WordPress взламывают не потому, что движок плохой, а потому, что владельцы забывают про базовые вещи: простой пароль, старые версии, ноль резервных копий. Хорошая новость — защита от большинства угроз не требует знаний хакера и делается за один вечер. Разберём понятный чек-лист.
К концу статьи ваш сайт будет прикрыт от типовых атак, а вы будете спать спокойнее.
Почему взламывают сайты новичков
Большинство взломов — не адресная атака на вас лично, а работа ботов. Они автоматически перебирают тысячи сайтов, ища слабые места: простой пароль, дырявый старый плагин, логин admin. Ваша задача — не быть лёгкой добычей. Закройте типовые дыры, и боты уйдут искать цель попроще.
1. Надёжный пароль и логин
Самое частое и самое обидное. Что сделать:
- Сложный пароль администратора: длинный, с буквами, цифрами и символами. Не «12345» и не дата рождения.
- Не используйте логин
admin. Его перебирают первым. Если он такой — заведите нового администратора с другим именем, старого удалите. - Разные пароли для сайта, хостинга и почты — чтобы утечка одного не открыла всё.
2. Ограничьте попытки входа
Боты перебирают пароли тысячами. Поставьте плагин, который блокирует после нескольких неудачных попыток входа — и перебор становится бессмысленным. Часто это входит в плагины безопасности.
3. Обновляйте всё вовремя
Старые версии — открытая дверь. В обновлениях латают дыры, через которые ломают сайты. Держите свежими:
- сам WordPress;
- плагины;
- тему.
Проверяйте раздел «Обновления» в админке. Перед крупными обновлениями делайте бэкап (см. ниже) — на всякий случай.
4. Удалите лишнее
Чего нет — то не взломать:
- удалите плагины и темы, которыми не пользуетесь (даже неактивные — это код на сайте);
- уберите заброшенные плагины, которые давно не обновлялись;
- ставьте плагины только из официального каталога или у известных разработчиков.
5. Поставьте плагин безопасности
Wordfence или аналог закрывает сразу несколько фронтов: файрвол, сканер вредоносного кода, контроль входов. Базовой бесплатной версии новичку хватает. Настроил один раз — плагин работает в фоне.
6. Делайте резервные копии
Бэкап — это не про предотвращение взлома, а про спасение после беды. Если сайт взломали, сломали обновлением или хостинг сбойнул — с копией вы восстановите всё за минуты, без копии можете потерять навсегда.
- поставьте бэкап-плагин (UpdraftPlus или аналог);
- настройте автоматические копии по расписанию;
- храните копии не только на том же хостинге, но и отдельно (облако, свой диск).
Это самый важный пункт: даже если что-то прорвётся, бэкап вернёт сайт к жизни.
7. Включите SSL
Замочек в адресной строке (https) шифрует данные между сайтом и посетителем. Сегодня это норма и для безопасности, и для доверия. Бесплатный SSL подключается через хостинг в пару кликов — подробнее в статье про SSL-сертификат.
8. Следите за хостингом
Хороший хостинг — часть безопасности. Он вовремя обновляет серверный софт, изолирует сайты друг от друга и часто делает свои резервные копии. Дешёвый перегруженный хостинг таких гарантий не даёт. На что смотреть — в рейтинге хостингов.
Частые вопросы
Сам движок — да, его постоянно обновляют. Большинство взломов — из-за простых паролей, старых плагинов и отсутствия обновлений, а не из-за дыр в самом WordPress.
Восстановите его из чистого бэкапа, смените все пароли, обновите WordPress и плагины, просканируйте плагином безопасности. Если бэкапа нет — обратитесь в поддержку хостинга.
Для типового сайта — да. Бесплатных версий плагинов безопасности и бэкапа достаточно, чтобы закрыть основные риски.
Что дальше
Пройдите чек-лист сверху вниз — и ваш сайт перестанет быть лёгкой мишенью. Самое важное — надёжный пароль, обновления и резервные копии. Настройте автобэкап прямо сейчас, а из подборки «Лучшие плагины для нового сайта» поставьте защиту. И помните: часть безопасности берёт на себя хостинг — выбирайте надёжный.