Безопасность WordPress: что я делаю чтобы сайт не взломали

Первый раз меня взломали в 2018 году. Зашёл в админку, а там — белый экран и кривой баннер про «ваш сайт взломан». Хорошо, был свежий бекап. С тех пор я подошёл к безопасности системно и хочу поделиться, что реально работает, а что — маркетинговая ерунда.

В админку я захожу только через двухфакторку — без неё даже пароль не спасает. Ставил Google Authenticator, привык за неделю. Теперь спокойно даю доступ подрядчикам — если кто-то сольёт пароль, второй фактор не пройдёт.

Fail2ban на сервере режет сканеров админки на корню. Настроил один раз — и забыл. Брутфорс-атак стало в сто раз меньше.

SSL — обязательная база. Let’s Encrypt настроил за 10 минут, сертификаты обновляются автоматически. Без HTTPS сейчас даже не про индексацию — просто опасно.

Ещё я отключил лишнее: XML-RPC, если не нужен, автозагрузку плагинов, файловый редактор в админке. И главное — бекапы. Резервное копирование WordPress — это то, что спасёт тебя ночью, когда сайт лёг.

Мой итог. Безопасность — это не один плагин, а привычка. Обновляться, не давать лишних прав, хранить бекапы отдельно. Я теперь делаю проверку раз в месяц и сплю спокойно.

Расскажу эту историю полностью, потому что безопасность WordPress — это тема, о которой я теперь знаю не понаслышке. Первый взлом в 2018 году стал для меня тревожным звонком, и всё, что я делал после, — это результат того инцидента. Надеюсь, мой опыт поможет тебе защитить свой сайт до того, как придётся чинить последствия.

Всё началось с того, что я зашёл в админку и увидел белый экран с кривым баннером «ваш сайт взломан». В тот момент сердце ушло в пятки. Я не понимал, как это произошло, что они взяли, что сломали. Хорошо, что у меня был свежий бэкап — я восстановил сайт за вечер. Но осадок остался, и самое главное — я понял, что ничего не понимаю в безопасности. Тот инцидент заставил меня подойти к защите системно, и теперь я делюсь тем, что реально работает.

Первый вывод, который я сделал после взлома: пароль — это слабейшее звено. Какой бы сложный ни был пароль, его можно слить, подобрать или украсть. Поэтому первым делом я включил двухфакторную аутентификацию. Теперь в админку невозможно попасть без кода из приложения-аутентификатора. Даже если пароль утечёт — второй фактор не пройдёт без моего телефона. Я поставил Google Authenticator, привык за неделю, и теперь спокойно даю доступ подрядчикам: даже если они потеряют пароль, сайт в безопасности.

Про двухфакторку скажу отдельно, потому что это реально работает. Я видел истории, когда у людей сливали пароли, но сайты оставались целыми именно благодаря второму фактору. Это не гарантия на сто процентов, но это закрывает самый массовый вектор атак — подбор и слив паролей. Привыкнуть к нему несложно: при входе вводишь пароль, потом код из приложения. Одна лишняя секунда — и сайт в разы безопаснее. Если у тебя до сих пор нет двухфакторки — это первое, что стоит сделать.

Второй важный элемент — защита на уровне сервера. Я поставил Fail2ban — утилиту, которая следит за логами и банит IP-адреса после нескольких неудачных попыток входа. Сканеры админки, которые перебирают пароли сотни раз, блокируются автоматически. Настроил один раз — и забыл. Эффект был мгновенный: количество брутфорс-атак сократилось в сотню раз. Это тот случай, когда один инструмент решает целый класс проблем. Если у тебя свой сервер — Fail2ban обязателен.

Третье — SSL и HTTPS. Это база, без которой даже разговоры о безопасности бессмысленны. Я настроил Let’s Encrypt за десять минут, сертификаты обновляются автоматически. Теперь весь трафик между посетителем и сайтом зашифрован. Это важно и для защиты данных, и для доверия пользователей, и для индексации — поисковики предпочитают безопасные сайты. Если у тебя до сих пор нет HTTPS — исправь это в первую очередь. Это не роскошь, а необходимость.

Четвёртое — я прошёлся по лишним возможностям WordPress и отключил всё, что не использую. XML-RPC — протокол, который часто используют для атак, — отключил, раз он мне не нужен. Автозагрузку плагинов убрал — это источник уязвимостей и замедления. Файловый редактор в админке отключил — зачем давать возможность редактировать PHP-файлы через веб-интерфейс, если это можно сделать через SSH? Каждая отключённая лишняя функция — это минус один вектор атаки.

Про обновления скажу отдельно, потому что это самое недооценённое. Большинство взломов WordPress происходит не из-за дыр в ядре, а из-за устаревших плагинов и тем с известными уязвимостями. Злоумышленники сканируют интернет в поисках сайтов с устаревшим софтом и бьют точно в цель. Поэтому обновлять ядро, плагины и темы нужно регулярно. У меня включены автоматические обновления безопасности, а крупные обновления я делаю сам, после бэкапа. Не обновляться — значит открывать дверь взломщикам.

Теперь про бекапы — самое важное из всего. Безопасность — это не только предотвращение взлома, но и готовность к последствиям. Если сайт взломают или упадёт диск, единственное, что тебя спасёт, — это свежий бэкап. Я настроил автоматическое резервное копирование: база и файлы снимаются регулярно и хранятся в надёжном месте. И, что критично, я проверяю, что бэкапы реально работают — периодически делаю тестовое восстановление. Бекап, который нельзя восстановить, — это не бекап, а самообман.

Про тестовое восстановление стоит рассказать подробнее, потому что об этом забывают почти все. Мало сделать бэкап — надо убедиться, что он рабочий. У меня был случай, когда я обнаружил, что бэкап базы битый, — и хорошо, что обнаружил это до форс-мажора, а не после. Теперь раз в пару месяцев я восстанавливаю бэкап на тестовый сервер и проверяю, что сайт работает. Это занимает время, но даёт уверенность, что в критический момент я не останусь с пустыми руками.

Ещё один важный момент — права доступа. Я сделал правило: не давать никому больше прав, чем нужно. Автор пишет статьи — ему не нужны права администратора. Подрядчик настраивает тему — пусть работает с ограниченной ролью. Каждый лишний аккаунт с полными правами — это лишняя цель для атаки. Плюс я периодически просматриваю список пользователей и удаляю те, кто больше не работает с сайтом. Минимум привилегий — базовый принцип безопасности.

Про проверки скажу кратко. Я сделал себе регулярную рутину: раз в месяц прохожусь по чек-листу безопасности. Обновления — на месте. Двухфакторка — работает. Fail2ban — активен. SSL — в порядке. Бекапы — свежие и рабочие. Пользователи — только нужные. Лишние функции — отключены. Вся проверка занимает полчаса, но даёт спокойствие. И если что-то выбивается из нормы — я сразу это исправляю, не откладывая на потом.

Что бы я посоветовал новичку, который хочет защитить свой сайт. Начни с главного: SSL, двухфакторка, обновления и бекапы. Эти четыре вещи закрывают 90% угроз. Потом добавь Fail2ban, отключи лишнее, настрой права доступа. Не пытайся поставить десять плагинов безопасности сразу — они часто конфликтуют и замедляют сайт. Лучше сделать меньше, но правильно. Безопасность — это не коллекция плагинов, а набор правильных привычек.

И ещё одно важное предупреждение. Многие «плагины безопасности» — это маркетинговая ерунда, которая создаёт видимость защиты. Они собирают логи, показывают красивые дашборды с «нейтрализованными угрозами», но на деле не делают ничего важного. Настоящая защита — это фундамент: обновления, пароли, двухфакторка, бэкапы, настройка сервера. Не ведись на красивую статистику — проверяй, что твой сайт реально защищён, а не просто выглядит так.

Подведу итог. Безопасность WordPress — это не один плагин и не разовая акция, а система привычек: обновляться, не давать лишних прав, хранить бекапы отдельно, проверять всё регулярно. После моего взлома в 2018 году я построил такую систему, и с тех пор ни одного инцидента. Я не говорю, что это гарантия навсегда — в безопасности нет абсолютных гарантий. Но я сплю спокойно, зная, что сделал всё возможное. И тебе советую: не жди взлома, чтобы начать защищаться. Начни сегодня — это проще, чем кажется.

Расскажу ещё о нескольких деталях, которые могут показаться мелочами, но в сумме дают серьёзную защиту. Первое — это уникальные пароли. Я не использую один пароль для всего: каждый аккаунт — свой пароль. Для управления паролями пользуюсь менеджером, поэтому не нужно их запоминать. Звучит банально, но именно одинаковые пароли — причина большинства взломов: украли пароль на одном сайте — и он подошёл к твоему WordPress.

Второе — это скрытие версии WordPress. Плагины и темы часто раскрывают свою версию в коде страницы. Если у тебя старая версия, злоумышленник это увидит и сможет прицельно искать уязвимости для этой версии. Я убрал вывод версии — мелочь, но лишает атакующего бесплатной информации. Заодно я убрал имена авторов из URL постов, чтобы не светить логины.

Третье — это защита от спама в комментариях. Спам-боты оставляют сотни мусорных комментариев, и за ними могут скрываться попытки внедрить вредоносные ссылки. Я включил антиспам-защиту, настроил модерацию и почистил накопившийся спам. Теперь комментарии от неизвестных пользователей попадают на проверку, а не публикуются сразу. Это и чистота, и безопасность в одном флаконе.

Четвёртое — это мониторинг изменений. Я настроил уведомление о подозрительной активности: изменение файлов, появление новых админов, подозрительные входы. Если что-то происходит без моего участия — я узнаю сразу. Это позволяет заметить атаку на ранней стадии, когда ещё можно быстро отреагировать. Регулярный мониторинг — это глаза, которые следят за сайтом, когда ты не смотришь.

И пятое — про физическую защиту данных. Я храню бэкапы не только на том же сервере, где сайт, но и в отдельном месте. Если взломщик получит доступ к серверу — он сможет удалить и бэкапы, которые лежат рядом. Поэтому критичные копии хранятся отдельно, в другом месте. Это последняя линия обороны: даже в худшем случае у тебя будет чистая копия сайта для восстановления.