WordPress работает на значительной доле сайтов в мире, и эта популярность делает его привлекательной мишенью для злоумышленников. Хорошая новость в том, что большинство успешных атак происходят не из-за сложных технических уязвимостей, а из-за устаревших плагинов, слабых паролей и сайтов без резервных копий. Иными словами, сайт, который регулярно применяет базовые меры, уже защищён от большинства атак.
В этой статье мы сначала описываем базовые меры, для которых не нужен вообще никакой плагин, а затем объясняем, что делают плагины безопасности и как выбрать подходящий. Поскольку функции плагинов меняются от версии к версии, подробности смотрите в актуальной документации каждого продукта.
Сначала базовые меры
Плагин безопасности не заменяет отсутствующий фундамент. Сначала выполните эти шаги:
- Не откладывайте обновления. Уязвимости безопасности в ядре WordPress, темах и плагинах закрываются обновлениями. Удаляйте плагины и темы, которыми не пользуетесь.
- Используйте надёжные и уникальные пароли. Пользуйтесь менеджером паролей; не оставляйте имя администратора «admin».
- Включите двухэтапную проверку. Хотя бы для аккаунтов администратора и редактора.
- Делайте резервные копии и пробуйте их восстанавливать. Резервная копия — последнее средство, которое спасёт вас после атаки.
- Используйте HTTPS. На сайте без SSL-сертификата данные для входа передаются открыто.
- Ограничивайте права пользователей. Не давайте всем роль администратора; следуйте принципу минимально необходимых прав.
- Устанавливайте плагины и темы из надёжных источников. Нелицензионные или сомнительные пакеты несут высокий риск закладок.
Что делают плагины безопасности?
Плагины безопасности обычно предлагают некоторые из четырёх функций: межсетевой экран (WAF), сканирование на вредоносное ПО, защиту входа и мониторинг изменений. Не каждый плагин одинаково силён во всех этих областях, поэтому сначала нужно понять, что именно вам требуется.
- Межсетевой экран: блокирует вредоносные запросы до того, как они достигнут сайта или до выполнения кода WordPress.
- Сканирование: ищет в файлах подозрительный код и изменённые файлы ядра.
- Защита входа: ограничивает атаки подбора пароля и добавляет двухэтапную проверку.
- Мониторинг: фиксирует, кто и когда изменил какую настройку.
Сравнение популярных плагинов безопасности
| Решение | Подход | Сильная сторона | На что обратить внимание |
|---|---|---|---|
| Wordfence | Межсетевой экран и сканер, работающие внутри сайта | Широкая бесплатная версия, сканирование на вредоносное ПО | Использует ресурсы сервера; может замедлять работу на слабом хостинге |
| Sucuri | Облачный межсетевой экран и служба очистки | Фильтрует трафик до того, как он достигнет сайта; поддержка очистки после атаки | Расширенные функции зависят от платного тарифа |
| Solid Security (ранее iThemes Security) | Фокус на усилении защиты и защите входа | Двухэтапная проверка, усиление настроек, ограничения входа | Сканирование может быть не таким широким, как у других |
| CleanTalk | Облачная защита от спама | Блокирует фиктивные регистрации в формах и комментариях, капча не нужна | Ориентирован на спам, а не на общую безопасность; дополняет другие уровни защиты |
Вместо поиска «единственного правильного плагина» в этой таблице думайте о комбинациях: один — для межсетевого экрана и сканирования, другой — для защиты от спама. Не запускайте больше одного межсетевого экрана на одном сайте; это создаёт конфликты.
Не забывайте о защите от спама и фиктивных регистраций
Трафик ботов производит не только спам; через формы регистрации, поля комментариев и контактные формы он раздувает базу данных, нагружает сервер и иногда распространяет вредоносные ссылки. Облачные решения вроде CleanTalk фильтруют такой трафик, не мешая посетителям. Этот уровень особенно ценен для магазинов WooCommerce и сайтов с членством, поскольку там часто встречаются попытки создания фиктивных аккаунтов.
Резервные копии: последнее звено безопасности
Даже лучше всего защищённый сайт может однажды пострадать. Ошибка обновления, сбой сервера, неисправный плагин или атака — во всех случаях спасением становится возврат к чистой резервной копии. Резервные копии должны храниться не на том сервере, где живёт сайт, а в отдельном месте (облачное хранилище, другой сервер). Такие плагины, как WPvivid Backup Bundle, предлагают плановые копии, отправку во внешнее хранилище и восстановление в один клик. Не менее важно, чем создание копии, раз в месяц проверять её работоспособность, восстанавливая на тестовом сайте.
Какой плагин выбрать? Краткое руководство
Если вы ведёте один блог и бюджет ограничен, обычно достаточной тройкой будут бесплатный плагин безопасности на сайте, надёжное решение для резервного копирования и защита от спама. Если вы управляете интернет-магазином, который является постоянной мишенью, имеет смысл добавить и облачный межсетевой экран, поскольку вредоносный трафик фильтруется до того, как достигнет вашего сервера. Если вы агентство, которое размещает сайты клиентов, для вас важнее централизованное управление и регулярные отчёты по безопасности, чем функции плагинов.
В любом случае после установки плагина следите за журналами в течение недели. Лучше ослабить правило, которое вызывает ложные тревоги, чем пропустить реальную угрозу; но также нужно проверить, что система, которая никогда не выдаёт оповещений, действительно работает. Для этого можно сделать контролируемую попытку входа и проверить, зафиксирована ли она.
Управление несколькими сайтами
Если вы агентство, которое управляет сайтами клиентов, или у вас несколько проектов, вход в каждый сайт по отдельности для обновления отнимает время и увеличивает риск ошибки. Инструменты централизованного управления, например MainWP Pro, позволяют контролировать обновления, резервные копии и состояние всех сайтов с одной панели. С точки зрения безопасности это сокращает задержки с обновлениями.
Очистка базы данных и ненужных данных
Таблицы, оставшиеся от брошенных плагинов, старые черновики и спам-комментарии не только влияют на производительность; они также расширяют поверхность атаки. Такие инструменты, как Advanced Database Cleaner Pro, помогают безопасно убрать эти остатки. Перед очисткой всегда создавайте резервную копию.
Не забывайте о собственном компьютере
Если компьютер, с которого вы управляете сайтом, заражён, ваши данные для входа могут быть украдены. На устройствах, которые вы используете как администратор, запускайте актуальное защитное ПО; комплексные решения, такие как Kaspersky Premium Total Security, добавляют уровень защиты от фишинга и вредоносных программ. Не входите в панель администратора в открытых сетях Wi-Fi.
Усиление защиты сервера и файлов
Помимо плагинов, несколько настроек существенно укрепляют сайт. Их можно сделать из панели хостинга или вместе с администратором сервера:
- Актуальная версия PHP: версии PHP, которые вышли из периода поддержки, не получают патчей безопасности. Перейдите на новейшую поддерживаемую версию из панели хостинга, предварительно проверив совместимость с вашими плагинами.
- Отключение редактора файлов: отключение редактора файлов тем и плагинов в панели администратора затрудняет скомпрометированному аккаунту администратора прямую запись кода.
- Права на файлы: не давайте прав на запись шире, чем нужно для файлов и папок; файл конфигурации (wp-config) держите закрытым для доступа.
- Папка загрузок: запретите выполнение PHP-файлов в папке, где хранятся загрузки пользователей.
- XML-RPC: если вы им не пользуетесь, отключите его; он часто используется в атаках подбора пароля.
- Префикс базы данных и перечисление пользователей: включите настройки, которые не дают получить список имён пользователей извне.
Некоторые из этих настроек плагины безопасности позволяют сделать в один клик; тем не менее убедитесь, что собственные средства безопасности вашего хостинг-провайдера не конфликтуют с ними.
Ежемесячная рутина безопасности
Безопасность — это не разовая работа, которую вы сделали и забыли; это небольшая, но регулярная привычка. Выделяйте час в месяц, чтобы пройтись по этому списку: актуален ли список аккаунтов администраторов и редакторов? Удалены ли неиспользуемые плагины? Действительно ли создаются резервные копии? Нет ли необычного роста отчётов о попытках входа? Не приближается ли срок окончания SSL-сертификата? Есть ли предупреждение о безопасности в Search Console? Когда такие проверки привязаны к рутине с небольшим напоминанием в календаре, проблемы замечаются до того, как разрастутся.
Как понять, что на сайт напали?
- В результатах поиска появляются страницы или заголовки, которых вы не узнаёте.
- На сайте возникают неожиданные перенаправления или всплывающие окна.
- Появляются незнакомые аккаунты администраторов.
- Хостинг-провайдер присылает предупреждение о чрезмерном использовании ресурсов или вредоносном ПО.
- Сайт медленно открывается, а браузер показывает предупреждение о безопасности.
В таком случае сначала переведите сайт в режим обслуживания, смените пароли, вернитесь к чистой резервной копии и не открывайте сайт снова, пока уязвимость не закрыта. Если вы не можете решить проблему самостоятельно, обратитесь к специалисту по безопасности.
Для потребностей в плагинах и темах можете посмотреть категорию плагинов и тем WordPress; на LisansX доставка цифровая, а лицензионные версии получают обновления.
Часто задаваемые вопросы
Достаточно ли бесплатного плагина безопасности?
Для небольшого блога этого часто достаточно. Для сайтов, на которых ведётся электронная коммерция, членство или хранятся данные клиентов, стоит рассмотреть платные тарифы ради премиум-функций, поддержки и правил межсетевого экрана.
Замедляет ли плагин безопасности сайт?
Плагины, работающие внутри сайта, потребляют ресурсы сервера и могут быть заметны на слабом хостинге. Облачные решения снимают эту нагрузку с сервера. Повторите измерение скорости после установки.
Полезно ли менять адрес входа в WordPress?
Это отсекает простых ботов, но само по себе не является мерой безопасности. Надёжный пароль, двухэтапная проверка и ограничения входа гораздо эффективнее.
Как часто делать резервные копии?
Для сайтов с ежедневным добавлением контента разумная отправная точка — ежедневные копии, а для редко меняющихся сайтов — еженедельные. Магазинам, которые принимают заказы, нужно создавать копии базы данных чаще.
