Защита WordPress начинается не с одного плагина, а с нескольких мер, которые закрывают разные риски: подбора пароля, уязвимостей в старом коде и потери сайта после атаки или неудачного обновления. Для большинства сайтов достаточно навести порядок в учётных записях, включить двухфакторную аутентификацию, ограничить попытки входа и настроить проверяемые резервные копии.
Ни одна из этих мер не гарантирует, что сайт невозможно взломать. Но вместе они заметно уменьшают вероятность распространённых проблем и помогают быстрее восстановиться, если инцидент всё же произошёл.
Начните с учётных записей и паролей
У каждого пользователя с доступом к панели должен быть отдельный аккаунт. Не передавайте один логин нескольким сотрудникам: тогда невозможно понять, кто выполнял действие, и безопасно отозвать доступ у одного человека.
Для всех аккаунтов используйте уникальные длинные пароли. Пароль от WordPress не должен совпадать с паролем от почты, хостинга или других сайтов. Менеджер паролей помогает создавать и хранить такие комбинации без необходимости запоминать их вручную. Не используйте очевидные варианты вроде названия домена, имени компании или последовательности символов.
Проверьте список пользователей в разделе «Пользователи» админ-панели:
- удалите аккаунты бывших сотрудников и подрядчиков, которым больше не нужен доступ;
- назначьте каждому пользователю роль с минимальными необходимыми правами;
- оставьте роль администратора только тем, кто действительно управляет настройками сайта и расширениями;
- убедитесь, что адрес электронной почты администратора доступен и защищён отдельным надёжным паролем.
Если удаляете пользователя, WordPress предложит назначить его публикации другому автору или удалить их. Для рабочего сайта обычно выбирают переназначение, чтобы не потерять опубликованный контент.
Включите двухфакторную аутентификацию
Даже хороший пароль может утечь из другого сервиса или попасть к злоумышленнику в результате фишинга. Двухфакторная аутентификация (2FA) добавляет второй шаг при входе: помимо пароля требуется одноразовый код или подтверждение через приложение. Поэтому одного украденного пароля обычно недостаточно для входа.
В стандартной панели WordPress нет общего переключателя 2FA для всех пользователей. Обычно эту функцию добавляют поддерживаемым плагином безопасности или отдельным плагином двухфакторной аутентификации. Выбирайте расширение из официального каталога WordPress или с сайта разработчика, проверяйте дату обновления и совместимость с вашей версией WordPress.
После установки включите 2FA сначала для своего аккаунта администратора, сохраните резервные коды, если плагин их выдаёт, и проверьте вход в приватном окне браузера. Затем подключите остальных пользователей с доступом к панели. Не выходите из текущей сессии, пока не убедитесь, что новый способ входа работает и у вас есть доступ к резервному варианту восстановления.
Ограничьте подбор паролей на странице входа
WordPress не блокирует попытки входа по одному универсальному правилу для всех сайтов. Ограничение попыток обычно настраивают через плагин безопасности, средство защиты на хостинге или веб-файрвол. Такие инструменты могут временно блокировать адрес, с которого многократно вводят неверный пароль.
Выбирайте один понятный способ ограничения и настройте его так, чтобы случайная ошибка не лишила доступа всю команду. Уточните, как снять блокировку: через панель плагина, хостинг или обращение в поддержку. Если вы используете динамический IP-адрес, не добавляйте текущий адрес в постоянный список разрешённых — после его смены настройка может перестать работать.
Ограничение попыток не заменяет уникальные пароли и 2FA: оно лишь затрудняет массовый перебор. Если сайт размещён за прокси или CDN, корректное определение IP посетителя зависит от настроек сервера и хостинга. Неверная конфигурация может привести к тому, что инструмент будет считать всех посетителей одним адресом или, наоборот, не сможет блокировать нарушителей. При сомнениях уточните у хостинга, как на сайте определяется реальный IP.
Регулярно обновляйте WordPress, плагины и темы
Уязвимость может находиться не в ядре WordPress, а в давно не обновлявшемся плагине или теме. Поэтому проверяйте обновления для всех компонентов сайта, а не только для WordPress. В панели обновления доступны сведения о новой версии; для расширений из официального каталога там же можно посмотреть журнал изменений.
Перед обновлением сделайте резервную копию, особенно если сайт важен для бизнеса или обновление меняет функциональность. На небольшом сайте обновления можно выполнять по одному, проверяя после каждого главные страницы, формы и вход в админ-панель. Для сайта с индивидуальными доработками безопаснее сначала проверить обновления на тестовой копии. Не устанавливайте обновления с непроверенных сайтов и не используйте изменённые версии платных плагинов и тем: в них могут быть встроены вредоносный код или скрытый доступ.
Обновляйте также расширения, которые сейчас отключены, либо удаляйте их, если они не нужны. Неиспользуемый код всё равно остаётся на сервере и может стать источником риска. Текущую тему сайта не удаляйте; перед удалением других тем проверьте, что сайт не использует их как активную дочернюю тему.
WordPress может автоматически устанавливать некоторые обновления ядра, но не стоит считать, что все плагины и темы обновляются сами. Проверьте раздел «Обновления» в панели и настройки автоматических обновлений расширений. Если обновляете компоненты автоматически, всё равно периодически проверяйте сайт и наличие резервной копии.
Настройте резервное копирование, которое можно восстановить
Резервная копия нужна не только после взлома. Она поможет вернуть сайт после ошибки при обновлении, неудачной правки или сбоя хостинга. Для восстановления WordPress нужны файлы сайта и база данных: в файлах находятся ядро, темы, плагины и загруженные медиафайлы, а в базе — записи, настройки и данные пользователей.
Настройте регулярное копирование с частотой, соответствующей тому, как часто меняется сайт. Если новые заказы или публикации появляются ежедневно, копия раз в месяц может оказаться слишком старой. Храните копии отдельно от основного сайта — например, в удалённом хранилище или у другого провайдера. Если злоумышленник получит доступ к панели хостинга, копия, лежащая только там же, может быть удалена вместе с сайтом.
Не полагайтесь на резервную копию, пока не проверили восстановление. По возможности восстановите её на тестовом поддомене или локальной копии сайта и убедитесь, что открываются страницы, работают база данных и медиафайлы. Уточните у хостинга, какие копии он делает, как долго хранит и как выполняется восстановление. Хостинговый бэкап полезен, но отдельная копия под вашим контролем снижает зависимость от одного места хранения.
Проверьте HTTPS и доступ к панели
Сайт должен открываться по HTTPS без предупреждений браузера, а страница входа и админ-панель — использовать защищённое соединение. HTTPS шифрует передачу данных между браузером и сайтом, но сам по себе не защищает от слабого пароля, уязвимого плагина или вредоносного кода. Если сертификат отсутствует или браузер сообщает об ошибке, обратитесь к хостингу: порядок установки сертификата зависит от панели и конфигурации сервера.
Для работы с админ-панелью не используйте общедоступные компьютеры и чужие устройства без необходимости. На личном компьютере выходите из панели после работы, особенно если к устройству имеют доступ другие люди. Также не отправляйте пароли в письмах и мессенджерах — передавайте доступ через отдельные аккаунты и меняйте его после завершения работ подрядчика.
Проверьте, что базовая защита действительно работает
После настройки пройдите по короткому списку, не ограничиваясь отметкой в настройках:
- у всех пользователей есть отдельные аккаунты, а лишние права и старые учётные записи удалены;
- для административных аккаунтов включена 2FA, а резервный способ входа сохранён и проверен;
- неудачные попытки входа ограничиваются, и вы знаете, как восстановить доступ после блокировки;
- WordPress, активные плагины и темы обновлены, а ненужные расширения удалены;
- создаётся копия файлов и базы данных, хранящаяся не только на том же сервере;
- вы знаете, как восстановить резервную копию, и уже проверяли этот процесс;
- сайт и админ-панель открываются по HTTPS без ошибок сертификата.
Выполняйте этот список после смены подрядчика или администратора, а также периодически в ходе обычного обслуживания. Безопасность WordPress поддерживается постоянным порядком: актуальным кодом, ограниченными правами, защищёнными входами и копиями, которые действительно можно восстановить.