По статистике мониторинга уязвимостей, до 95% взломов WordPress происходят через устаревшие плагины или слабые пароли администратора, что превращает сайт в рассыльщик спама за считанные минуты. Безопасность — это не установка одного плагина, а многослойный фильтр, где каждая ошибка в правах доступа к файлам открывает дверь для SQL-инъекций и XSS-атак.
Защита ядра и фильтрация доступа
Первый рубеж защиты — изменение стандартного URL входа /wp-admin/. Боты сканируют этот адрес в 99% случаев. Смена адреса на уникальный сокращает количество попыток брутфорса (перебора паролей) на 80-90% уже в первые сутки. Также критически важно отключить редактирование файлов темы и плагинов прямо из админки через wp-config.php: define('DISALLOW_FILE_EDIT', true);. Это исключает ситуацию, когда взломщик, получив доступ к аккаунту, внедряет бэкдор в PHP-код сайта.
Кейс: на одном из проектов после смены URL входа количество запросов к базе данных упало с 150 до 12 в час, что косвенно повлияла на оптимизация скорости загрузки WordPress.
Вывод эксперта: Никогда не оставляйте стандартный логин 'admin' и путь /wp-admin/. Это базовый гигиенический минимум, без которого остальные настройки бесполезны.
Права доступа к файловой системе
Ошибки в chmod — самая частая причина успешных атак. Стандарт де-факто: папки должны иметь права 755, файлы — 644. Самый опасный момент — файл wp-config.php, который содержит ключи доступа к БД. Его нужно перевести в режим 600 или 400, чтобы другие пользователи сервера не могли прочитать конфиг. Если вы видите на хостинге права 777 на любую папку — ваш сайт открыт для записи любого внешнего скрипта.
Пример: при миграции сайта с дешевого shared-хостинга на VPS часто сбиваются права. Ошибка в одну цифру (777 вместо 755) в папке /uploads/ позволяет злоумышленнику загрузить shell-скрипт и получить полный контроль над системой.
Вывод эксперта: Используйте FTP-клиенты или SSH для жесткого контроля прав. Автоматические установщики хостингов часто ставят избыточные права, что недопустимо для рабочего проекта.
Борьба со спамом и XML-RPC
Функция XML-RPC создана для удаленного управления сайтом, но сегодня она используется в 70% случаев для проведения DDoS-атак и брутфорса. Отключение xmlrpc.php через .htaccess или плагин полностью отсекает этот вектор атаки. Для защиты форм от спама забудьте про капчи, которые раздражают пользователя; используйте Honeypot-поля (скрытые поля, которые заполняют только боты). Это повышает конверсию форм на 10-15% по сравнению с Google reCAPTCHA v2.
Мини-кейс: сайт-каталог получал по 2000 спам-комментариев в сутки. После отключения XML-RPC и внедрения Honeypot количество мусора упало до 2-3 сообщений в неделю без потери реальных лидов.
Вывод эксперта: XML-RPC в 2024 году не нужен 99% владельцев сайтов. Отключайте его без раздумий, если не используете специфические мобильные приложения для управления WP.
Безопасность БД и префиксов таблиц
Стандартный префикс таблиц 'wp_' облегчает задачу хакеру при SQL-инъекции, так как он точно знает названия таблиц (например, wp_users). Смена префикса на случайный (например, x7y_users) усложняет автоматизированный поиск данных. Также рекомендуется использовать разные пользователей БД для чтения и записи, но на практике в WordPress чаще всего ограничиваются созданием отдельного пользователя БД с правами только на этот конкретный сайт, исключая глобальный доступ к серверу.
Сравнение: стандартный префикс позволяет запустить атаку за секунды; кастомный префикс заставляет атакующего тратить время на перебор имен, что повышает вероятность срабатывания систем защиты (WAF).
Вывод эксперта: Меняйте префикс таблиц только на этапе установки. Делать это на живом сайте с базой в 1ГБ и выше — риск потери данных, если не владеете SQL-запросами.
Управление обновлениями и плагинами
Использование 'nulled' (взломанных) плагинов — это гарантированный бэкдор в системе. 80% бесплатных версий премиум-плагинов с форумов содержат скрытые редиректы на гемблинг-сайты, которые активируются через 2-4 недели после установки. Внедряйте жесткий регламент: обновление ядра и плагинов только после бэкапа. Если проект сложный, разработка сайта на WordPress должна включать стейджинг-сервер (копию сайта), где обновления тестируются перед выкаткой на продакшн.
Цифры: стоимость восстановления сайта после критического взлома через плагин варьируется от 15 000 до 50 000 рублей, в то время как лицензия на качественный плагин стоит $49-199 в год.
Вывод эксперта: Лучше заплатить за лицензию или использовать бесплатный аналог из официального репозитория, чем рисковать репутацией домена в глазах поисковиков из-за вредоносного кода.
Вывод
Безопасность WordPress — это не продукт, а процесс. Начните с закрытия XML-RPC и смены URL админки, затем жестко настройте права доступа к файлам (644/755). Избегайте перегрузки сайта 10+ плагинами безопасности, так как они создают избыточную нагрузку на сервер и могут конфликтовать с темой. Мой выбор: минимальный набор настроек в wp-config.php, качественный бэкап каждые 24 часа и строгий отбор плагинов. Это дает 98% защиты при нулевых затратах на софт.
Эта тема — часть большого разбора: Разработка сайтов на WordPress.