Защита WordPress не требует десятка платных плагинов. В подавляющем большинстве случаев сайт взламывают через слабый пароль, необновлённый плагин или «бесплатную» копию платного расширения. Если закрыть эти три двери, риск падает очень сильно. Ниже чек-лист, который я использую сам, с объяснением, зачем каждый пункт.
Входы и пароли
- Длинный уникальный пароль для админки. Лучше всего менеджер паролей: он придумает и запомнит. Один и тот же пароль на сайт, почту и хостинг – прямой путь к чужому доступу.
- Двухфакторная защита. Даже если пароль утечёт, без второго шага войти не получится.
- Нормальный логин. Не admin и не название сайта: боты перебирают именно такие.
- Только нужные пользователи. Удалите бывших подрядчиков и тех, кто давно не заходил, остальным дайте минимальные права.
- Ограничение попыток входа. Достаточно настройки на сервере или небольшого плагина.
Обновления и плагины
- Обновления ядра, темы и плагинов. Большинство взломов используют уже известные дыры в старых версиях.
- Удалите лишнее. Выключенный, но установленный плагин остаётся уязвимым.
- Никаких «взломанных» версий платных плагинов.
- Заменяйте брошенные плагины тех, кто не обновлялся больше года.
Сервер и файлы
- Актуальная версия PHP и надёжный хостинг.
- Правильные права на файлы (папки обычно 755, файлы 644) и запрет редактирования файлов из админки.
- HTTPS на всём сайте без смешанного содержимого.
Резервные копии и наблюдение
- Копии по расписанию вне сервера сайта. Если копии лежат на том же сервере, при проблеме они пропадут вместе с сайтом.
- Проверка восстановления. Копия, которую ни разу не разворачивали, ничего не гарантирует.
- Мониторинг доступности и изменений файлов. Чтобы узнавать о проблеме раньше клиентов.
Как проходит типичная атака
Это почти всегда автоматика. Боты сканируют тысячи сайтов подряд, ищут известные уязвимости и перебирают пароли. Никто не выбирает именно вас, просто вы попали в список. После заражения сайт могут использовать для рекламы, рассылки спама или фишинга. Поэтому защита – это не борьба с хакером, а закрытие простых дыр.
Что проверять после каждого обновления
Откройте главную, форму заявки, корзину и вход в админку. Загляните в журнал ошибок и убедитесь, что копии создаются. Если обновление затронуло магазин или конструктор страниц, оформите тестовый заказ.
Если сайт уже взломали
Не удаляйте файлы наугад. Сохраните копию, смените доступы и найдите причину. Последовательность описана в статье «WordPress взломали: что делать». Если нужна помощь, я занимаюсь лечением взломанных сайтов и регулярной поддержкой: обновления, копии и мониторинг от 5 000 ₽ в месяц.
Что закрывает каждая мера
| Угроза | Что помогает |
|---|---|
| Подбор пароля | длинный пароль, двухфакторная защита, ограничение попыток входа |
| Известная уязвимость в плагине | своевременные обновления, удаление лишнего |
| Заражённый «бесплатный» плагин | установка только из официальных источников |
| Кража пароля с компьютера | двухфакторная защита, отдельные пароли, чистый компьютер |
| Взлом соседнего сайта на хостинге | надёжный хостинг, изоляция сайтов, актуальный PHP |
| Последствия любого взлома | копии вне сервера и проверка, что они восстанавливаются |
Если времени нет: минимум на 30 минут
Если разбираться со всем списком некогда, сделайте хотя бы это: обновите ядро, темы и плагины (после копии), удалите неиспользуемые плагины и темы, включите двухфакторную защиту, смените пароль на новый длинный, удалите лишних администраторов и убедитесь, что есть свежая копия вне сервера. Это не заменяет полной защиты, но закрывает основные дыры.
Кому какие права давать
| Роль | Кому подходит |
|---|---|
| Администратор | только вы и тот, кто отвечает за техническую часть |
| Редактор | контент-менеджер, который правит страницы и записи |
| Автор | тот, кто только публикует свои статьи |
| Подписчик | обычные пользователи сайта |
Подрядчику лучше дать временный доступ с нужными правами и отключить его после работ.
Быстрые ответы
Нужен ли отдельный плагин безопасности?
Не обязательно. Важнее обновления, пароли и копии. Если он нужен, выберите один лёгкий.
Как часто делать резервные копии?
Зависит от того, как часто меняется сайт. Магазину с заказами нужна ежедневная копия, сайту-визитке достаточно раза в неделю.
Хватит ли защиты хостинга?
Нет. Она закрывает сервер, но не уязвимые плагины и слабые пароли.
