Защита WordPress

Начнем с того, что популярность среды wordpress, обусловленная простотой бесплатной реализации на его базе сайтов начального уровня, не дает конкурентам практически никаких шансов. Плох тот студент, который не сделал ни одного сайта на wordpress. Эта же простота, бесплатность и открытость исходного кода делает данный движок чрезвычайно интересным для взлома. Плох тот хакер, который не взломал ни одного сайта на wordpress.

На самом деле, вряд ли кому интересно заломать сам wordpress  — команда его разработчиков постоянно работает над обеспечением его безопасности, выпуском обновлений и пр. Интерес хакеров заключается во взломе конкретных сайтов, получении от их владельцев выкупа (что редко) или использовании этих ресурсов в собственных целях (что чаще). Самое простое — рассылка спама.

Например, вы, ни с того, ни с сего, получаете сообщение от хостера с жалобой о рассылке спама. С чего вдруг? Личный блог — чисто для себя и тебе подобных. Какой спам? Вперед — на просмотр логов сервера, списка пользователей и их активности.

На самом деле ядро wordpress весьма стабильно и легко восстанавливается до исходной версии посредством удаления замусоренной версии и копирования новой с сайта разработчика. Необходимо сохранить папку wp-content. Именно здесь содержатся индивидуальные файлы с оформлением, загрузками и пр. Существенные дырки в безопасности сайта на wordpress обеспечивают плагины. Ограничьте свой сайт использованием старых, давно не обновляемых плагинов. Помните, их не ломает только ленивый. И все же, самым большим врагом сайта на wordpress, является его создатель.

Итак, перечень простых советов, которым нужно следовать для облегчения взлома сайта на wordpress:

1. Используйте популярные логины для администратора сайта: admin, webmaster, super и подобные;
2. Укажите в качестве отображаемого имени пользователя для администратора его логин;
3. Используйте простые пароли для администратора: 123456, qwerty, admin и т.п;
4. Нагрузите блог всевозможной массой давно не обновляемых плагинов.

Перечень простых советов, которым нужно следовать для усложнения взлома сайта на wordpress:

1. Прочитайте вышеперечисленные 4 пункта и сделайте наоборот;
2. Используйте защиту отправки форм на сайте с помощью графических и математических плагинов;
3. Используйте плагин безопасности, например WP Cerber Security с блокировкой IP-адресов после некоторого количества неверных попыток авторизации.
4. Настройте на хостинге резервное хранение файлов для возможности безболезненного отката к ранним верcиям.

P.S. Почему я написал этот пост?

А именно потому, что воспользовался верхними четырьмя неправильными советами и получил от хостера предупреждение о рассылке сайтом спама. Поражает тот факт, на сколько быстро левые страницы, появившиеся в результате стороннего вмешательства, появляются в индексе поисковых систем, то, как часто поисковики их сканируют и то, как долго этти страницы удаляются из индекса даже после того, как начинают возвращать роботам ответ 404.