Почему WordPress взламывают

Не потому, что движок «дырявый», а потому что он самый распространённый: сканеры перебирают миллионы адресов автоматически. Атакуют не ваш сайт лично, а всех подряд по списку — слабый пароль, старая версия темы, забытый плагин.

1. Обновления

Ядро, темы и плагины — раз в месяц, без исключений. Большинство успешных взломов происходит через устаревшие расширения, для которых исправление вышло месяцы назад. Удаляйте то, чем не пользуетесь: неактивный плагин — такой же риск, как активный.

2. Пароли и вход

• Логин не admin, пароль длиннее 16 символов, уникальный для сайта.
• Двухфакторная авторизация для всех администраторов.
• Ограничение попыток входа: пять неудач — блокировка на час.
• Смените адрес входа, если он открыт всем: это не панацея, но снимает шум ботов.

3. Права на файлы

Папки — 755, файлы — 644, wp-config.php — 600. Права 777 означают, что любой процесс на сервере может переписать файл, включая внедрённый скрипт. Отдельно закройте листинг каталогов в настройках хостинга.

В wp-config.php добавьте запрет на редактирование файлов из админки:

define('DISALLOW_FILE_EDIT', true);

4. Резервные копии

Копия — единственное, что спасает, когда защита уже не помогла. Нужны файлы и база, автоматически, с хранением вне сервера: если хостинг заблокируют за рассылку спама, локальные копии уедут вместе с сайтом. Проверьте восстановление хотя бы один раз — копия, которую никогда не разворачивали, считается непроверенной.

5. Мониторинг

Следите за тремя вещами: изменения файлов, новые пользователи-администраторы, рост нагрузки на сервер. Внезапно появившийся админ или всплеск CPU — почти всегда признак вредоносного кода.

Признаки взлома

• Сайт открывается, но редиректит на чужой домен или выдаёт ошибку.
• В поиске появились страницы, которых вы не создавали.
• Хостинг прислал письмо о рассылке спама с вашего аккаунта.
• В корне сайта появились незнакомые PHP-файлы со странными именами.

Что делать, если уже взломали

Не «чистить» вручную по одному файлу — вредоносный код обычно разбросан и замаскирован. Правильный порядок: сменить все пароли, восстановить сайт из копии до заражения, обновить всё, сменить ключи в wp-config.php, проверить поисковую выдачу и снять пометку «сайт может угрожать» в Вебмастере и Search Console.

Если копии нет — поиск вредоносного кода по базе и файлам, переустановка ядра и плагинов из свежих архивов. Дольше, дороже, но выполнимо.

Нужен сайт на WordPress, а не статья?

Настрою защиту: обновления, двухфакторная авторизация, права на файлы, автоматические копии и мониторинг. С 2009 года, по договору.

ОБСУДИТЬ ПРОЕКТ

Полезно по теме: WordPress с нуля, плагины, ускорение.