Безопасность WordPress: базовые настройки

Взлом WordPress почти никогда не происходит через «гениального хакера». В девяти случаях из десяти всё проще: слабый пароль администратора, забытый плагин с уязвимостью, открытый доступ к файлу конфигурации. Сайт при этом может годами работать без проблем, и кажется, что защита ему не нужна. А потом в один день в админку не заходит пароль, в коде появляются чужие ссылки, а поисковик помечает сайт как опасный.

Хорошая новость: базовые настройки безопасности занимают час и закрывают большинство таких сценариев. Вот что стоит сделать.

Начните с паролей и логинов

Самый частый способ взлома — подбор пароля к учётной записи администратора. И здесь всё решают две вещи: логин и сам пароль.

Логин admin — это подарок взломщику. Его пробуют первым, и если угадали, остаётся только пароль. Создайте нового администратора с нормальным именем, войдите под ним, а старого удалите. Не переименовывайте — именно удалите и создайте заново, иначе останется риск.

С паролем всё проще: он должен быть длинным и случайным. Не «НазваниеКомпании2026», а набор из 16–20 символов, который вы храните в менеджере паролей. Да, это неудобно запоминать. Но именно этого удобства хватает злоумышленникам.

И включите двухфакторную аутентификацию. Это одна настройка, которая делает подбор пароля бессмысленным даже при утечке. В 2026 году это базовая гигиена, а не роскошь.

Закройте то, что не должно быть открыто

В WordPress есть несколько файлов и папок, которые по умолчанию доступны снаружи. Часть из них лучше закрыть.

Редактор файлов в админке. Удобная штука, которая позволяет редактировать functions.php прямо из браузера. И удобная дыра: если взломали админку, через неё можно выполнить любой код. Отключается одной строкой в wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Просмотр папок. Если на сервере не запрещён листинг директорий, любой может открыть папку плагинов и увидеть, что установлено. Запрет обычно настраивается в .htaccess или на стороне хостинга. Проверить просто: откройте адрес папки в браузере — если видите список файлов, это проблема.

Файлы конфигурации и логи. wp-config.php, debug.log, резервные копии — всё это не должно открываться по прямой ссылке. Особенно бэкапы: архив с базой данных по открытому адресу — это подарочный набор всей информации о сайте.

XML-RPC. Функция, которая когда-то была нужна для приложений, сейчас чаще используется для перебора паролей. Если вы ей не пользуетесь, её стоит отключить.

Обновляйте то, что обновляется

Старые версии — главный источник уязвимостей. Ядро, темы, плагины — всё это нужно держать в актуальном состоянии. И особенно плагины, которые заброшены: если последнее обновление было два года назад, уязвимости в нём никто не закрывает.

Проведите ревизию: выпишите все плагины и честно ответьте на вопрос, нужен ли каждый. Удалённые плагины — это не только меньшая поверхность для атаки, но и более быстрый сайт. А те, что обновляются нерегулярно, стоит заменить на аналоги.

То же с темами. Несколько установленных тем — это лишние файлы, которые могут содержать дыры. Оставьте одну рабочую и, может быть, одну запасную, а остальные удалите.

Настройте резервные копии

Это не про то, чтобы не взломали, а про то, чтобы быстро восстановиться, если взломали. Бэкап должен быть регулярным, полным — файлы и база — и храниться не на том же сервере.

И проверьте, что из него можно восстановить. Копия, которая создаётся, но не открывается, — это иллюзия защиты. Раз в пару месяцев стоит попробовать восстановить сайт на тестовой копии: если получилось, бэкап настоящий.

Отдельно настройте уведомления. Хорошая практика — получать письмо, если в файлах сайта что-то изменилось или кто-то вошёл в админку. Тогда вы узнаете о взломе в тот же день, а не через месяц по письму от клиента.

Ограничьте вход в админку

Ещё один слой — не пускать всех подряд на страницу входа. Есть несколько способов, и их можно комбинировать.

• Сменить стандартный адрес входа /wp-admin на что-то менее очевидное.
• Ограничить доступ по IP — но только если у вас постоянный адрес.
• Добавить капчу или простую проверку на страницу входа.
• Ограничить количество попыток входа с одного адреса.

Важно не перестараться. Если вы ограничите доступ по IP, а сами окажетесь в отпуске с другим адресом, то не сможете зайти на собственный сайт. Всегда оставляйте запасной способ доступа.

Что проверить прямо сейчас

1. В админке нет пользователя с логином admin.
2. У всех администраторов длинные уникальные пароли и двухфакторная аутентификация.
3. Редактор файлов отключён в wp-config.php.
4. Листинг папок закрыт, а прямые ссылки на конфиги и бэкапы не работают.
5. XML-RPC отключён, если не используется.
6. Все плагины и темы обновлены, лишние удалены.
7. Бэкапы настроены и проверены на восстановление.
8. Настроены уведомления о входе и изменениях файлов.

Если хотя бы половина пунктов вызывает вопросы — это повод заняться безопасностью всерьёз, а не «потом».

Красные флаги

• В админке остался пользователь с логином admin.
• У нескольких людей один и тот же пароль.
• Двухфакторная аутентификация не включена «потому что неудобно».
• В папке сайта лежат архивы бэкапов, доступные по прямой ссылке.
• Установлены плагины, которые не обновлялись годами.
• Резервные копии делаются, но никто не пробовал их восстановить.
• Никто не получает уведомлений о входе в админку.

Что в итоге

Безопасность WordPress — это не один плагин и не одна настройка, а несколько слоёв: пароли, доступ, обновления, бэкапы. Каждый по отдельности закрывает свою дыру, вместе они делают взлом настолько невыгодным, что проще найти другой сайт. Час работы над этими настройками дешевле, чем неделя восстановления после взлома.

Мы обычно начинаем с ревизии: смотрим, какие пользователи есть, что открыто снаружи, как обновляются плагины и есть ли рабочий бэкап. Иногда достаточно поправить несколько настроек, а иногда — пересобрать доступы и перенастроить копии. Напишите или оставьте заявку — проверим базовую безопасность вашего сайта и скажем, что стоит закрыть в первую очередь.