Защита WordPress от взлома: практический минимум

Взломанный WordPress может превратить магазин в страницу с чужой рекламой, разослать спам с вашего домена или лишить вас доступа к сайту. Для сайта на WordPress 6.x практический минимум — обновления, ограничение учётных записей, проверяемые резервные копии и защита хостинга; настройку можно провести за один рабочий день, если у вас есть доступы администратора.

Сначала закройте очевидные входы

Перед изменениями получите доступ к панели WordPress, панели хостинга и резервным копиям. Убедитесь, что можете восстановить сайт, а не только создать архив. Если у вас нет доступа к хостингу или база сайта резервируется автоматически, уточните у провайдера, где хранится копия и как её развернуть.

Рекомендации ниже относятся к ветке WordPress 6.x. Конкретные пункты меню могут отличаться из-за темы, хостинга и плагинов. Обновляйте сайт до актуального выпуска, доступного для вашей установки, а версии PHP и базы данных сверяйте с требованиями WordPress и хостера.

1. Обновите WordPress, плагины и тему. В панели откройте раздел «Обновления», сделайте копию сайта и устанавливайте доступные обновления. Удалённые, но неиспользуемые плагины и темы тоже удалите: просто выключенный плагин остаётся на сервере. Проверка: в разделе обновлений нет ожидающих установку обновлений, сайт открывается, формы и оплата работают.
2. Пересмотрите администраторов. Удалите учётные записи людей, которым больше не нужен доступ. Каждому сотруднику выдайте собственную запись с минимально необходимой ролью; не используйте общий логин администратора. Проверка: в списке пользователей нет неизвестных аккаунтов и бывших подрядчиков.
3. Защитите вход. Используйте длинный уникальный пароль и включите многофакторную проверку для администраторов, если её поддерживает ваш способ входа или установленное решение. Не храните пароль в открытом файле и не отправляйте его в общем чате. Проверка: после ввода пароля вход требует второй фактор, а восстановление доступа настроено на рабочий адрес владельца.
4. Настройте резервные копии. Нужны и файлы сайта, и база данных: в базе находятся записи, настройки и заказы, а в файлах — ядро, темы и загруженные материалы. Храните копию отдельно от того же аккаунта хостинга. Проверка: восстановите копию на тестовом сайте или попросите хостера показать процедуру восстановления.
5. Проверьте HTTPS и работу хостинга. Убедитесь, что сайт и панель входа открываются по HTTPS, а хостинг поддерживает актуальные версии программного окружения. Спросите провайдера, как он изолирует сайты разных клиентов и уведомляет об инцидентах. Проверка: браузер не сообщает об ошибках сертификата, а хостер может описать процесс обновлений и восстановления.

Меры защиты: что дают и чего не обещают

У защиты нет одной кнопки. Плагин безопасности может помочь с аудитом или ограничением попыток входа, но не заменит обновления, уникальные пароли и копию, которую можно восстановить. Выбирайте средство по конкретной функции, совместимости и сроку поддержки, а не по обещанию «полной защиты».

Резервная копия — это не файл в облаке, а проверенный способ вернуть сайт в рабочее состояние.

Что проверить в панели и у хостера

Не отключайте функции WordPress наугад по совету из случайной инструкции. Например, XML-RPC используют некоторые приложения и интеграции; его отключение может сломать нужную вам возможность, но само по себе не заменит обновление. Сначала выясните, какие сервисы подключены к сайту.

• Посмотрите список плагинов и выясните, кто отвечает за каждый из них. Если назначение или владелец неизвестны, проверьте документацию и историю обновлений перед удалением.
• Уточните, включены ли автоматические обновления для выбранных компонентов и кто проверяет результат. Автообновление без наблюдения способно оставить сайт с несовместимым плагином.
• Проверьте, что резервные копии защищены отдельной учётной записью и не доступны публично по прямой ссылке.
• Попросите хостера сообщить, как ограничен доступ к панели управления, как быстро восстанавливается сайт и куда обращаться при подозрении на взлом.

WAF — межсетевой экран для веб-приложений: он фильтрует часть запросов к сайту по правилам, установленным провайдером или администратором. Это дополнительный фильтр, а не антивирус и не замена исправлению уязвимого компонента.

Если появились признаки взлома

Подозрительные перенаправления, новые администраторы, неизвестные файлы или письма о входе, которого вы не совершали, — повод считать сайт скомпрометированным. Не ограничивайтесь удалением одной странной записи: вредоносный код мог попасть в несколько файлов, а доступ — сохраниться у злоумышленника.

1. Свяжитесь с хостером и попросите проверить серверные журналы и помочь изолировать сайт от посетителей, если он раздаёт вредоносный контент.
2. Смените пароли к WordPress, хостингу, базе данных и связанным сервисам с чистого устройства. Отзовите доступы бывших сотрудников и проверьте адреса восстановления.
3. Сохраните копию заражённого состояния для анализа, но не используйте её как чистое восстановление. Найдите причину проникновения и закройте её до возвращения сайта в сеть.
4. Восстановите сайт из заведомо чистой копии либо поручите проверку специалисту. После восстановления обновите компоненты и проверьте пользователей, файлы и журналы входов.

Если сайт принимает платежи или хранит данные клиентов, не скрывайте инцидент за простой заменой пароля: уточните у хостера и профильного специалиста, какие данные могли затронуть и какие действия требуются именно в вашей ситуации.

Где минимум перестаёт работать

Базовые меры не гарантируют защиту от целевой атаки, уязвимости нулевого дня или ошибки на стороне хостинга. Они уменьшают вероятность типовых проблем и сокращают время восстановления. Для магазина с заказами, личным кабинетом или интеграциями нужен отдельный план реагирования: кто принимает решение об отключении сайта, кто восстанавливает данные и как проверяется целостность заказов.

Не придумывайте «норму» числа неудачных входов или срока хранения журналов без учёта трафика и обязанностей проекта. Сначала зафиксируйте обычный уровень обращений и согласуйте хранение с хостером. В проде следите за неожиданными администраторами, изменениями файлов, сбоями обновлений и успешностью резервного копирования.

Что делать дальше

Начните с инвентаризации пользователей и плагинов, затем обновите сайт и проверьте восстановление копии на тестовой среде. После этого договоритесь с хостером о контакте на случай инцидента и назначьте человека, который ежемесячно проверяет обновления и резервные копии. Именно проверка восстановления покажет, сколько простоя и данных вы действительно можете себе позволить.