Кто-то пытался взломать админку: включил двухфакторку
Ох, страшно вспоминать. Двухфакторку я включил после того, как кто-то попытался взломать мою админку. В логах я увидел тысячу попыток входа за час на wp-login.php. Тысячу. За один час. Сердце ушло в пятки, честное слово.
Меня спасло только то, что пароль у меня был нормальный. Подобрать его не смогли. Но я перепугался по-настоящему. Руки тряслись, пока я смотрел на эти логи. И тут я понимаю — однажды им может повезти. И это конец.
Как я это обнаружил
Зашёл я как-то в панель хостинга, чтобы глянуть статистику. А там — страница с ошибками входа. Список до самого низа. IP отовсюду: Россия, Китай, Бразилия, где-то ещё бог знает откуда. Знакомо? Если нет — загляните в свои логи, я подожду.
Первая мысль была — да ну, это боты, они у всех стучатся. И это правда. Но от того, что это боты, легче не становится. Потому что бот, который долбит пароль день за днём, рано или поздно может найти дыру. Я не хотел проверять это на себе.
Что я сделал первым делом
Поставил плагин WP 2FA. Бесплатный, простой, и — вы не поверите — его делают в министерстве кибербезопасности Израиля. Серьёзно, я не шучу. Государственное ведомство пилит плагин для WordPress. Сразу как-то спокойнее, согласитесь?
Подключил через Google Authenticator. Это просто: сканируешь QR-код приложением, и оно выдаёт коды. Дальше вход в админку выглядит так: ввёл пароль, потом код из приложения. Без кода — доступа ноль. Хоть тресни.
Момент Икс: аварийные коды
Тут я чуть не наступил на грабли, о которых потом все жалеют. Я почти пропустил раздел с аварийными кодами. И это был бы конец. Потому что если потерять телефон — в админку больше не зайти. Вообще. Навсегда.
Фух, вовремя спохватился. Сделайте аварийные коды при настройке. Обязательно. Я сохранил все пять в менеджере паролей. Теперь, даже если телефон утонет в луже, я войду. Проверьте, чтобы у вас они тоже были.
Альтернатива: Wordfence
Второй вариант, который я рассматривал, — Wordfence. У него двухфакторка встроенная, плюс файрвол, плюс защита от брутфорса. Всё в одном флаконе. Но плагин тяжёлый, жрёт ресурсы, и я решил не тащить его на свой сайт ради одной функции.
Если вам нужна комплексная защита — берите Wordfence. Он реально закрывает всё разом. Но если хочется лёгкого решения именно под двухфакторку — WP 2FA справится на ура. Я выбрал второе, и не жалею.
Что ещё я сделал
Пока разбирался, заодно закрыл пару дыр. Ограничил количество попыток входа — после пятой ошибки IP уходит в бан. Поменял адрес входа в админку, чтобы wp-login.php не светился на все стороны. Всё это добавило спокойствия.
И знаете что? С тех пор попыток взлома не было. Вообще ни одной. Двухфакторка отсекает девяносто девять процентов атак. Те, кто долбит пароли, просто не доходят до кода из приложения. Им это не по зубам.
Почему пароля уже недостаточно
Многие думают: у меня пароль сложный, зачем мне эта двухфакторка? И я так думал. А потом посмотрел на логи и понял, насколько мы все уязвимы. Даже сложный пароль — это одна ступенька. Сломал её — и ты внутри. А двухфакторка ставит вторую, которую бот не пройдёт.
У меня был пароль из тридцати символов, с цифрами и знаками. Красивый, гордый. И всё равно их попытка не остановила — они долбили и долбили. Двухфакторка же остановила мгновенно. Ни одной попытки после включения. Я впервые почувствовал, что спокоен.
Как это работает у меня
Сейчас вход у меня выглядит так: захожу на wp-login, ввожу логин и пароль, потом открываю приложение на телефоне и ввожу шестизначный код. Код меняется каждые тридцать секунд, и он одноразовый. Даже если его кто-то перехватит, он устареет раньше, чем успеет ввести.
По началу это раздражало. Думал: ещё одно действие ради входа, как неудобно. А потом привык и понял — это цена за спокойствие. Десять секунд лишних, зато никакого страха перед логами. Дешёвый обмен, скажу я вам.
Что будет, если потерять телефон
Меня часто спрашивают: а что если телефон потерять? Всё, конец? Нет, не конец, если вы сохранили аварийные коды. Именно для этого они и существуют. Ввёл код из списка — и ты внутри, можешь заново привязать телефон.
Проверьте прямо сейчас, есть ли у вас эти коды. Не откладывайте. Я чуть не забыл их сохранить, и до сих пор вздрагиваю, вспоминая этот момент. Аварийные коды — это ваш спасательный круг. Держите его под рукой.
Дополнительная защита, которая помогла
Помимо двухфакторки, я поставил ограничение на попытки входа. После пяти ошибок IP отправляется в бан автоматически. Теперь даже если кто-то забудет про двухфакторку, у него просто не будет шансов долбиться бесконечно.
Ещё я убрал стандартную страницу входа. Вместо wp-login.php у меня свой адрес, который знаю только я. Это не панацея, но лишний барьер. Чем больше барьеров, тем выше шанс, что взломщик махнёт рукой и пойдёт искать цель попроще.
Двухфакторка на других сервисах
После этого случая я пересмотрел всё, где у меня были аккаунты. Почта, хостинг, панель управления доменами — везде включил двухфакторку. Потому что логика простая: админка сайта — это дверь, а почта — это ключи от всего. Взломали почту — взломали всё.
Настроил везде, где она была доступна. Где не было — хотя бы сложный пароль и смена раз в полгода. Это заняло один вечер, зато теперь я сплю спокойно. Уверенность в том, что доступы защищены, дорогого стоит.
Мой страх после инцидента
Откровенно признаюсь: после той находки в логах я несколько дней ходил и всё проверял. Заглядывал в админку через каждые пару часов, смотрел, не изменились ли настройки, не появились ли новые пользователи. Параноик настоящий.
Но это и помогло. Я перетряхнул все настройки, убрал лишних пользователей, сменил пароли. Паранойя заставила меня навести порядок, о котором я давно забыл. Иногда страх — хороший двигатель, согласитесь?
Почему двухфакторка — это просто
Многие боятся, что это сложно. Честно скажу: сложнее всего было решиться. Сама настройка заняла десять минут. Установил плагин, отсканировал код, сохранил аварийные коды — всё. Дальше просто пользуешься.
И никаких проблем в повседневной работе я не заметил. Разве что код иногда приходится вводить заново, если долго сидел в админке. Это мелочь. А спокойствие, которое даёт двухфакторка, не сравнится ни с чем.
Что я скажу любому новичку
Если вы ведёте хоть какой-то сайт — включите двухфакторку сегодня. Не завтра, не через неделю, а сегодня. У меня ушло десять минут, и эти десять минут окупились бессонницей, которую я не получил. Лучше потратить их на настройку, чем на разбор взлома.
Поверьте, я говорю это как человек, который увидел тысячу попыток входа в свой сайт за час. Это меняет отношение к безопасности навсегда. Не ждите, пока стукнутся в вашу дверь. Закройте её заранее.
Что я понял про ботов
Отдельно скажу про этих настырных ботов. Они долбят wp-login.php круглосуточно, потому что это самый известный адрес входа в WordPress. Миллионы сайтов используют этот адрес, и боты просто перебирают всех подряд. Это не личная война против вас, просто машина работает по списку.
Но от этого не легче. Потому что когда машина однажды натыкается на слабый пароль — привет, взлом. Поэтому и нужна двухфакторка. Даже если бот угадает пароль, код из приложения он не введёт. Оборона, которая не пробивается перебором.
Почему я не бросил WordPress
После случая со взломом у меня мелькала мысль: может, уйти с WordPress на что-то посложнее? Но я остыл и понял — дело не в платформе, а в защите. WordPress отличный движок, просто его нужно правильно закрыть. С двухфакторкой я закрыл главную дверь.
Смена движка — это огромная работа, а результат был бы тем же: защищать новый движок тоже придётся. Проще и правильнее усилить защиту того, что уже работает. Я выбрал этот путь и не жалею.
Моя текущая схема защиты
Сейчас моя схема выглядит так: двухфакторка на входе, ограничение попыток, изменённый адрес входа, сложный пароль, регулярные обновления. Каждый элемент по отдельности не идеален, но вместе они дают крепкую оборону. Слои защиты работают.
Я не говорю, что так неуязвим. Взломать можно всё, вопрос — сколько усилий это займёт. Моя задача — сделать взлом настолько невыгодным, чтобы злоумышленник ушёл к более лёгкой цели. Пока получается: попыток взлома — ноль.
Финальные мысли
Знаете, когда я увидел те логи, я испугался. Но потом страх сменился решимостью. Я закрыл дыры, включил двухфакторку и больше не переживаю. Если у вас ещё нет двухфакторки — сделайте её прямо сейчас. Это десять минут, которые спасают от кошмара.
А я пойду налью себе чай. Потому что теперь я могу спокойно сидеть и пить чай, не думая о взломщиках. Вот что значит правильно настроенная защита.
Проверка, что всё работает
После включения двухфакторки я решил проверить её на себе. Вышел из админки и попробовал войти без кода. Доступа, разумеется, не было. Система честно сказала: нужен код. Именно то, что я хотел увидеть. Оборона работает.
Проверьте так же у себя. Выйдите, попробуйте зайти с паролем, но без кода. Если система вас пустит — значит, двухфакторка не включилась. Идите и переделывайте. А если не пустила — поздравляю, вы под защитой.
Как я отношусь к безопасности сейчас
Раньше я думал: у меня маленький сайт, кому я нужен. Теперь я знаю: ты нужен не «кому-то», а тысячам ботов, которые перебирают всех подряд. Взломщику не важно, большой у тебя сайт или маленький. Важно — есть ли у тебя защита.
Двухфакторка изменила моё отношение к безопасности в целом. Я стал внимательнее к паролям, обновлениям, доступам. И это пошло на пользу всему сайту. Защита — это не параноия, это нормальное состояние дел.
Заключение
Подведу черту. Увидел тысячу попыток взлома — включил двухфакторку за десять минут — и с тех пор спокоен. План для ленивых я уже написал выше, повторю главное: поставьте плагин, подключите приложение, сохраните аварийные коды. И спите спокойно.
Итог
Я жалею только об одном — что не включил двухфакторку раньше. Это заняло десять минут, а спокойствия дало на годы вперёд. Ночь после находки я спал плохо, зато все следующие — отлично. Оно того стоило.
План для ленивых:
- Поставь плагин WP 2FA (или Wordfence).
- Подключи Google Authenticator по QR-коду.
- Сохрани аварийные коды в менеджере паролей.
- Ограничь попытки входа — после 5 ошибок бан.
- Смени адрес входа в админку.
- Проверь логи через неделю. Увидишь ноль попыток — значит, всё работает.
Больше статей про WordPress — от установки до продвижения — я собрал в сводном гайде. Там всё, что я наковырял, честно и без воды.