Безопасность WordPress: как защитить сайт от взлома

Почему ломают сайты на WordPress?

Взломы почти никогда не «целевые». Боты сканируют миллионы сайтов и эксплуатируют известные дыры: устаревшие плагины, слабые пароли, отсутствие обновлений. Цель — рассылка спама, редиректы на чужие сайты, майнинг, кража базы клиентов.

Что входит в обязательный минимум защиты?

• Обновления ядра, темы и плагинов — большинство атак идёт через уязвимости в старых версиях.
• Сильные пароли и двухфакторная авторизация для всех администраторов.
• Смена стандартного адреса входа /wp-admin и логина admin.
• Ограничение попыток входа — защита от перебора паролей.
• SSL-сертификат и работа только по HTTPS.
• Регулярные резервные копии на внешнем хранилище, а не только на хостинге.

Что даёт продвинутый уровень защиты?

Минимум плагинов

Каждый плагин — потенциальная уязвимость. Правило: устанавливать только необходимое, удалять неиспользуемое, выбирать плагины с активной поддержкой и миллионами установок.

Права доступа

Редакторам — редактирование, менеджерам — заказы. Полный доступ администратора должен быть у одного-двух человек.

WAF и мониторинг

Файрвол уровня приложения отсекает вредоносные запросы до того, как они дойдут до кода. Мониторинг целостности файлов сообщает о постороннем изменении в течение часа.

Изоляция на хостинге

Если на одном аккаунте хостинга несколько сайтов, взлом одного заражает все. Держите проекты в изолированных контейнерах или аккаунтах.

Что делать, если сайт уже взломали?

• Сменить все пароли: админка, хостинг, FTP, база данных.
• Восстановить сайт из чистой резервной копии.
• Обновить всё до актуальных версий и удалить подозрительные плагины.
• Проверить файлы на вредоносный код и закрыть уязвимость, через которую вошли.
• Отправить сайт на перепроверку в Яндекс.Вебмастер, если появилась пометка об угрозе.

С чего начать защиту WordPress?

Безопасность WordPress — это процесс: обновления, резервные копии, минимум плагинов и контроль доступа. Мы закладываем защиту при разработке сайтов на WordPress и держим её в тонусе на технической поддержке. Нужен аудит безопасности — напишите нам.