Безопасность WordPress: 7 простых шагов, которые заблокируют 90% атак

Владелец сайта на WordPress часто думает, что безопасность это забота программиста или хостера. На деле платформа устроена так, что большая часть атак ломается о несколько простых привычек. Хакеры не всегда идут на заказ. Чаще они сканируют тысячи сайтов и ищут слабые места: старый плагин, пароль вроде qwerty, открытый вход в админку, отсутствие резервных копий. Если закрыть эти двери, основная масса ботов и случайных взломщиков просто пройдет мимо. Семь шагов ниже не требуют глубоких знаний кода. Они требуют внимания и дисциплины, зато экономят деньги, нервы и репутацию бизнеса.

WordPress это живой организм. Каждый месяц выходят новые версии ядра, тем и плагинов. В них закрывают дыры, через которые взломщики попадают внутрь. Если сайт годами стоит на старой версии, он становится похож на дом с незапертой калиткой в темном переулке. Боты сканируют миллионы адресов и ищут именно такие цели. Им не нужен ваш бизнес, им нужен любой слабый сайт для рассылки спама, кражи данных или атаки на другие ресурсы.

Обновление ядра WordPress обычно занимает пару минут. Сложнее с плагинами, потому что какой-то из них может конфликтовать с новым кодом. Здесь помогает простое правило: сначала резервная копия, потом обновление. Если сайт большой и посещаемый, стоит завести тестовую копию. На ней проверять новые версии, а уже потом ставить их на рабочий сайт. Для небольшого бизнес-сайта можно включить автоматические обновления для ядра и проверенных плагинов. Но совсем без присмотра оставлять нельзя. Раз в месяц загляните в панель и посмотрите, нет ли красных уведомлений.

Что сделать прямо сейчас:

• Включите автообновления для WordPress и тех плагинов, которые давно работают стабильно.
• Удалите плагины, которые не обновлялись больше года. Они как просроченные лекарства: пользы нет, вред возможен.
• Перед каждым крупным обновлением делайте бэкап. Это ваша страховка.
• Подпишитесь на уведомления от разработчиков тем и плагинов. Так вы узнаете о критических исправлениях раньше ботов.

Пароль admin и пароль 123456 до сих пор встречаются на реальных сайтах. Это не смешно, это приглашение для взломщика. Хакерские программы перебирают тысячи комбинаций в минуту. Слабый пароль для них как замок из пластилина. Хороший пароль состоит минимум из 12 символов, включает буквы разного регистра, цифры и знаки. Но даже сложный пароль можно украсть через фишинговое письмо или утечку на другом сервисе. Поэтому одного пароля мало.

Двухфакторная аутентификация добавляет второй ключ. После ввода пароля система просит код из приложения или одноразовое сообщение. Даже если злоумышленник узнал пароль, без второго фактора он не войдет. Для владельца бизнеса это выглядит как лишнее действие, но на деле это экономит недели восстановления. Представьте, что вы потеряли ключи от офиса, а у вас есть второй замок, который открывается только отпечатком пальца. Вот так работает двухфакторка.

Практические шаги:

• Смените логин admin на что-то неочевидное. Не используйте имя сайта или фамилию.
• Заведите отдельные аккаунты для редакторов, авторов и менеджеров. Не работайте всем под одним админом.
• Включите двухфакторную аутентификацию для всех, у кого есть доступ в админку.
• Используйте менеджер паролей. Он создаст уникальные комбинации и не даст забыть их.

По умолчанию WordPress разрешает бесконечно пытаться ввести пароль. Это удобно для забывчивого владельца, но смертельно для безопасности. Взломщик может сутками подбирать комбинацию и рано или поздно найдет слабое место. Ограничение попыток входа решает эту проблему. После трех или пяти неудач система блокирует адрес на час или на сутки. Для честного пользователя это небольшая задержка, для бота это тупик.

Еще один подарок для атакующих это стандартный адрес входа. Все знают, что админка WordPress обычно находится по адресу /wp-admin или /wp-login.php. Если изменить этот адрес на свой, боты будут стучаться в пустую дверь. Это не заменяет пароль и двухфакторку, но снижает шум и количество попыток. Также стоит отключить XML-RPC, если вы не используете приложения для публикации. Через этот протокол часто проводят брутфорс и DDoS-атаки.

Что настроить:

• Установите плагин для ограничения попыток входа. Он же покажет, с каких адресов ломятся к вам.
• Смените URL страницы входа. Запомните новый адрес и сохраните его в закладки.
• Отключите XML-RPC, если он не нужен для работы.
• Добавьте капчу на форму входа и восстановления пароля. Это отпугнет простые боты.

Firewall для сайта это как охранник на входе в бизнес-центр. Он проверяет каждый запрос и не пускает подозрительных гостей. В WordPress есть плагины, которые берут на себя эту роль. Они фильтруют трафик, блокируют опасные запросы, следят за изменениями файлов. Без такого слоя защиты сайт остается один на один с интернетом. А интернет большой, и в нем хватает желающих поживиться чужим трудом.

Сканер вредоносного кода ищет уже попавшие на сайт вирусы, скрытые ссылки, редиректы и бэкдоры. Если вовремя не заметить заражение, сайт может попасть в черный список поисковых систем. Клиенты увидят страшное предупреждение вместо вашего магазина. Репутация рухнет быстрее, чем вы успеете объяснить, что произошло. Регулярное сканирование помогает поймать проблему на ранней стадии, когда последствия еще обратимы.

На что обратить внимание при выборе плагина безопасности:

• Он должен обновляться не реже раза в месяц. Заброшенный плагин сам становится дырой.
• В нем должны быть firewall, сканер файлов, ограничение попыток входа и уведомления на почту.
• Не ставьте два плагина безопасности одновременно. Они могут конфликтовать и замедлять сайт.
• Проверяйте отчеты раз в неделю. Даже самый умный сканер не расскажет о проблеме, если вы не читаете его сообщения.

Резервная копия это парашют. Она не нужна, пока все летит нормально. Но в момент падения только она спасает. Многие владельцы сайтов делают бэкапы, но никогда не проверяют, можно ли из них восстановиться. Это как купить парашют и ни разу не проверить, раскрывается ли он. В критический момент выясняется, что архив поврежден, база данных неполная или не хватает файлов. Поэтому проверка восстановления так же важна, как и само копирование.

Хорошая стратегия проста: ежедневный бэкап базы данных, еженедельный бэкап файлов, хранение копий в трех местах. Одно место на хостинге, второе на внешнем облаке, третье на локальном диске. Если хостинг упадет или сайт заразят вирусом, у вас останется чистый слепок. Для интернет-магазина частоту копирования стоит увеличить. Потеря заказов за день может стоить дороже, чем годовой запас облачного хранилища.

Минимальный план:

1. Выберите плагин или сервис для автоматических бэкапов.
2. Настройте расписание: база данных каждый день, файлы раз в неделю.
3. Подключите внешнее хранилище. Не храните копии только на том же сервере.
4. Раз в месяц восстанавливайте копию на тестовом сайте. Убедитесь, что все работает.

Чем больше плагинов, тем больше поверхностей для атаки. Каждый плагин это дополнительная дверь в дом. Если дверью никто не пользуется, ее лучше замуровать. Удалите все плагины, которые вы не используете. Не просто отключите, а удалите. Отключенный плагин может оставаться на сервере и содержать уязвимость. То же самое с темами. Стандартная тема WordPress и еще одна запасная это нормально. Двадцать заброшенных тем это склад хлама, в котором прячутся вирусы.

Пользователи тоже требуют ревизии. Уволенные сотрудники, старые подрядчики, тестовые аккаунты, забытые логины. Все это потенциальные входы. У каждого пользователя должен быть свой аккаунт с минимальными правами. Редактору не нужны права администратора. Автору не нужен доступ к настройкам. Если человек больше не работает с сайтом, удалите его учетную запись или понизьте права до минимума.

Ревизия сайта:

• Удалите неактивные плагины и темы. Оставьте только те, что реально нужны.
• Проверьте список пользователей. Удалите всех, кто не должен иметь доступ.
• Настройте роли так, чтобы каждый видел только свое.
• Отключите регистрацию новых пользователей, если у вас нет форума или сообщества.

Хостинг это фундамент. На дешевом сервере с сотней соседей по одной машине даже идеально настроенный WordPress может пострадать от чужой атаки. Хороший хостинг предлагает изоляцию сайтов, ежедневные бэкапы, защиту от DDoS, свежие версии PHP и понятную поддержку. Для бизнеса это не роскошь, а необходимость. Экономия на хостинге часто оборачивается простоями, потерями заказов и оплатой работы дорогого специалиста.

Права доступа к файлам и папкам это еще один слой. Если права слишком широкие, любой вирус может изменить код сайта. Стандартные рекомендации: папки 755, файлы 644, файл wp-config.php лучше защитить отдельно. Не давайте права 777 никому, кроме случаев, когда это требует установщик, и сразу возвращайте прежние значения. Для владельца бизнеса это звучит технически, но задача решается один раз при настройке. Потом хостинг и плагин безопасности следят за этим автоматически.

Как выбрать хостинг:

• Уточните, делает ли провайдер ежедневные бэкапы и как быстро можно восстановить сайт.
• Спросите про изоляцию аккаунтов. Если один сайт взломают, остальные не должны пострадать.
• Проверьте поддержку PHP 8 и выше. Старые версии PHP уже не получают обновлений безопасности.
• Посмотрите, есть ли защита от брутфорса и DDoS на уровне сервера.

Эти семь шагов не сделают сайт неуязвимым навсегда. Полной безопасности не существует. Но они закрывают самые распространенные лазейки, через которые происходит большинство атак. Боты идут по пути наименьшего сопротивления. Если у соседа пароль 123456, а у вас двухфакторка, firewall и свежие обновления, они выберут соседа. Ваша задача не построить неприступную крепость, а стать неудобной целью. Начните с одного шага сегодня. Например, смените пароль и включите двухфакторную аутентификацию. Завтра обновите плагины. Через неделю настройте бэкапы. Постепенно безопасность станет привычкой, а не авралом.

Помните, что WordPress это не просто движок. Это экосистема, в которой каждый плагин, каждая тема и каждый пользователь влияют на общую картину. Относитесь к сайту как к офису: запирайте двери, не раздавайте ключи направо и налево, проверяйте, кто заходит, и держите копию важных документов в сейфе. Тогда атаки останутся где-то на периферии, а бизнес продолжит работать без вынужденных остановок.