Защита сайта на WordPress начинается с проверки того, что уже установлено, и заканчивается подтверждением, что каждая мера работает. Мы разбираем плагины и темы, обновляем ядро и расширения, выставляем права на файлы, включаем двухфакторный вход, настраиваем резервные копии с проверкой восстановления и оповещения об изменениях. Вы получаете укреплённый сайт и отчёт с отметкой по каждой мере.
Откуда берутся взломы WordPress
Уязвимости сайтов на WordPress часто связаны с расширениями, паролями и настройками сервера. В OWASP Top 10:2025 такие причины относятся к категориям Software Supply Chain Failures, Authentication Failures и Security Misconfiguration.
На практике это заброшенный плагин с известной уязвимостью, тема, купленная на стороннем сайте, общий пароль администратора, который знают бывшие подрядчики, редактор PHP-файлов в панели управления, папка с бэкапом, доступная из интернета. Документация WordPress напоминает отдельно: старые версии WordPress не получают обновлений безопасности.
Что рекомендуют WordPress и ANSSI
Официальное руководство WordPress по усилению защиты и памятка французского агентства ANSSI для CMS сходятся в главном. Мы используем их как контрольный список при проверке сайта.
| Рекомендация | Что это значит для вашего сайта | Источник |
|---|---|---|
| Держать WordPress в актуальной версии, пользоваться автоматическими обновлениями | ядро и расширения без известных уязвимостей | WordPress, Hardening WordPress |
| Записывать файлы может только ваш пользователь; веб-серверу — только нужные каталоги вроде /wp-content/ | взломанный плагин не перепишет ядро | WordPress, Hardening WordPress |
| Ограничить чтение wp-config.php, обычно правами 400 или 440 | пароли базы и ключи не читаются посторонними процессами | WordPress, Hardening WordPress |
| define( 'DISALLOW_FILE_EDIT', true ) в wp-config.php | из панели управления нельзя править PHP-файлы плагинов и тем | WordPress, Hardening WordPress |
| Двухфакторный вход для администраторов | украденного пароля мало для входа | WordPress; ANSSI, Les essentiels CMS |
| Регулярные резервные копии, включая базу, в доверенном месте, несколько снимков | можно откатиться и на момент до взлома, и после | WordPress, Hardening WordPress |
| Ограничить плагины и темы необходимым, ставить только активно поддерживаемые | меньше кода, меньше точек входа | ANSSI, Les essentiels CMS |
Что мы делаем при защите сайта на WordPress
Работа состоит из проверки, укрепления и повторной проверки. Каждую меру мы выполняем на вашем сайте и отмечаем в отчёте с датой.
- Инвентаризация. Список всех плагинов, тем, учётных записей и заданий по расписанию; отметка, что используется, что заброшено разработчиком, что дублирует друг друга.
- Обновления. Ядро, плагины и темы до актуальных версий, с проверкой форм, оплаты и интеграций после каждой волны обновлений.
- Чистка. Удаление неиспользуемых плагинов, тем и учётных записей, включая администраторов от прежних подрядчиков.
- Доступы. Двухфакторный вход для всех администраторов, ограничение попыток входа, отдельная учётная запись для каждого человека.
- Файлы и конфигурация. Права на файлы и каталоги, защита wp-config.php, отключённый редактор файлов, запрет листинга каталогов.
- Сервер и заголовки. Актуальный PHP, HTTPS везде, заголовки безопасности, проверка того, что из интернета не видны резервные копии и служебные файлы.
- Резервные копии. Копии файлов и базы вне сервера, несколько снимков, тестовое восстановление на отдельной площадке.
- Оповещения. Уведомления о новых администраторах, изменении файлов ядра и сбоях доступности.
Плагины безопасности: что они делают и чего не делают
Плагин безопасности фильтрует подозрительные запросы, ограничивает попытки входа и сообщает об изменениях. Документация WordPress описывает два типа фильтрации: на уровне правил сервера до загрузки WordPress и внутри самого WordPress, а также внешний межсетевой экран веб-приложений или прокси перед сервером.
Плагин работает внутри той же установки, которую защищает, и сам требует обновлений. Мы подбираем защиту под ваш хостинг: где-то достаточно правил на сервере и внешнего фильтра трафика, где-то нужен плагин. После настройки проверяем, что защита срабатывает и не мешает реальным посетителям и формам.
Что вы получаете
Результат работы — укреплённый сайт и отчёт, по которому видно, что сделано и когда.
- Выполненный список мер с отметкой и датой по каждому пункту.
- Актуальные версии ядра, плагинов и тем, удалённые лишние компоненты и учётные записи.
- Включённый двухфакторный вход для всех администраторов.
- Резервную копию, проверенную восстановлением, с датой и описанием.
- Настроенные оповещения и список того, кто их получает.
- Повторную проверку после работ с подтверждением, что меры действуют.
Регулярное сопровождение после разовой работы обсуждается отдельно по запросу.
Что нужно от вас
Нужен человек, который принимает решения, администратор в WordPress, доступ к хостингу или серверу, список плагинов, которые критичны для бизнеса (оплата, CRM, формы), и подписанное письмо о рамках работ (scope letter) с перечнем того, что мы трогаем и что остаётся без изменений.
Границы работы
Мы укрепляем сайт и подтверждаем, что меры действуют, на дату повторной проверки. Новые уязвимости в плагинах публикуют постоянно, и гарантировать, что сайт никогда не взломают, не может никто. Ответственность за обновления после передачи сайта лежит на том, кто его сопровождает. Мы не сертифицирующий орган, и отчёт сертификатом не является. Юридическую оценку соответствия GDPR даёт ваш юрист или специалист по защите данных.
Чем рискованно настраивать защиту по статьям, чат-боту или с разовым фрилансером
Советы из статей и ответы чат-бота пишутся без знания вашего хостинга и плагинов. Правило из чужой инструкции может закрыть доступ к админке или сломать оплату, а отключённый «лишний» плагин оказаться тем, через который идут заявки в CRM.
Разовый исполнитель без письменных рамок часто ставит плагин безопасности и на этом заканчивает: права на файлы, старые учётные записи и бэкапы остаются как были, а повторной проверки нет. Мы работаем по договору с фиксированным объёмом, каждую меру проверяет человек, а повторная проверка подтверждает результат.
Стоимость и сторона договора
Фиксированная цена указывается в письме о рамках работ до начала. Она зависит от числа сайтов, количества плагинов и интеграций, наличия магазина и личных кабинетов, доступа к серверу.
Договоры на работы по безопасности заключает INNOVA CONSULT LTD., Оттава, Онтарио (Corporations Canada, номер корпорации 1522612). Отчёт принадлежит вам.
Связанные страницы
- Аудит безопасности сайта: полная проверка сайта и сервера с отчётом.
- Взломали сайт: что делать: чистка и восстановление после взлома.
- Вернуться к разделу кибербезопасность, к разработке корпоративных сайтов или написать нам.
Источники (проверено 23.10.2026)
- WordPress Developer Resources, Hardening WordPress: обновления, права на файлы, wp-config.php, DISALLOW_FILE_EDIT, двухфакторный вход, плагины-фильтры, резервные копии, префикс таблиц.
- ANSSI, Les essentiels : mise en œuvre sécurisée d'un CMS, версия 1.1.
- OWASP, Top 10:2025: категории A02, A03, A07.
Максим Степаненко, основатель Marketing MIX. Последняя проверка: 23 октября 2026 года.