Sigurno dodavanje SVG i WEBP datoteka na WordPress: Bosanski vodič

Da biste na WordPress stranici omogućili sigurno dodavanje datoteka, potrebno je: precizno definisati MIME tipove samo za potrebne formate, očistiti SVG fajlove prije uploadovanja, ograničiti prava dodavanja na povjerene korisničke uloge, te blokirati izvršavanje štetnih datoteka na serveru. WEBP slike su podržane na većini novijih WordPress instalacija, dok je SVG defaultno zabranjen jer može sadržavati kod. Dakle, proces sigurne dozvole uploadovanja nije samo „dozvoliti format“, već minimizirati rizik od malicioznih skripti, lažnih ekstenzija i neovlaštenih uploadova.

SVG i WEBP su izuzetno vrijedni formati za performanse i dizajn. WEBP je, u poređenju s JPEG i PNG, često znatno manji, što ubrzava učitavanje stranica, poboljšava Core Web Vitals i smanjuje potrošnju bandwidtha. SVG omogućava oštru vektorsku grafiku, idealno za logoe i ikone. No, SVG je XML zasnovan i može sadržavati JavaScript, vanjske linkove ili štetne komande – preskakanje sigurnosnih slojeva za SVG na WordPressu ugrožava integritet stranice i sigurnost posjetitelja.

Ovaj vodič pokriva sigurno otvaranje dozvola za SVG i WEBP upload, potrebne postavke, razlike između plugin i kod rješenja, server zaštitu i praktičnu kontrolnu listu za live sajtove. Ako vaš WordPress koristi mnogo slika, stabilna hosting infrastruktura je ključna; za optimizirane opcije pogledajte WordPress hosting.

Zašto WordPress blokira određene vrste datoteka?

WordPress Media Library iz sigurnosnih razloga ne prihvata sve datoteke. Podržava najčešće i relativno sigurne formate: JPG, PNG, GIF, PDF, DOCX itd. Formati poput SVG, iako izgledaju bezazleno, mogu nositi skripte ili maliciozni sadržaj i zato su zabranjeni. Poruka „Nemate dozvolu za upload ove vrste datoteke“ je WordPressova osnovna zaštita.

Sigurnost uploadovanja ima tri sloja. Prvi je MIME tip kontrola na WordPressu. Drugi je korisničko ovlaštenje za upload. Treći sloj je server, koji odlučuje šta se smije izvršiti. Samo nekoliko linija u functions.php ne pokriva sve slojeve; kod SVG-a bez sanitizacije zapravo možete otvoriti novu ranjivost.

Šta je MIME tip i zašto je bitan?

MIME tip govori browseru i aplikaciji o vrsti fajla – npr. za WEBP je image/webp, a za SVG image/svg+xml. WordPress provjerava ekstenziju i MIME i dozvoljava upload samo ako su na listi. Napadači pokušavaju uploadovati štetne fajlove pod lažnom ekstenzijom, pa nije dovoljno osloniti se samo na ekstenzije.

Prednosti i rizici SVG i WEBP formata

Oba formata su dragocjena za web performanse, ali se razlikuju po sigurnosnom profilu. WEBP je prvenstveno vezan za optimizaciju slika, dok SVG nosi i vizuelni i kodni karakter. Sljedeća tabela pokazuje gdje je sigurnost najkritičnija.

Najsigurnija praksa: WEBP za fotografije i velike slike, SVG za logoe i ikone (ali samo nakon sanitizacije). Ne dozvolite SVG upload svim korisnicima; ograničite na administratore ili povjerene urednike. Kod sajtova s više autora ili korisničkih panela, ova tema je još važnija.

Šta provjeriti prije početka?

Prije promjena dozvola na WordPressu, priprema je ključ za povrat u slučaju greške – naročito kod izmjena tema. Pratite sljedeće:

• WordPress core mora biti ažuriran. Stare verzije se drugačije ponašaju kod upload verifikacije.
• PHP verzija treba biti podržana i sigurna. Od 2026, stare PHP verzije predstavljaju rizik.
• Napravite kompletan backup: baza, wp-content, teme i pluginovi.
• Koristite child theme. Promjene u glavnoj temi nestaju prilikom update-a.
• Definišite ko smije uploadovati SVG. Ograničite broj korisnika na minimum.
• Provjerite da vaš sigurnosni plugin ili WAF ima aktivne kontrole uploadovanja.

Za stabilan rad i sigurnosnu rezervu, jak hosting je važan. Razmislite o Hostragons web hosting za dnevne backupove, izolaciju, automatsko skeniranje malicioznih datoteka i slično.

Metoda 1: Upload SVG i WEBP uz pomoć plugina

Za korisnike bez naprednog tehničkog znanja, najbolji početak je pouzdan i ažuriran plugin. Bitno je odabrati rješenje koje nudi SVG sanitizaciju, kontrolu uloga i validaciju fajlova – ne bilo koji MIME plugin.

Šta tražiti kod plugina?

• Plugin mora biti nedavno ažuriran (ne stariji od 1-2 godine).
• Proučite broj aktivnih instalacija i korisničke recenzije.
• Sanitizacija SVG-a treba biti jasno naglašena.
• Upload dozvola mora biti ograničena na administratore ili određene uloge.
• Potvrđeno je da radi na aktuelnom WordPressu.
• Ne smije dodavati nepotrebne opcije koje usporavaju sajt.

WEBP je već podržan na većini WordPress instalacija. Ako dobijate grešku pri uploadu WEBP-a, problem je najčešće u server MIME definiciji, staroj verziji WordPressa ili PHP/GD/Imagick konfiguraciji – ne u pluginu. Prvo provjerite sistemske zahtjeve.

Sigurna instalacija plugina

Preporučeni workflow: instalirajte plugin na test okruženju, omogućite samo SVG i WEBP, aktivirajte SVG sanitizaciju, ograničite upload na administratora, testirajte upload čistih i „problematičnih“ SVG fajlova koji sadrže skripte. Ako plugin blokira ili čisti maliciozni sadržaj, na pravom ste putu.

Prije prelaska na live sajt, obavezno očistite cache i provjerite prikaz u Media Library. Ako koristite CDN, provjerite da CDN ispravno servira nove MIME tipove. Više o CDN, SSL i sigurnom prometu pročitajte na SSL certifikat i Korištenje CDN-a.

Metoda 2: Dodavanje MIME tipova kroz kod

Za developere je dodavanje kroz kod fleksibilnije, ali najčešća greška je dozvoliti SVG bez sanitizacije. Kod je idealan za WEBP, ali za SVG je obavezna dodatna zaštita.

Logika upload_mimes u functions.php

Kroz upload_mimes filter možete dodati nove MIME tipove – npr. image/webp za WEBP, image/svg+xml za SVG. Bolje je ovu promjenu praviti u child temi ili kroz mali site-specific plugin, da se ne izgubi kod update-om.

Ograničenja: Dodavanje MIME tipa ne garantuje sigurnost fajla. Kod promjene teme, izmjene u functions.php nestaju. Site-specific plugin je čišće rješenje za ozbiljne projekte.

Zašto je ograničenje uloga obavezno?

Dozvoliti SVG upload svim korisnicima je opasno, posebno na blogovima s više autora, shopovima i membership sajtovima. Samo administrator ili povjerene urednike treba ovlastiti. Na portalu sa 20 autora, jedan kompromitovan račun može ugroziti cijeli sajt.

Provjerite korisničke capabilities i dozvolite upload samo privilegovanim ulogama. Ako trebate dati ovlast izvan admina, kreirajte posebnu rolu i dodijelite je samo obučenim korisnicima. Dvostepena autentifikacija dodatno smanjuje rizik.

SVG sigurnost: Ne dozvoljavajte bez sanitizacije!

SVG izgleda kao slika, ali je XML – može imati skripte, event handler, vanjske linkove, embedded podatke ili maliciozne preusmjeravanja. Takav sadržaj može pokrenuti XSS napad: krađa kolačića, preuzimanje sesije, lažni formulari itd.

Sigurna upotreba SVG-a: fajlove izvozite iz dizajn alata sa čistim sadržajem, uklonite nepotrebni metadata, implementirajte sanitizaciju na WordPressu. Sanitizacija uklanja skripte, foreignObject, rizične event atribute i vanjske reference – ručna kontrola nije dovoljna, automatska pravila su nužna.

SVG sigurnosna kontrolna lista

• SVG fajlove nabavljajte samo iz provjerenih izvora.
• Prije uploadovanja optimizujte i očistite metadata.
• Koristite plugin ili library sa sanitizacijom.
• Ne dozvolite SVG upload svim korisnicima.
• Provjerite da SVG ne povlači vanjske URL-ove.
• Periodično brišite neaktivne SVG fajlove iz media library.
• Aktivirajte monitoring izmjena fajlova u sigurnosnom pluginu.

Na poslovnim webovima SVG se uglavnom koristi za logoe, ikonice društvenih mreža, ikone za plaćanje i UI elemente. Ove statične fajlove mijenjate rijetko, pa je najbolje uploadovati samo odobrene SVG setove i zatim isključiti dozvolu za upload.

WEBP upload i performanse

WEBP je više vezan za performanse nego za sigurnost, ali na loše podešenim serverima slike mogu biti prikazane pogrešno ili sa lošim MIME tipom. WordPress 5.8+ podržava WEBP, ali GD ili Imagick biblioteke na serveru moraju imati WEBP podršku.

Kod WEBP-a cilj nije samo dozvoliti upload, već i optimizovati vizuale: ne čuvajte slike veće od 1920px bez potrebe, kvalitet postavite na 75-85, koristite lazy loading. WEBP može značajno ubrzati učitavanje proizvoda, blog covera i bannera – pogotovo na mobilnim uređajima, što direktno utiče na konverzije.

Praktični savjeti za WEBP

• Sačuvajte original; lakše je vratiti se na PNG ili JPEG ako treba.
• Za vrlo male ikone, SVG je bolji od WEBP-a.
• Na foto-heavy stranicama WEBP može smanjiti ukupnu veličinu stranice za 25-50%.
• Testirajte da CDN ispravno servira WEBP varijante.
• Većina browsera podržava WEBP, ali za stare uređaje razmislite o fallback opciji.

Na performans orijentisanim WordPress sajtovima, hosting resursi su jednako bitni kao i vizualna optimizacija. CPU limit, disk I/O i LiteSpeed server tehnologija prave razliku na medijski teškim stranicama. Više na LiteSpeed Hosting i Vodič za ubrzanje WordPress-a.

Server zaštita: šta treba uraditi?

WordPress dozvole su bitne, ali server konfiguracija je jednako važna. Folder wp-content/uploads je za medijske fajlove – izvršavanje PHP i sličnih fajlova mora biti blokirano, tako da, čak i ako napadač uploaduje štetan fajl, ne može ga pokrenuti.

Na Apache serverima, .htaccess pravila mogu blokirati PHP u uploads folderu. Kod Nginxa, to se radi kroz odgovarajuće location blokove. Na shared hostingu, dio ovih postavki je u rukama provajdera. Sigurno konfigurisani hosting je temelj WordPress sigurnosti kod uploadovanja.

Dodatne server kontrole

• Ispravno podesite file permissions: folderi 755, fajlovi 644.
• wp-config.php i ključne sistemske fajlove držite read-only.
• Aktivirajte ModSecurity ili slične WAF pravila.
• Redovno pregledajte logove i pratite sumnjive upload pokušaje.
• Planirajte automatske backupove dnevno ili sedmično.
• Koristite SSL za admin panel i upload promet.

Za agencije i firme je praktično upravljati domenom, SSL-om i hostingom iz jednog panela. Ako planirate novi projekat, pogledajte Provjera domene i SSL certifikat.

Najsigurniji scenario: preporučeni koraci

Praktični workflow za većinu WordPress sajtova:

• 1. Napravite kompletan backup i, po mogućnosti, staging okruženje.
• 2. Ažurirajte WordPress, temu, pluginove i PHP.
• 3. Kod WEBP-a, prvo provjerite server podršku i, ako treba, dodajte MIME tip.
• 4. Za SVG koristite plugin sa sanitizacijom ili vlastito rješenje.
• 5. Dozvolite SVG upload samo administratorima ili povjerenoj roli.
• 6. Blokirajte izvršavanje fajlova u wp-content/uploads.
• 7. Testirajte sa „problematičnim“ SVG fajlovima da provjerite sanitizaciju.
• 8. Provjerite CDN, cache i browser prikaz.
• 9. Nakon što ste live, pratite logove najmanje 24-48h.

Ovim pristupom, WordPress upload transformišete iz „samo prihvati fajl“ u kontrolisan, praćen i održiv sistem za medije.

Najčešće greške

Greške nastaju kada se pogrešno balansira sigurnost i praktičnost. Najčešći problem: kopirati kod s interneta u functions.php i smatrati da je posao završen – što za SVG nije dovoljno.

• Dozvoliti SVG bez sanitizacije.
• Otvori upload SVG-a za sve korisničke role.
• Koristiti zastarjele MIME plugine bez update-a.
• Raditi izmjene na temi bez backup-a.
• Ne blokirati izvršavanje datoteka u uploads folderu.
• Pokušati riješiti WEBP greške pluginom, umjesto provjeriti server podršku.
• Ne pratiti sigurnosne logove nakon uploadovanja.

SEO i korisničko iskustvo

Pravilna upotreba SVG i WEBP formata daje snažan, indirektan boost SEO-u. WEBP smanjuje veličinu stranica i poboljšava LCP, SVG daje oštrinu ikonama i logou. No, upload politika koja stvara sigurnosnu rupu može uništiti SEO prednosti – sajt sa malwareom dobija upozorenja na pretraživačima, gubi povjerenje i promet.

Kombinujte performanse i sigurnost: optimizujte slike, zatvorite nepotrebne formate, dozvolite samo ono što treba, radite redovni maintenance. Za detaljne procese pogledajte Vodič za sigurnost WordPress-a i Održavanje web stranice.

Zaključak

Cilj sigurnog uploadovanja na WordPressu je korištenje modernih formata (SVG, WEBP) uz minimiziran rizik. WEBP je siguran i optimalan za performanse, SVG zahtijeva sanitizaciju, ograničenje uloga i server zaštitu. Umjesto brzog MIME hacka, koristite backup, testiranje, ovlaštenje i monitoring za kompletnu sigurnost.

Ako želite siguran, brz i ažuriran WordPress na Hostragons infrastrukturi, pogledajte WordPress hosting, uporedite hosting, domenu i SSL bez prodajnog pritiska i odaberite najbolje za vaše potrebe.

Često postavljana pitanja

Zašto WordPress ne dozvoljava SVG upload po defaultu?

SVG je XML format koji može sadržavati JavaScript, vanjske linkove i štetan kod. WordPress zabranjuje SVG radi smanjenja rizika od XSS i sličnih sigurnosnih prijetnji.

Ne mogu uploadovati WEBP – je li problem u WordPressu ili serveru?

WordPress 5.8+ podržava WEBP, ali ako server (PHP, GD, Imagick) nema podršku, doći će do greške. Provjerite WordPress verziju, zatim server podršku za slike.

Je li sigurno dozvoliti SVG upload kroz functions.php?

Nije dovoljno samo dodati MIME tip. To uklanja zabranu, ali ne čisti sadržaj SVG-a. Za sigurnost treba sanitizacija, ograničenje uloga i server zaštita.

Kome dozvoliti SVG upload?

Najsigurnije je dozvoliti SVG upload samo administratorima ili povjerenim urednicima. Na sajtovima sa više autora, dozvoliti SVG svima je ozbiljan sigurnosni rizik.

Doprinosi li WEBP boljem SEO-u?

WEBP ubrzava učitavanje stranica smanjenjem veličine slika. Brzina i korisničko iskustvo su ključni za Core Web Vitals i indirektno poboljšavaju SEO.