Главная/Безопасность/Защита от взлома
Защита WordPress от взлома: десять мер по порядку
Защита WordPress от взлома строится на десяти мерах: обновления, уникальные пароли, двухфакторный вход, лимит попыток входа, правильные права на файлы и сканер. Каждая закрывает свой способ попасть на сайт, поэтому одной хватить не может.
Ответ за 30 секунд
Самые важные меры стоят недорого: обновления, уникальные пароли, вход с кодом из приложения и лимит попыток. Скрытие адреса wp-admin лишь уменьшает шум от ботов и не заменяет эти меры. Остальное, от прав на файлы до сканера, закрывает вторую линию обороны.
Сайты на аккаунте изолированы, SSL бесплатный, тарифы от 316 ₽ в месяц при оплате за год (Таймвеб, на 20 октября 2026).
Как проверить защиту WordPress по пунктам10мер защиты по порядку
755/644права на папки и файлы
400/440права на wp-config.php
01 · 1 мин
Какие десять мер защищают WordPress от взлома#
| № | Мера | Зачем |
|---|---|---|
| 1 | Обновлять ядро, плагины и темы | Закрывает известные уязвимости: как обновлять безопасно |
| 2 | Удалять лишние плагины и темы | Выключенный плагин с уязвимостью остаётся на диске |
| 3 | Длинные уникальные пароли | Пароль, украденный на другом сайте, не должен подходить сюда |
| 4 | Двухфакторный вход | Утёкший пароль не пустит без кода из приложения |
| 5 | Ограничить попытки входа | Останавливает автоматический подбор паролей |
| 6 | Права 755 на папки, 644 на файлы | Чужой процесс не сможет переписать файлы |
| 7 | Отключить редактор файлов | Взломанная учётная запись не изменит код тем через консоль |
| 8 | Открывать консоль только по https | Пароль не идёт по сети открытым текстом |
| 9 | Сменить адрес страницы входа | Меньше запросов ботов к wp-login.php |
| 10 | Поставить сканер файлов | Сообщит об изменённом ядре и подозрительном коде |
Сильные пароли ставят через генератор прямо в профиле, а менять их при утечке помогает разбор смены пароля WordPress.
02 · 1 мин
Какие настройки в wp-config.php и .htaccess защищают WordPress#
В wp-config.php две строки закрывают пункты 7 и 8. Первая отключает редактор тем и плагинов в консоли, вторая требует https для входа и работы в админке. Права wp-config.php по документации WordPress ставят 400 или 440.
define( 'DISALLOW_FILE_EDIT', true );
define( 'FORCE_SSL_ADMIN', true );На Apache 2.4 в файле .htaccess в корне сайта можно запретить прямое обращение к wp-config.php:
<Files wp-config.php>
Require all denied
</Files>А отдельный файл .htaccess в папке wp-content/uploads запрещает запуск PHP из загрузок, куда обычно и подкладывают вредоносные скрипты. Некоторые плагины хранят там свой PHP-код, поэтому после правки проверьте работу сайта.
<FilesMatch "\.php$">
Require all denied
</FilesMatch>Если перебор идёт через xmlrpc.php, а приложения и Jetpack вам не нужны, выключите этот интерфейс одной строкой в functions.php: add_filter( 'xmlrpc_enabled', '__return_false' );
03 · 1 мин
Какой плагин защиты WordPress поставить для входа и сканирования#
Эти плагины закрывают пункты 4, 5, 9 и 10. Выбирайте по задаче и не ставьте несколько похожих сразу: они могут мешать друг другу.
- Wordfence содержит сканер файлов, межсетевой экран для сайта и двухфакторный вход.
- Solid Security (прежнее название iThemes Security) собирает защиту входа, двухфакторную проверку и контроль файлов.
- Sucuri Security ведёт журнал действий и следит за целостностью файлов ядра.
- Limit Login Attempts Reloaded делает одно: ограничивает попытки входа.
- WPS Hide Login меняет адрес страницы входа. Запишите новый адрес: если забудете, плагин отключают переименованием его папки по FTP.
Двухфакторный вход даёт и плагин Two Factor. Код из приложения защищает лучше письма на почту, потому что почту тоже могут взломать. Подробнее о выборе дополнений: плагины WordPress.
Инструмент · 1 мин
Как проверить защиту WordPress по пунктам#
Пройдите список на своём сайте. Он повторяет таблицу, но в виде вопросов к вашему сайту.
Проверьте защиту своего сайта по пунктам
Отметьте, что уже сделано: прогресс покажет следующий шаг
05 · 1 мин
Вопросы о защите WordPress от взлома#
Как защитить WordPress от взлома без плагинов?
Обновляйте ядро и плагины, удаляйте лишнее, ставьте длинные уникальные пароли, задайте права 755 и 644, отключите редактор файлов и запретите PHP в папке загрузок. Сканер и двухфакторный вход проще получить плагином.
Помогает ли скрытие wp-admin защитить WordPress?
Только от части ботов: они реже находят страницу входа. Пароль, лимит попыток и двухфакторный вход защищают сильнее, а скрытый адрес служит дополнением.
Нужна ли двухфакторная аутентификация в WordPress?
Администраторам нужна: утёкший пароль без кода из приложения не даст войти. Пользователям без прав на правку сайта её обычно не включают.
Что делать, если защита WordPress не помогла и сайт взломали?
Порядок очистки описан в разборе про вирус на сайте: сменить пароли, найти заражённые файлы, переустановить ядро. Восстановить сайт без потерь поможет проверенная резервная копия.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: Виртуальный хостинг Таймвеб, timeweb.com/ru/services/hosting, проверено 20 октября 2026; Документация WordPress, ru.wordpress.org/support, проверено 20 октября 2026.
Разместите сайт на WordPress
Виртуальный хостинг Таймвеб от 316 ₽ в месяц: NVMe-диски, бесплатный SSL, домен .RU в подарок и 10 дней на тест.
- Тарифы от 316 ₽ в месяц
- Бесплатный SSL и DNS
- Домен .RU или .РФ в подарок
- Бесплатный перенос сайта