Справочник WordPress

Безопасность WordPress: базовый чек-лист

Безопасность сайта строится не на одном плагине, а на регулярных обновлениях, ограниченных правах, резервных копиях и контроле изменений. Начинать нужно с базовых процессов.

Рабочий пример

Еженедельно:
• проверить обновления ядра, темы и плагинов
• создать и проверить резервную копию
• просмотреть пользователей и роли
• проверить HTTPS и формы
• удалить неиспользуемые расширения

Администраторский доступ нужен только тем, кто действительно управляет системой. Для редакторов и авторов используй соответствующие роли, включай двухфакторную защиту и уникальные пароли.

Когда применять

Копии храни отдельно от сервера и периодически проверяй восстановление. Перед крупным обновлением используй тестовую копию сайта или окно с минимальным трафиком.

Проверь пример самостоятельно: измени исходные данные, убери одну строку и сравни результат. Такой короткий эксперимент помогает увидеть роль каждого свойства или метода и не превращает обучение в механическое копирование.

Частые ошибки

• Использовать общий аккаунт admin
• Хранить единственную копию на том же сервере
• Откладывать обновления на месяцы

Сначала доступ, потом редкие сценарии

Надёжный уникальный пароль администратора, нормальный логин и обновления закрывают больше рисков, чем редкий плагин «суперзащита». Включи обновления ядра и не оставляй тему, которую автор не выпускал несколько лет. Устаревший плагин — обычная дверь.

Не создавай лишних администраторов для авторов текстов. Редактор и автор не меняют темы и плагины. Отдельная учётка на каждого человека лучше общего пароля в чате.

Администратор: обновления, темы, плагины
Редактор: чужие и свои записи
Автор: только свои записи
Резервная копия: до обновлений и раз в неделю

Копии и вход

Копия на том же хостинге пропадёт вместе с ним. Храни хотя бы одну свежую копию в другом месте. Проверяй, что в архиве есть и файлы, и база: без базы останутся картинки без текстов.

Ограничь попытки входа и не показывай ошибки вида «такой пользователь не найден». Двухфакторный вход для администратора уместен, как только сайт перестал быть чисто учебной песочницей.

Чего не делать ради ощущения защиты

• Не ставь пять плагинов безопасности сразу. Они пересекаются и трудно понять, кто блокирует вход.
• Не правь ядро WordPress. Следующее обновление сотрёт правку.
• Не прячь страницу входа нестандартным адресом как единственную меру.
• Не оставляй тестового пользователя с паролем 123456 после сдачи макета.