Защита WordPress: порядок, в котором она окупается

Кто ищет «как защитить WordPress», находит списки из двадцати пунктов. Проблема не в том, что пункты неверны, а в том, что они стоят рядом с одинаковым весом. Первые три дают больше, чем остальные семнадцать вместе взятые.

Место 1: обновления, причём своевременные

Большинство захваченных сайтов падают не от изощрённой атаки, а из-за известной уязвимости в плагине, для которой уже несколько недель есть обновление. Автоматизированные массовые сканирования ищут именно это.

На практике это означает: обновления безопасности — автоматически, функциональные обновления — вручную после короткой проверки, и перед каждым обновлением точка восстановления, чтобы страх перед обновлением не стал причиной его откладывать.

Плагин, который два года не получал обновлений, — это риск, даже если он работает. Заодно наведи порядок: то, что не используется, нужно удалять, а не деактивировать.

Место 2: вход

Вторая по частоте дверь — пароль. Четыре меры, в таком порядке:

1. Ограничь неудачные попытки — это лишает автоматический подбор паролей почвы.
2. Принудительно требуй надёжные пароли — как минимум от всех, кому разрешено публиковать.
3. Включи второй фактор — хотя бы для администраторов.
4. Никаких учётных записей с именем пользователя «admin» и никаких ролей выше необходимого.

Перенос адреса входа — пятый пункт, но более слабый: он отсекает массовые сканирования и снижает нагрузку, но не заменяет ни одну из четырёх мер выше. Кто им пользуется, должен записать новый адрес до сохранения.

Место 3: усиление защиты — настроить один раз и забыть

• Отключи редактирование файлов в админке — именно там вредоносный код охотнее всего размещают
• Отключи XML-RPC, если он ничему не нужен
• Запрети вывод списка файлов в каталогах
• Запрети выполнение PHP в папке uploads
• Ограничь перебор пользователей через REST API
• Установи заголовки безопасности

Эти переключатели ничего не стоят в работе, и каждый из них закрывает одну известную лазейку. Это лучшее соотношение затрат и пользы во всём списке.

Место 4: видеть, что меняется

Дальше речь уже не о предотвращении, а о том, чтобы вовремя заметить. Имеют смысл две вещи:

Сверка ядра (по-немецки: „Kern-Abgleich“) сравнивает файлы WordPress с контрольными суммами api.wordpress.org. Изменённый файл ядра — очень явный признак: там ни у кого нет законной причины что-либо менять.

Наблюдатель за файлами (по-немецки: „Datei-Wächter“) фиксирует эталон и сообщает об отклонениях. Он хорош ровно настолько, насколько удачен момент фиксации: эталон, зафиксированный после заражения, объявляет вредоносный код нормой.

Фиксируй эталон, пока сайт заведомо чист, — лучше всего сразу после свежей установки или после проверенного восстановления.

Место 5: файрвол и сканирование

И то и другое полезно, и то и другое намеренно стоит здесь, внизу. Файрвол в PHP начинает работать, только когда WordPress уже запускается, — он не заменяет файрвол перед веб-сервером. Сканирование находит то, что похоже на его шаблоны, а не весь вредоносный код.

Важнее числа правил — обращение с ложными срабатываниями. Инструмент, у которого сводка постоянно красная, больше ничего не защищает — он приучает отмахиваться. Поэтому сначала дай файрволу неделю только сообщать и просмотри журнал, прежде чем включать блокировку.

Что часто стоит на самом верху, хотя там ему не место

Пункт, о котором забывают почти все списки

Плагин безопасности предотвращает инциденты, резервная копия их переживает. Кому пришлось бы выбирать между ними, тому стоит выбрать резервную копию — это единственная мера, которая помогает и тогда, когда все остальные не сработали.

Часто задаваемые вопросы