По статистике за 2023-2024 годы, до 95% уязвимостей WordPress связаны с устаревшими плагинами и некорректной конфигурацией сервера, что делает сайт мишенью для автоматических ботов-сканеров. Безопасность — это не установка одного плагина Wordfence, а жесткий технический регламент на уровне ядра и окружения, который отсекает 99% типовых атак.
Изоляция файловой системы и wp-config.php
Первая точка отказа — открытый доступ к конфигурационным файлам. Перенос wp-config.php на уровень выше корневой директории (public_html) делает невозможным его чтение при ошибках сервера или через LFI-уязвимости. Дополнительно необходимо установить права 440 или 400 на этот файл, чтобы исключить запись извне.
Кейс: на проекте с трафиком 50к посещений в сутки стандартные права 644 позволили злоумышленнику через дыру в старом плагине слайдера считать данные БД. Перенос файла и смена прав на 400 полностью закрыли вектор атаки. Мой вердикт: оставлять wp-config.php в корне — преступная халатность разработчика.
Защита wp-admin и механизмы авторизации
Стандартный путь /wp-admin/ сканируется ботами каждые 3-5 секунд. Смена URL админки на уникальный (например, /core-access-2024/) снижает количество попыток брутфорса на 90-95%. Однако важнее запрет на использование имени 'admin' для главного пользователя: создание аккаунта с рандомным логином и обязательный Two-Factor Authentication (2FA) делают взлом через перебор паролей экономически невыгодным для хакера.
Сравнение: простой пароль из 8 символов подбирается за часы, пароль из 16 символов с 2FA требует месяцев или прямого доступа к БД. Вывод: смена URL админки — это «косметика», а 2FA и уникальный логин — реальный заслон.
Конфигурация сервера: HTTP headers и PHP
Безопасность начинается с .htaccess или конфига Nginx. Необходимо внедрить заголовки X-Content-Type-Options: nosniff, X-Frame-Options: DENY и Content-Security-Policy (CSP). Отключение исполнения PHP в папках /wp-content/uploads/ через .htaccess (команда 'deny from all' для php-файлов) блокирует запуск вредоносных скриптов, которые хакеры загружают через формы обратной связи.
Практика показывает, что 70% бэкдоров размещаются именно в папке uploads. Ограничение версии PHP до актуальной (8.2+) и отключение функций exec(), shell_exec(), system() в php.ini снижает риск удаленного выполнения кода (RCE). Экспертный вывод: сервер должен быть «стерильным», любые лишние функции PHP — это открытая дверь для эксплойта.
Оптимизация базы данных и прав доступа
Использование стандартного префикса 'wp_' для таблиц БД облегчает SQL-инъекции. Смена префикса на уникальный (например, 'site_secure_') при установке или через миграцию усложняет автоматизированные атаки. Также критически важно создать отдельного пользователя БД с ограниченными правами (только SELECT, INSERT, UPDATE, DELETE), исключив право DROP или GRANT.
При разработке высоконагруженных проектов архитектура базы данных и структура типов записей в WordPress для высоконагруженных проектов должны учитывать разделение прав доступа на уровне БД для разных сервисов. Мое мнение: использование root-пользователя для подключения сайта к БД — критическая ошибка, которая при взломе одного сайта ведет к компрометации всего сервера.
Контроль ядра и управление зависимостями
Автоматические обновления ядра — риск «положить» сайт, но отсутствие обновлений — риск взлома. Оптимальный путь: ручное обновление в стейджинг-среде с последующим деплоем. Необходимо отключить XML-RPC (wp-json/xmlrpc.php), так как он используется в 80% DDoS-атак на WordPress и для брутфорса паролей через одну HTTP-запрос.
Пример: отключение XML-RPC на корпоративном портале снизило нагрузку на CPU сервера с 40% до 12% за счет отсечения ботов. Вывод: если вы не используете мобильное приложение WP или интеграцию с Jetpack, XML-RPC должен быть вырезан из конфигурации немедленно.
Вывод
Безопасность WordPress — это комплекс мер, где weakest link определяет общую защиту. Начинать нужно с фундамента: перенос wp-config.php, смена префиксов БД, отключение XML-RPC и жесткие правила в .htaccess. Избегайте перегрузки сайта «комбайнами» безопасности (плагинами All-in-One), которые тормозят рендеринг; переносите защиту на уровень сервера. Лучший выбор в 2024 году — связка: минималистичный стек, 2FA, ежедневные бэкапы вне сервера и строгий технический регламент по обновлению зависимостей.
Полная картина раскрыта в обзорном материале — Разработка сайтов на WordPress.