По статистике мониторинга уязвимостей, до 95% взломов WordPress происходят через устаревшие плагины или слабые пароли администратора. Безопасность сайта — это не установка одного плагина-антивируса, а жесткая архитектурная гигиена на уровне сервера и ядра.
Гигиена прав доступа и файловой системы
Стандартная ошибка новичков — установка прав 777 на папки для «удобства» обновления. Это открывает дверь любому скрипту на запись в корень сайта. Правильный стандарт: папки — 755, файлы — 644, файл wp-config.php — 400 или 440. Если сервер позволяет, перенос wp-config.php на уровень выше корневой директории сокращает риск утечки данных БД на 80% при частичном взломе.
Кейс: при аудите сайта после атаки RCE обнаружили, что злоумышленник закинул бэкдор в /wp-content/uploads/, так как там стояли права 777. Исправление прав и запрет исполнения PHP-скриптов в папке загрузок (через .htaccess) полностью закрывают эту дыру. Экспертный вывод: любые права выше 755 на директориях — это сознательный риск, который недопустим в коммерческой разработке.
Фильтрация трафика и защита ядра
Защита ядра начинается с отключения XML-RPC (wp-json/xmlrpc.php), который используется в 70% brute-force атак для перебора паролей. Вместо этого используйте REST API с авторизацией. Также критически важно скрыть версию WordPress (удаление тега generator), чтобы боты не искали уязвимости под конкретный билд (например, 6.4.1), что снижает количество автоматизированных сканирований в 3-5 раз.
Для защиты от спама в комментариях и формах достаточно связки Honeypot + Cloudflare Turnstile. В отличие от классической капчи, Turnstile не снижает конверсию (CR) и не бесит пользователя, при этом отсекая до 99% бот-трафика. Экспертный вывод: не перегружайте сайт тяжелыми плагинами безопасности вроде Wordfence на слабых тарифах хостинга (до 2 ГБ ОЗУ), так как они создают нагрузку на CPU до 15-20% при каждом сканировании.
Архитектура обновлений и управление зависимостями
Обновление плагинов «в один клик» на живом сайте — путь к «белому экрану» и потере прибыли. В среднем, критический баг в обновлении случается раз в 10-15 апдейтов популярных плагинов (Elementor, WooCommerce). Правильный цикл: Stage-сервер → Тестирование → Production. Использование менеджеров версий или простых бэкапов перед апдейтом сокращает время восстановления сайта с 4-8 часов до 10 минут.
При выборе стека важно помнить, что кастомные темы с минимальным количеством плагинов в 4 раза безопаснее, чем сайты-конструкторы с 30+ аддонами. Каждый сторонний плагин — это потенциальная точка входа. Экспертный вывод: если функционал можно реализовать кодом в functions.php, откажитесь от плагина. Меньше кода сторонних разработчиков — меньше векторов атаки.
Специфика защиты базы данных и админки
Смена стандартного префикса таблиц с wp_ на уникальный (например, nols_ax_) предотвращает SQL-инъекции, нацеленные на стандартные имена таблиц. Также необходимо изменить URL входа /wp-admin/ на уникальный путь. Это отсекает 90% примитивных ботов, которые бьют только в стандартный адрес. Стоимость внедрения этих мер — 0 рублей, а профит — колоссальный.
Для администраторов обязателен 2FA (двухфакторная аутентификация). Даже самый сложный пароль из 16 символов может быть перехвачен через фишинг или кейлоггер. 2FA делает кражу пароля бесполезной для взломщика. Экспертный вывод: безопасность должна быть многослойной. Смена URL входа + 2FA + уникальный префикс БД создают барьер, который не преодолеют 99% массовых атак.
Вывод
Безопасность WordPress — это баланс между жесткими ограничениями и производительностью. Начинайте с базы: права доступа 755/644, отключение XML-RPC и перенос wp-config.php. Избегайте перегруза сайта тяжелыми сканерами безопасности, отдавая приоритет фильтрации на уровне DNS (Cloudflare). Мой вердикт: лучший способ защиты — это минимизация количества плагинов и строгий регламент обновлений через Stage-сервер, так как человеческий фактор и дыры в стороннем коде остаются главными рисками.
Контекст и детали — в основном материале Разработка сайтов на WordPress.
Контекст и детали — в основном материале Разработка сайтов на WordPress.