WordPress занимает около 43% всего рынка CMS, что делает его главной мишенью для автоматизированных брутфорс-атак и инъекций. Средний ущерб от взлома корпоративного сайта варьируется от 50 000 до 300 000 рублей, учитывая стоимость восстановления данных и потерю конверсии в период простоя.
Критические уязвимости ядра и плагинов
Основной вектор атак — устаревшие плагины и темы. По статистике безопасности, до 90% взломов происходят через сторонние расширения с дырами в коде. Например, одна из популярных форм обратной связи в прошлом году имела уязвимость RCE (Remote Code Execution), позволявшую злоумышленникам получить полный доступ к серверу за считанные секунды.
Кейс: сайт клиента с 40+ установленными плагинами (из которых 15 не обновлялись более года) был заражен редиректами на гемблинг-ресурсы. Время восстановления составило 12 рабочих часов, стоимость работ — 15 000 рублей. Экспертный вывод: количество плагинов должно быть минимальным (до 15-20), а проверка обновлений — еженедельной. Лишний код — это лишняя дверь для хакера.
Брутфорс и защита административной панели
Стандартный путь /wp-admin/ — первая цель для ботов. Атаки перебором паролей генерируют до 70% всего мусорного трафика на сайте. Использование простых паролей из 8 символов позволяет взломать аккаунт за несколько минут с помощью современных словарей.
Решение: смена URL входа (например, на /secret-entry/) и ограничение попыток авторизации до 3-5. Внедрение двухфакторной аутентификации (2FA) снижает вероятность успешного брутфорса на 99%. Мое мнение: любой сайт, приносящий доход, обязан иметь 2FA; полагаться только на сложный пароль в 2024 году — преступная халатность.
Безопасность на уровне сервера и хостинга
Права доступа к файлам (permissions) часто игнорируются. Установка прав 777 на папки приводит к тому, что любой скрипт может перезаписать index.php или wp-config.php. Правильный стандарт: 755 для папок и 644 для файлов. Также критически важен выбор версии PHP (актуальные 8.1-8.3), так как старые версии (7.4 и ниже) больше не получают патчей безопасности.
Практика показывает, что переход на специализированный WP-хостинг с интегрированным WAF (Web Application Firewall) сокращает количество запросов-сканеров на 40-60%. Инсайт: фильтрация трафика на уровне DNS (например, через Cloudflare) отсекает до 80% бот-трафика еще до того, как он достигнет вашего сервера.
Резервное копирование как страховой полис
Бэкап раз в месяц — это не бэкап, а иллюзия безопасности. Для сайтов с ежедневным контентом норма — инкрементальные копии каждые 24 часа и полные раз в неделю. Хранить копии на том же сервере, где лежит сайт, бессмысленно: при взломе сервера или сбое диска вы теряете всё.
Сравнение: локальный бэкап (бесплатно, риск потери 100%) против облачного хранилища S3 (от 5$ в месяц, риск потери <1%). Мой вердикт: автоматизируйте выгрузку в стороннее облако. Если время восстановления сайта (RTO) превышает 4 часа, бизнес теряет реальные деньги, поэтому проверяйте работоспособность бэкапов раз в квартал.
Вывод
Безопасность WordPress — это не установка одного плагина, а многослойный подход. Начните с базового гигиенического минимума: смените /wp-admin/, ограничьте права доступа к файлам до 644/755 и настройте удаленные ежедневные бэкапы. Избегайте «нуленых» (pirated) тем и плагинов — в 95% случаев они содержат бэкдоры, которые стоят дороже, чем лицензия в 59$. Оптимальный стек: Cloudflare + Wordfence (или аналоги) + удаленное хранилище бэкапов.
По смежному вопросу будет полезен на сайте — подробнее.