacked and how to defendأمان الموقع: كيف تُخترق الشركات وكيف تدافع

Kad se sajt male firme hakuje, to rijetko izgleda kao u filmu. Niko ne sjedi i ne cilja baš tebe. Program prolazi kroz stotine hiljada sajtova i traži jedan otvoren prozor: zastarjeli dodatak, lozinku koja se ponavlja, nalog bivšeg izvođača koji niko nije ugasio. Kad ga nađe, uđe. Ovaj tekst objašnjava gdje su ti prozori, koliko se brzo kroz njih ulazi i šta možeš uraditi ove sedmice.When a small company's website gets hacked, it rarely looks like a film. Nobody is sitting there targeting you specifically. A program sweeps hundreds of thousands of sites looking for one open window: an outdated plugin, a reused password, a former contractor's account nobody switched off. When it finds one, it gets in. This article explains where those windows are, how fast they are used, and what you can do this week.حين يُخترق موقع شركة صغيرة، نادراً ما يشبه ذلك الأفلام. لا أحد يجلس ليستهدفك أنت بالذات. برنامج يمسح مئات آلاف المواقع بحثاً عن نافذة واحدة مفتوحة: إضافة قديمة، أو كلمة مرور مكررة، أو حساب متعاقد سابق لم يُغلقه أحد. وحين يجدها يدخل. يشرح هذا المقال أين تلك النوافذ، وكم بسرعة تُستغل، وما يمكنك فعله هذا الأسبوع.

Kako hakovan sajt zapravo izgledaWhat a hacked site actually looks likeكيف يبدو الموقع المخترق فعلاً

Najčešće ga vlasnik uopšte ne primijeti. Na sajtu se pojave stotine skrivenih stranica sa tuđim proizvodima, posjetioci sa Googlea budu preusmjereni na druge adrese, a tvoja naslovna izgleda isto kao i juče. Primijeti ga Google, pa uz tvoj rezultat u pretrazi stavi oznaku da je sajt možda hakovan, a Chrome ispred njega podigne crveno upozorenje. Od tog trenutka ne gubiš samo posjete nego i pozicije koje si godinama gradio.Most often the owner does not notice at all. Hundreds of hidden pages selling someone else's products appear on the site, visitors from Google are redirected elsewhere, and your home page looks exactly as it did yesterday. Google notices, puts a label next to your search result saying the site may be hacked, and Chrome raises a red warning in front of it. From that moment you lose not just visits but the rankings you spent years building.في الغالب لا يلاحظ المالك شيئاً. تظهر في الموقع مئات الصفحات المخفية تبيع منتجات غيره، ويُحوَّل زوار غوغل إلى عناوين أخرى، وتبدو صفحتك الرئيسية كما كانت أمس. تلاحظ غوغل ذلك فتضع بجانب نتيجتك علامة بأن الموقع ربما مخترق، ويرفع كروم تحذيراً أحمر أمامه. ومن تلك اللحظة لا تخسر الزيارات فقط بل الترتيب الذي بنيته سنوات.

Druga vrsta je glasnija: ransomware zaključa podatke i traži otkup. Prema Verizonovom izvještaju o provalama za 2026, rađenom na više od 31.000 sigurnosnih incidenata i 22.000 potvrđenih provala u 145 zemalja, ransomware je bio prisutan u 48 posto provala, uz rast sa 44 posto godinu ranije. Dobra vijest iz istog izvještaja: 69 posto pogođenih nije platilo otkup, jer su imali kopiju podataka.The second kind is louder: ransomware locks the data and demands payment. According to Verizon's 2026 Data Breach Investigations Report, based on more than 31,000 security incidents and 22,000 confirmed breaches across 145 countries, ransomware was present in 48 percent of breaches, up from 44 percent a year earlier. The good news from the same report: 69 percent of those hit did not pay, because they had a copy of their data.النوع الثاني أعلى صوتاً: برامج الفدية تقفل البيانات وتطلب فدية. وفق تقرير فيرايزون لاختراقات البيانات لعام 2026، المبني على أكثر من 31,000 حادث أمني و22,000 اختراق مؤكد في 145 دولة، كانت برامج الفدية حاضرة في 48 بالمئة من الاختراقات، بارتفاع من 44 بالمئة قبل عام. والخبر الجيد من التقرير ذاته: 69 بالمئة من المتضررين لم يدفعوا، لأن لديهم نسخة من بياناتهم.

Odakle se ulaziWhere they get inمن أين يدخلون

Isti izvještaj daje redoslijed ulaza. Iskorištavanje ranjivosti u softveru je sa 31 posto postalo najčešći prvi korak u provali i prestiglo ukradene lozinke, koje su pale na 13 posto. Ljudski faktor, dakle klik na lažni mejl, slaba lozinka ili greška, bio je prisutan u 62 posto provala. A 48 posto provala uključivalo je treću stranu: dobavljača, izvođača ili alat koji firma koristi.The same report ranks the entry points. Exploitation of software vulnerabilities, at 31 percent, has become the most common first step in a breach and has overtaken stolen credentials, which fell to 13 percent. The human element, meaning a click on a fake email, a weak password or a mistake, was present in 62 percent of breaches. And 48 percent of breaches involved a third party: a supplier, a contractor or a tool the company uses.يرتّب التقرير ذاته نقاط الدخول. استغلال الثغرات في البرمجيات بنسبة 31 بالمئة صار الخطوة الأولى الأكثر شيوعاً في الاختراق وتجاوز كلمات المرور المسروقة التي هبطت إلى 13 بالمئة. والعامل البشري، أي النقر على بريد مزيف أو كلمة مرور ضعيفة أو خطأ، كان حاضراً في 62 بالمئة من الاختراقات. و48 بالمئة من الاختراقات شملت طرفاً ثالثاً: مورّداً أو متعاقداً أو أداة تستخدمها الشركة.

Za sajt male firme ta tri ulaza imaju konkretna imena: dodaci i teme koje niko ne ažurira, lozinka koja je ista kao na mejlu, i izvođač koji je prije dvije godine napravio sajt i još ima pristup.For a small company's site those three entry points have concrete names: plugins and themes nobody updates, a password that is the same as the email one, and the contractor who built the site two years ago and still has access.ولموقع شركة صغيرة لتلك المداخل الثلاثة أسماء محددة: إضافات وقوالب لا يحدّثها أحد، وكلمة مرور هي ذاتها كلمة البريد، ومتعاقد بنى الموقع قبل سنتين وما زال يملك صلاحية الدخول.

Dodaci: najveća vrata, i najbrže se kroz njih ulaziPlugins: the biggest door, and the fastest oneالإضافات: أكبر باب وأسرعه

Patchstack, firma koja prati ranjivosti u WordPress ekosistemu, u izvještaju za 2026. navodi da je u 2025. otkriveno 11.334 novih ranjivosti, što je 42 posto više nego godinu ranije. Od toga je 91 posto bilo u dodacima, 9 posto u temama, a u samom jezgru WordPressa svega šest. Drugim riječima, sajt gotovo nikad ne bude provaljen kroz platformu, nego kroz ono što je na nju dodano.Patchstack, which tracks vulnerabilities in the WordPress ecosystem, reports for 2026 that 11,334 new vulnerabilities were found in 2025, 42 percent more than the year before. Of those, 91 percent were in plugins, 9 percent in themes, and only six in WordPress core itself. In other words, a site is almost never broken into through the platform, but through what was added on top of it.تذكر باتشستاك، التي تتابع الثغرات في منظومة ووردبريس، في تقريرها لعام 2026 أن 11,334 ثغرة جديدة اكتُشفت في 2025، بزيادة 42 بالمئة عن العام السابق. منها 91 بالمئة في الإضافات و9 بالمئة في القوالب، وست ثغرات فقط في نواة ووردبريس نفسها. أي أن الموقع لا يُخترق تقريباً عبر المنصة، بل عبر ما أُضيف فوقها.

Dvije brojke iz istog izvještaja objašnjavaju zašto ažuriranje samo po sebi nije dovoljno. Za 46 posto ranjivosti zakrpa nije postojala u trenutku kad su javno objavljene. A pola onih sa visokim rizikom bilo je iskorišteno u roku od 24 sata od objave, uz medijan od pet sati za najnapadanije. Zaštita na nivou hostinga u njihovom testu zaustavila je svega 12 posto napada na WordPress ranjivosti, odnosno 26 posto u širem testu. I još jedna: od deset najiskorištavanijih ranjivosti, šest cilja stare verzije dodataka koje i dalje rade na sajtovima.Two figures from the same report explain why updating alone is not enough. For 46 percent of vulnerabilities, no patch existed at the moment they were publicly disclosed. And half of the high-risk ones were exploited within 24 hours of disclosure, with a median of five hours for the most heavily attacked. Hosting-level protection in their test stopped only 12 percent of attacks on WordPress vulnerabilities, or 26 percent in the broader test. And one more: of the ten most exploited vulnerabilities, six target old plugin versions that are still running on sites.رقمان من التقرير ذاته يفسران لماذا التحديث وحده لا يكفي. فـ46 بالمئة من الثغرات لم يكن لها إصلاح لحظة الإعلان عنها. ونصف الثغرات عالية الخطورة استُغل خلال 24 ساعة من الإعلان، بوسيط خمس ساعات للأكثر استهدافاً. وحماية الاستضافة في اختبارهم أوقفت 12 بالمئة فقط من الهجمات على ثغرات ووردبريس، أو 26 بالمئة في الاختبار الأوسع. وأيضاً: من بين أكثر عشر ثغرات استغلالاً، ست تستهدف إصدارات قديمة من إضافات ما زالت تعمل في المواقع.

Pošteno je reći dvije stvari. Ovo su mjerenja WordPress ekosistema, jer je on najveći i najviše se prati. I ne znači da je WordPress sam po sebi loš, nego da je svaki dodatak jedna vrata više, a dodatak koji niko ne održava vrata bez brave. Princip važi za svaku platformu.Two things should be said plainly. These are measurements of the WordPress ecosystem, because it is the largest and the most closely tracked. And it does not mean WordPress itself is bad, but that every plugin is one more door, and a plugin nobody maintains is a door without a lock. The principle holds for any platform.من الإنصاف قول أمرين. هذه قياسات لمنظومة ووردبريس لأنها الأكبر والأكثر متابعة. ولا يعني ذلك أن ووردبريس سيئ بذاته، بل أن كل إضافة باب إضافي، والإضافة التي لا يصونها أحد باب بلا قفل. والمبدأ ينطبق على أي منصة.

Lozinke i pristup: ko sve može ućiPasswords and access: who can get inكلمات المرور والصلاحيات: من يستطيع الدخول

Nalog koji se zove admin, lozinka koja se koristi i na mejlu, i tri stara naloga ljudi koji više ne rade sa tobom. To je stanje na većini sajtova koje prvi put pogledamo. Popravka je jednostavna i besplatna: jedinstvena duga lozinka za svaki nalog, potvrda prijave u dva koraka za sve koji imaju administratorski pristup, i gašenje svakog naloga koji ne možeš imenom i prezimenom povezati sa živim čovjekom koji danas radi na sajtu.An account called admin, a password also used for email, and three old accounts belonging to people who no longer work with you. That is the state of most sites we look at for the first time. The fix is simple and free: a unique long password for every account, two-step verification for everyone with administrator access, and the removal of every account you cannot tie by name to a living person who works on the site today.حساب اسمه admin، وكلمة مرور تُستخدم للبريد أيضاً، وثلاثة حسابات قديمة لأشخاص لم يعودوا يعملون معك. هذا حال معظم المواقع التي نراها أول مرة. والإصلاح بسيط ومجاني: كلمة مرور طويلة فريدة لكل حساب، وتحقق بخطوتين لكل من يملك صلاحية إدارة، وإغلاق كل حساب لا تستطيع ربطه بالاسم بشخص حي يعمل على الموقع اليوم.

Šta uraditi ove sedmiceWhat to do this weekما تفعله هذا الأسبوع

Napravi popis svega što je instalirano na sajtu i obriši ono što se ne koristi. Svaki obrisani dodatak je jedna vrata manje. Ažuriraj ono što ostaje, i provjeri kad je zadnji put ažurirano od strane autora: dodatak koji autor nije dirao godinu dana je napušten, bez obzira što radi.Make a list of everything installed on the site and delete what is not in use. Every deleted plugin is one door fewer. Update what remains, and check when its author last updated it: a plugin the author has not touched in a year is abandoned, regardless of the fact that it still works.أعدّ قائمة بكل ما هو مثبّت في الموقع واحذف ما لا يُستخدم. كل إضافة محذوفة باب أقل. حدّث ما يبقى، وتحقق متى حدّثه مؤلفه آخر مرة: الإضافة التي لم يلمسها مؤلفها منذ سنة مهجورة، بغض النظر عن أنها تعمل.

Napravi kopiju sajta i baze koja stoji van servera, i probaj je jednom vratiti. Kopija koju nikad nisi vratio nije kopija nego nada. Ovo je jedina stvar koja te zaista spašava od ransomwarea, i razlog zašto 69 posto pogođenih u Verizonovom izvještaju nije moralo platiti.Make a copy of the site and the database that lives off the server, and try restoring it once. A backup you have never restored is not a backup but a hope. This is the one thing that genuinely saves you from ransomware, and the reason 69 percent of those hit in Verizon's report did not have to pay.أنشئ نسخة من الموقع وقاعدة البيانات تُحفظ خارج الخادم، وجرّب استعادتها مرة. النسخة التي لم تستعدها قط ليست نسخة بل أملاً. وهذا الأمر الوحيد الذي ينقذك فعلاً من برامج الفدية، والسبب في أن 69 بالمئة من المتضررين في تقرير فيرايزون لم يضطروا للدفع.

Potvrdi sajt u Google Search Consoleu. To je besplatno i traje pet minuta, a jedini je način da ti Google pošalje mejl kad primijeti problem, umjesto da to saznaš od kupca koji je vidio crveno upozorenje. I provjeri da sajt radi isključivo preko https, sa važećim certifikatom.Verify the site in Google Search Console. It is free and takes five minutes, and it is the only way Google will email you when it spots a problem, instead of you hearing it from a customer who saw the red warning. And make sure the site runs exclusively over https, with a valid certificate.وثّق الموقع في غوغل سيرش كونسول. مجاني ويستغرق خمس دقائق، وهو الطريقة الوحيدة لتراسلك غوغل حين تلاحظ مشكلة، بدل أن تسمعها من زبون رأى التحذير الأحمر. وتأكد أن الموقع يعمل عبر https فقط بشهادة صالحة.

Ako se već desiloIf it has already happenedإن كان قد حدث فعلاً

Google ima jasan postupak. Prvo se sajt privremeno ugasi, pa se nađu i očiste zaražene stranice, pa se zatvori rupa kroz koju se ušlo, i tek onda se sajt vraća online. Nakon toga se u Search Consoleu, u izvještaju o sigurnosnim problemima, zatraži pregled, uz opis šta je očišćeno. Google navodi da pregled zbog malwarea traje nekoliko dana, a zbog ubačenog spama i do nekoliko sedmica, pa se upozorenja skidaju u roku od nekoliko dana nakon odobrenja. Pregled se traži tek kad je problem zaista riješen, jer odbijeni zahtjev samo produžava čekanje.Google has a clear procedure. First the site is taken offline temporarily, then the infected pages are found and cleaned, then the hole they came in through is closed, and only then does the site go back online. After that, in Search Console's security issues report, you request a review, describing what was cleaned. Google states that a malware review takes a few days, while a review for injected spam can take up to several weeks, after which the warnings clear within a few days of approval. You request the review only once the problem is genuinely fixed, because a rejected request only prolongs the wait.لدى غوغل إجراء واضح. يُطفأ الموقع مؤقتاً أولاً، ثم تُكتشف الصفحات المصابة وتُنظّف، ثم تُغلق الثغرة التي دخلوا منها، وعندها فقط يعود الموقع إلى الإنترنت. بعدها يُطلب في سيرش كونسول، ضمن تقرير المشكلات الأمنية، مراجعةٌ مع وصف ما نُظّف. وتذكر غوغل أن مراجعة البرمجيات الخبيثة تستغرق بضعة أيام، أما مراجعة السبام المحقون فقد تستغرق عدة أسابيع، ثم تُزال التحذيرات خلال بضعة أيام من الموافقة. وتُطلب المراجعة فقط حين تُحل المشكلة فعلاً، لأن الطلب المرفوض يطيل الانتظار.

Kako mi gradimo da se ovo ne desiHow we build so this does not happenكيف نبني كي لا يحدث هذا

Naši sajtovi i sistemi su pisani od nule, bez dodataka i tema trećih strana. To ne znači da su neprobojni, takvo nešto ne postoji i niko ti to ne smije obećati. Znači da je površina napada mala: nema 30 tuđih komponenti od kojih svaka ima svoj rok trajanja. Ono što ostaje, PHP, server i baza, održavamo mi, uz redovne kopije van servera, potvrdu prijave u dva koraka na svakom administratorskom nalogu, i pristupe koji glase na tebe, a ne na nas.Our sites and systems are written from scratch, with no third-party plugins or themes. That does not make them impenetrable, no such thing exists and nobody should promise you that. It means the attack surface is small: there are no 30 foreign components each with its own expiry date. What remains, PHP, the server and the database, we maintain, with regular off-server backups, two-step verification on every administrator account, and access that is in your name, not ours.مواقعنا وأنظمتنا مكتوبة من الصفر، دون إضافات أو قوالب من أطراف ثالثة. لا يعني ذلك أنها منيعة، فلا شيء كهذا موجود ولا يجوز لأحد أن يعدك به. بل يعني أن سطح الهجوم صغير: لا توجد 30 مكوّناً غريباً لكل منها تاريخ انتهاء. وما يبقى، أي PHP والخادم وقاعدة البيانات، نصونه نحن، مع نسخ احتياطية منتظمة خارج الخادم، وتحقق بخطوتين على كل حساب إدارة، وصلاحيات باسمك لا باسمنا.

Za postojeće sajtove radimo sigurnosnu provjeru: popis dodataka i naloga, stanje ažuriranja, kopije, certifikat i Search Console. Dobiješ spisak sa tri do pet tačaka poredanih po hitnosti. Održavanje, koje uključuje i ovo, počinje od 50 KM mjesečno.For existing sites we do a security check: the list of plugins and accounts, update status, backups, certificate and Search Console. You get a list of three to five points ordered by urgency. Maintenance, which includes this, starts at 50 KM a month.وللمواقع القائمة نجري فحصاً أمنياً: قائمة الإضافات والحسابات، وحالة التحديثات، والنسخ الاحتياطية، والشهادة، وسيرش كونسول. تحصل على قائمة من ثلاث إلى خمس نقاط مرتبة حسب الإلحاح. والصيانة، التي تشمل ذلك، تبدأ من 50 ماركاً شهرياً.

Česta pitanjaFrequently asked questionsأسئلة شائعة

Kako da znam je li mi sajt hakovan?How do I know if my site has been hacked?كيف أعرف إن كان موقعي مخترقاً؟

Ukucaj u Google site:tvojadomena.ba i pogledaj ima li stranica koje nisi napravio. Provjeri izvještaj o sigurnosnim problemima u Search Consoleu. Otvori sajt sa telefona preko mobilnih podataka i vidi preusmjerava li te negdje. I pogledaj listu naloga na sajtu: svaki koji ne prepoznaješ je znak.Type site:yourdomain.ba into Google and look for pages you did not create. Check the security issues report in Search Console. Open the site from a phone on mobile data and see whether it redirects you anywhere. And look at the list of accounts on the site: any you do not recognise is a sign.اكتب في غوغل site:نطاقك.ba وابحث عن صفحات لم تنشئها. وراجع تقرير المشكلات الأمنية في سيرش كونسول. وافتح الموقع من هاتف ببيانات الجوال وانظر هل يحوّلك إلى مكان ما. وانظر إلى قائمة الحسابات في الموقع: أي حساب لا تعرفه علامة.

Je li sajt bez dodataka sigurniji?Is a site without plugins safer?هل الموقع بلا إضافات أكثر أماناً؟

Ima manju površinu napada, jer Patchstackovi podaci pokazuju da 91 posto novih ranjivosti dolazi iz dodataka. Ali nijedan sajt nije neprobojan. Sigurnost čine i lozinke, pristupi, kopije i ažuriranje servera, bez obzira na platformu.It has a smaller attack surface, since Patchstack's data shows 91 percent of new vulnerabilities come from plugins. But no site is impenetrable. Security is also passwords, access, backups and server updates, whatever the platform.سطح هجومه أصغر، إذ تُظهر بيانات باتشستاك أن 91 بالمئة من الثغرات الجديدة تأتي من الإضافات. لكن لا موقع منيعاً. فالأمان أيضاً كلمات مرور وصلاحيات ونسخ احتياطية وتحديثات للخادم، أياً كانت المنصة.

Koliko traje da Google skine upozorenje?How long until Google removes the warning?كم يستغرق إزالة تحذير غوغل؟

Nakon što je sajt očišćen i zatražen pregled, Google navodi nekoliko dana za malware, a do nekoliko sedmica za ubačeni spam. Upozorenja se skidaju u roku od nekoliko dana po odobrenju, a upozorenje u pregledniku može kasniti dan ili dva.Once the site is cleaned and a review requested, Google states a few days for malware and up to several weeks for injected spam. Warnings clear within a few days of approval, and the browser warning can lag a day or two.بعد تنظيف الموقع وطلب المراجعة، تذكر غوغل بضعة أيام للبرمجيات الخبيثة وحتى عدة أسابيع للسبام المحقون. وتُزال التحذيرات خلال بضعة أيام من الموافقة، وقد يتأخر تحذير المتصفح يوماً أو يومين.

Je li hosting zaštita dovoljna?Is hosting protection enough?هل حماية الاستضافة كافية؟

Nije. U Patchstackovom testu zaštita na nivou hostinga zaustavila je 12 posto napada na WordPress ranjivosti, odnosno 26 posto u širem testu. Korisna je kao jedan sloj, ali ne zamjenjuje brisanje nekorištenih dodataka, jake lozinke i kopije.It is not. In Patchstack's test, hosting-level protection stopped 12 percent of attacks on WordPress vulnerabilities, or 26 percent in the broader test. It is useful as one layer, but it does not replace removing unused plugins, strong passwords and backups.ليست كافية. في اختبار باتشستاك أوقفت حماية الاستضافة 12 بالمئة من الهجمات على ثغرات ووردبريس، أو 26 بالمئة في الاختبار الأوسع. مفيدة كطبقة واحدة، لكنها لا تغني عن حذف الإضافات غير المستخدمة وكلمات المرور القوية والنسخ الاحتياطية.