Ограничение контента в WordPress: как не сломать доступ

Подписной раздел в WordPress можно собрать за день, но ошибка в одном месте превратит его либо в дырявый архив, либо в сайт, который скрывает статьи от уже заплативших пользователей. Для WordPress 6.x главное не просто спрятать текст, а связать оплату, статус подписки, выдачу контента, медиафайлы, кэш и SEO в одну схему.

Сначала определите, что именно получает подписчик

Фраза «закрытый контент» слишком расплывчата. До установки плагина зафиксируйте модель доступа:

• одна подписка открывает весь архив или только отдельную категорию;
• доступ действует бессрочно, до конкретной даты или пока проходит регулярный платёж;
• материал закрывается целиком или читатель видит бесплатный фрагмент;
• пользователь получает только HTML-страницу или ещё PDF, видео и файлы для скачивания;
• что происходит после отмены платежа, возврата денег и окончания оплаченного периода.

Это не бюрократия. Если не описать правила заранее, плагин может открыть статью после регистрации, но не закрыть вложение, оставить старую версию страницы в кэше или сохранить доступ после отмены подписки.

Надёжный paywall проверяет не кнопку и не URL, а право конкретного пользователя получить конкретный объект.

Что входит в право доступа

В WordPress обычно есть три сущности: пользователь, уровень подписки и защищаемый объект. Объектом может быть запись, страница, категория, часть текста или файл. Не смешивайте уровень подписки с ролью WordPress: роль отвечает за общие права в админке, а подписка — за коммерческий доступ к продукту или контенту.

WordPress умеет работать с пользователями, ролями и возможностями, но сам по себе не ведёт подписки и не знает, прошёл ли платёж. Для этого нужен плагин членства либо собственная интеграция с биллингом.

Три рабочих подхода

Выбор зависит не от количества статей, а от того, где живут платежи и насколько сложны правила доступа.

Для обычного сайта с платными статьями разумно начать с одного зрелого плагина членства и одного платёжного сценария. Не устанавливайте одновременно несколько систем, которые меняют роли, ограничивают один и тот же контент и отправляют собственные письма: конфликт правил будет сложнее самой настройки.

Как собрать схему без типичных ошибок

1. Создайте минимальную модель доступа

Начните с одного уровня, например «Подписка на статьи», и двух состояний: активна и неактивна. Не добавляйте сразу пять тарифов, пробный период, подарочные подписки и разные правила для каждой категории. Сначала проверьте базовый путь: регистрация, оплата, доступ, отмена.

Проверка: тестовый пользователь без подписки видит только публичную часть, а пользователь с активным уровнем открывает закрытую запись.

2. Ограничивайте контент на уровне объекта

Если закрыть только блок текста в редакторе, сама запись может остаться доступной через RSS, REST-ответ, поиск, архив категории или прямую ссылку на вложение. Правило должно применяться к записи или другому объекту до вывода полной версии страницы, а не только к отдельному абзацу.

Для начала используйте один способ маркировки: уровень доступа для конкретной записи либо правило для категории. Сочетание нескольких условий оставьте на потом и документируйте: иначе редактор не поймёт, почему статья закрыта для одного тарифа и открыта для другого.

Проверка: откройте URL записи в приватном окне, выйдите из аккаунта и проверьте страницу через архив категории, поиск и RSS, если он используется.

3. Отдельно настройте бесплатный фрагмент

Превью должно быть осмысленным: заголовок, первый экран и обещание результата, но не половина платного материала с решением задачи. Проверьте, что закрытая часть не попадает в HTML страницы, исходный код, метаданные или встроенные данные, которые отдаёт тема.

Если SEO для проекта важно, решите заранее, что видит поисковый робот. Публичный анонс и закрытый основной текст — разные вещи. Не пытайтесь скрыть весь материал визуальным CSS: такой текст уже отправлен браузеру и не является защищённым.

Проверка: в исходном коде страницы гостя нет полного платного текста, а поисковый сниппет не раскрывает закрытый ответ целиком.

4. Защитите файлы, а не только страницу

PDF, архивы, изображения и видео часто лежат в каталоге загрузок и открываются по прямой ссылке. Ссылка из закрытой записи не становится секретной только потому, что её не видно гостю. Проверьте каждый тип файла отдельно.

Если плагин членства умеет защищать загрузки, используйте его штатный механизм и следуйте документации конкретной версии. Если нет, храните платные файлы за отдельным контролем доступа или отдавайте их через сервис, который проверяет право пользователя. Не рассчитывайте на переименование файла: это лишь усложняет угадывание URL, но не создаёт авторизацию.

Проверка: скопируйте прямую ссылку на файл из аккаунта подписчика, выйдите из него и откройте ссылку в другом браузере.

5. Разведите кэш для гостя и подписчика

Кэширование — самая частая причина странного поведения. Если сервер или CDN сохранил страницу подписчика как публичную, гость может получить уже раскрытый материал. Обратная ситуация тоже неприятна: активный подписчик видит форму оплаты, потому что ему отдали гостевую копию.

На первом этапе исключите из полного кэширования страницы, зависящие от авторизации, личный кабинет, страницы входа и оплаты. Затем проверьте, как именно плагин работает с cookie, заголовками и CDN. Не включайте агрессивный кэш после установки, пока не пройдёте матрицу тестов.

Проверка: протестируйте одну закрытую запись в трёх состояниях: гость, активный подписчик и пользователь с истёкшим доступом. Обновите страницу несколько раз и проверьте её с мобильной сети.

Тестовая матрица перед публикацией

Проверяйте не только успешную оплату. Самые дорогие ошибки возникают на переходах между состояниями.

1. Гость открывает URL закрытой записи и видит корректный экран ограничения.
2. Новый пользователь регистрируется, оплачивает подписку и получает доступ без ручного изменения роли.
3. Активный подписчик открывает статью, PDF, видео и ссылку из архива.
4. Пользователь отменяет подписку: доступ сохраняется до конца оплаченного периода или прекращается по вашим правилам.
5. Платёж не проходит, возвращён или отменён: статус доступа меняется так, как указано в условиях.
6. Пользователь выходит из аккаунта: закрытый HTML и защищённый файл больше не выдаются.
7. Кэш очищен и включён заново: гость не получает страницу подписчика.

Для тестов используйте отдельные адреса электронной почты и тестовый режим платёжного провайдера, если он доступен. Не проверяйте отмену на единственной рабочей подписке владельца сайта.

Что обычно ломается

Плагин скрывает текст, но не файл

Это не обязательно ошибка настройки: защита записи и защита загрузок могут быть разными функциями. Найдите в документации плагина раздел о media или downloads и проверьте прямой URL без авторизации.

После входа показывается старая версия страницы

Причина обычно в кэше страницы, CDN или оптимизаторе. Очистите кэш, исключите персонализированные страницы и проверьте, не кэшируется ли HTML независимо от cookie пользователя.

Доступ не появляется сразу после оплаты

Платёжный сервис может подтверждать оплату асинхронно: сайт получает уведомление не в момент возврата пользователя на страницу, а отдельным запросом. Проверьте журнал вебхуков, статус заказа и ошибки доставки уведомлений. Не выдавайте доступ вручную как постоянное исправление: так вы потеряете связь между оплатой и подпиской.

Владелец сайта сам не может увидеть гостевую версию

Администратор часто проходит проверку по привилегиям и видит больше обычного пользователя. Поэтому приватное окно и отдельная тестовая учётная запись обязательны. Проверка в админском аккаунте не подтверждает, что ограничение работает для читателя.

Где собственное решение становится рискованным

Собственная проверка доступа оправдана, когда правила уже живут в CRM или отдельном сервисе и плагин создаёт больше проблем, чем решает. Но простой фильтр в шаблоне не покрывает весь путь выдачи данных. Нужно отдельно проверить архивы, REST, RSS, вложения, кэш, вебхуки, повторную доставку событий и поведение при недоступности внешнего сервиса.

Не храните платный контент в публичной странице с условием «показывать или не показывать» через JavaScript. Такой подход скрывает данные только от обычного взгляда, но не от просмотра исходного ответа. Точно так же не используйте роль администратора как признак оплаченной подписки: роль имеет другое назначение и может дать лишние права в панели WordPress.

Сноска. Вебхук — автоматическое HTTP-уведомление от платёжного сервиса или другого приложения. В подписной системе он сообщает WordPress о событии: успешной оплате, возврате, отмене или продлении.

Что делать дальше

После запуска поставьте в мониторинг не только продажи, но и ошибки доступа: долю неуспешных платежей, задержку между оплатой и выдачей прав, ошибки вебхуков, обращения «я заплатил, но не вижу статью» и попытки открыть защищённые файлы без авторизации. Раз в месяц проверяйте закрытую запись в приватном окне и прямую ссылку на файл после очистки кэша.

Следующий практический шаг — описать одну страницу правил доступа для редакторов: какой уровень открывает материал, что входит в превью, как обрабатываются возвраты и где проверяется файл. Это дешевле, чем разбирать по журналам сайт, в котором каждый новый автор настроил paywall по-своему.