Коротко: защита WordPress — это набор простых мер: обновлять ядро, темы и плагины; ставить надёжные пароли и двухфакторную аутентификацию; ограничивать попытки входа; делать бэкапы; использовать SSL и WAF; следить за правами файлов. По отдельности меры слабые — вместе они закрывают почти все типовые атаки.
Базовый уровень защиты
| Мера | Что закрывает |
|---|---|
| Автообновления ядра и плагинов | известные уязвимости в старых версиях |
| Сложные уникальные пароли | подбор пароля |
| Двухфакторная аутентификация (2FA) | вход с украденным паролем |
| Ограничение попыток входа | брутфорс |
| Регулярные бэкапы | быстрое восстановление после взлома |
| HTTPS/SSL | перехват данных и паролей |
Вкладки: слои защиты
- Включите автообновления безопасности для ядра.
- Обновляйте плагины и темы — сначала на копии сайта.
- Удаляйте неиспользуемые плагины и темы: они тоже уязвимы.
- Ставьте плагины только из официального каталога или от проверенных авторов.
- Замените логин
adminна что-то уникальное; - включите 2FA (Google Authenticator и подобные);
- ограничьте попытки входа (плагин или защита хостинга);
- смените адрес входа в админку, если возможно;
- не давайте роли «администратор» всем подряд — используйте «редактор»/«автор».
Права доступа к файлам и папкам:
# папки
chmod 755 wp-content/uploads
# файлы
chmod 644 wp-config.phpНе ставьте 777 — это открытая дверь. И запретите редактирование файлов из админки, добавив в wp-config.php:
define('DISALLOW_FILE_EDIT', true);- Включите логирование входов (плагин активности).
- Настройте уведомления о новых администраторах.
- Периодически сканируйте сайт антивирусом (плагин или сервис).
- Следите за письмами WordPress о критических ошибках.
- Проверяйте, не появились ли неизвестные файлы в корне.
WAF и защита на уровне хостинга
Многие хостинги дают бесплатный WAF (веб-приложение-фаервол) и защиту от ботов. Это фильтрует подозрительные запросы ещё до WordPress. Проверьте в панели хостинга: часто это одна галочка, а эффект заметный.
Проверка после настройки
- Попробуйте войти с неверным паролем 10 раз — должна включиться блокировка.
- Откройте сайт по
https://— замок в браузере есть,httpперенаправляется. - Проверьте версии: в админке не должно быть «есть обновление безопасности».
- Убедитесь, что бэкап создался и открывается.
Частые ошибки: причина → решение
| Ошибка | Последствие | Решение |
|---|---|---|
| Пароль «12345» | подбор за минуты | уникальный длинный пароль + 2FA |
Права 777 |
файлы может изменить кто угодно | 755 для папок, 644 для файлов |
| Заброшенные плагины | известные дыры | удалить неиспользуемое |
| Нет бэкапов | восстановление невозможно | настроить автобэкапы |
Проверьте себя
Вопросы и ответы
Нет. Плагин — только часть защиты. Без обновлений, сложных паролей и бэкапов он не спасёт.
Сделать копию «как есть» для разбора, сменить все пароли и ключи, восстановить сайт из чистого бэкапа, обновить всё и просканировать на вирусы.
Да. HTTPS защищает пароли и данные формы, а ещё это требование поисковиков и браузеров (без него показывается «не защищено»).
Если злоумышленник получит доступ к админке, он не сможет править файлы темы прямо из браузера. Лишний барьер всегда полезен.
Итоги
- Защита — это набор мер, а не один плагин.
- Обновления, сложные пароли, 2FA и бэкапы — обязательный минимум.
- Права файлов 755/644, запрет редактора файлов из админки.
- Включите WAF хостинга и мониторинг входов.
Комментарии
Пока комментариев нет — будьте первым, кто поделится мнением.