Если сайт на WordPress уже работает, защищать его нужно не «когда-нибудь потом», а сразу: большинство взломов происходят не из-за сложных атак, а из-за слабых паролей, старых версий, лишних прав и отсутствия резервной копии. Хорошая новость в том, что базовую защиту можно выстроить без сложной настройки сервера и без глубоких знаний PHP.
Ниже — практический набор действий, который закрывает самые частые дыры. Это не «абсолютная защита», но именно тот минимум, который заметно снижает риск взлома и делает восстановление сайта быстрым, если что-то всё же пойдёт не так.
Начните с паролей и доступа к админке
Самый частый сценарий взлома WordPress — не уязвимость в ядре, а подбор или утечка пароля. Поэтому сначала нужно укрепить доступ к панели управления, хостингу и почте, через которую восстанавливается пароль.
Что сделать в первую очередь
- Поставьте длинный уникальный пароль для учётной записи администратора WordPress.
- Не используйте один и тот же пароль для сайта, почты и панели хостинга.
- Если на сайте несколько администраторов, проверьте, что у каждого свой аккаунт, а не общий логин.
- Удалите неиспользуемые учётные записи, особенно с правами администратора.
Если пароль уже был простым или использовался где-то ещё, его лучше сменить сразу. Это касается не только WordPress, но и почты администратора: через неё часто сбрасывают доступ к сайту.
Для удобства используйте менеджер паролей. Это не «дополнительная защита» сама по себе, но способ реально перейти на сложные пароли без привычки их запоминать или повторять.
Обновляйте WordPress, темы и плагины без задержек
Старые версии — один из самых понятных и при этом самых недооценённых рисков. Уязвимость может быть уже публично известна, а сайт остаётся открытым, потому что обновление отложили «на потом».
Обновлять нужно всё, что влияет на работу сайта:
- ядро WordPress;
- темы;
- плагины;
- при необходимости — PHP на хостинге, если текущая версия уже устарела и не поддерживается.
Перед крупным обновлением лучше сделать резервную копию. Это особенно важно, если на сайте есть кастомные доработки, старые плагины или нестандартная тема. В большинстве случаев обновление проходит без проблем, но откат должен быть возможен.
Если сайт давно не обновлялся, не ставьте сразу всё подряд в один клик без проверки. Сначала обновите WordPress, затем плагины и тему, после чего откройте несколько страниц сайта и админку, чтобы убедиться, что ничего не сломалось.
Ограничьте число попыток входа и уберите лишние способы авторизации
Стандартная страница входа WordPress доступна по предсказуемому адресу, и это нормально. Проблема не в самом адресе, а в том, что его можно бесконечно атаковать подбором пароля. Поэтому полезно ограничить число попыток входа.
Это можно сделать плагином безопасности или через настройки хостинга, если у него есть такая функция. Смысл простой: после нескольких неудачных попыток IP временно блокируется или запросы замедляются. Для обычного пользователя это почти незаметно, а для автоматического перебора — серьёзное препятствие.
Если на сайте включена авторизация через социальные сети, SSO или другие внешние сервисы, проверьте, действительно ли они нужны. Чем больше способов входа, тем больше точек, которые нужно контролировать. Лишние варианты лучше отключить.
Полезно также включить двухфакторную аутентификацию для администраторов, если это позволяет ваш плагин или сервис. Это не обязательный минимум, но очень сильное усиление защиты: одного пароля уже недостаточно для входа.
Проверьте права доступа к файлам и папкам
Неправильные права доступа на сервере могут открыть лишний доступ к файлам сайта. Это уже зависит от хостинга и настроек файловой системы, но базовую логику полезно понимать: WordPress должен иметь ровно столько прав, сколько нужно для работы, и не больше.
Обычно на shared-хостингах и VPS используют стандартные значения, при которых папки не становятся исполняемыми, а конфигурационные файлы не читаются лишними пользователями. Если вы не уверены, лучше не выставлять права «наугад» и не делать их слишком широкими, например 777.
Особенно внимательно отнеситесь к файлу wp-config.php. Он содержит данные для подключения к базе данных, и его не стоит делать доступным шире, чем необходимо. Если хостинг позволяет, полезно ограничить доступ к нему на уровне сервера.
Если вы работаете через FTP-клиент, не меняйте права массово без понимания последствий. Слишком жёсткие права могут сломать обновления, загрузку медиафайлов и работу плагинов, а слишком мягкие — открыть лишний доступ.
Сделайте резервные копии до того, как они понадобятся
Резервная копия не предотвращает взлом, но часто спасает сайт быстрее и дешевле, чем попытка вручную вычищать последствия. Если сайт взломали, у вас должен быть способ откатиться к чистой версии.
Минимум, который нужен:
- копия файлов сайта;
- копия базы данных;
- хранение копий не только на том же сервере, где лежит сайт;
- проверка, что резервная копия реально восстанавливается.
Последний пункт особенно важен. Нерабочая резервная копия создаёт ложное чувство безопасности. Один раз стоит проверить восстановление на тестовом домене или локальной копии, чтобы понять, что архив не битый и база импортируется без ошибок.
Если хостинг делает автоматические бэкапы, не полагайтесь только на них. Это хороший слой защиты, но лучше иметь ещё одну независимую копию, например в облачном хранилище или на отдельном сервере.
Удалите всё лишнее: плагины, темы и старые аккаунты
Каждый лишний плагин или тема — это дополнительный код, который может содержать уязвимость. Даже если расширение не активно, оно всё равно лежит на сервере и может стать проблемой, если в нём найдут дыру.
Что стоит проверить:
- удалены ли неиспользуемые плагины, а не просто деактивированы;
- остались ли старые темы, которые вы уже не используете;
- нет ли тестовых или забытых админов;
- не установлены ли расширения «на всякий случай», которые давно не нужны.
Если плагин нужен редко, но не используется постоянно, подумайте, можно ли обойтись без него. Чем меньше компонентов на сайте, тем проще его обслуживать и тем ниже риск.
Как понять, что базовая защита уже настроена
После настройки полезно пройтись по сайту как по короткому чек-листу. Это не займёт много времени, но поможет не пропустить очевидные вещи.
- Админ-пароль сложный и уникальный.
- У всех пользователей свои учётные записи.
- WordPress, тема и плагины обновлены.
- Попытки входа ограничены.
- Лишние плагины и темы удалены.
- Резервная копия есть и её можно восстановить.
Если хотя бы один пункт не выполнен, сайт уже остаётся уязвимее, чем мог бы быть. На практике этого набора достаточно, чтобы закрыть самые частые сценарии взлома и не зависеть от удачи.
Что не стоит делать
Иногда владельцы сайтов пытаются «защититься» странными способами: ставят десяток плагинов безопасности, отключают всё подряд или меняют настройки без понимания последствий. Это часто даёт обратный эффект.
Не стоит:
- ставить сомнительные плагины из непроверенных источников;
- использовать одинаковые пароли на всех сервисах;
- откладывать обновления на месяцы;
- менять права доступа без понимания, что именно вы меняете;
- хранить резервные копии только на том же сервере, где находится сайт.
Базовая безопасность WordPress строится не на одном «волшебном» плагине, а на нескольких простых действиях. Если закрыть доступ, обновлять систему, ограничить вход и держать рабочую резервную копию, сайт уже будет защищён заметно лучше, чем большинство небольших проектов в сети.