WordPress занимает более 43% рынка всех сайтов мира, что делает его главной мишенью для автоматизированных ботов: до 90% всех взломов CMS происходят из-за уязвимостей в сторонних плагинах и устаревших версиях ядра.
Вектор атак: где реально «течет» безопасность
Основная проблема не в самом ядре WordPress, а в экосистеме. По статистике за последние 2-3 года, более 70% критических уязвимостей обнаруживаются в плагинах с установками от 100к+. Самые опасные дыры — SQL-инъекции и Cross-Site Scripting (XSS), которые позволяют злоумышленнику получить доступ к базе данных или перехватить сессии администратора.
Кейс: сайт на Elementor с устаревшим дополнем для форм был взломан через RCE (удаленное выполнение кода). Итог — полная замена базы данных из бэкапа и 12 часов простоя. Стоимость восстановления силами профильного специалиста составила 15 000 – 25 000 рублей.
Вывод эксперта: Безопасность сайта равна безопасности самого слабого установленного плагина. Режьте количество расширений до минимума: если функционал можно реализовать через 10 строк кода в functions.php — делайте это вместо установки плагина.
Защита сервера и конфигурация окружения
Многие полагаются на стандартные настройки хостинга, что является фатальной ошибкой. Перенос директории /wp-admin/ или смена логина admin на уникальный снижает количество брутфорс-атак (подбора паролей) на 60-80%, так как большинство ботов настроены на стандартные пути.
Технический минимум: использование PHP 8.1+, отключение исполнения PHP в папке /wp-content/uploads/ через .htaccess и настройка прав доступа к файлам (папки 755, файлы 644). Если разработка корпоративного портала предполагает хранение конфиденциальных данных, обязателен переход на выделенный VPS с настроенным Firewall (например, CSF или ConfigServer).
Вывод эксперта: Бесплатные тарифы общего хостинга (Shared) — главный риск. Соседний взломанный сайт на том же IP может стать точкой входа для атаки на ваш проект. Выбирайте VPS с изолированным окружением.
Сравнение инструментов: плагины vs Cloud-защита
В нише доминируют два подхода: установка тяжелых плагинов (Wordfence, All In One WP Security) и использование WAF (Web Application Firewall) на уровне DNS, например, Cloudflare. Плагины Wordfence потребляют до 15-20% ресурсов сервера при сканировании, что может замедлить TTFB (время до первого байта) на 200-500 мс.
Сравнение: Wordfence дает глубокий контроль внутри CMS, но нагружает CPU. Cloudflare отсекает 99% мусорного трафика и DDoS-атак еще до того, как запрос достигнет вашего сервера, при этом бесплатного тарифа достаточно для 90% малых и средних проектов.
Вывод эксперта: Не ставьте «комбайны» по безопасности на слабые серверы. Оптимальный стек: Cloudflare (бесплатно) + легкий плагин для смены URL админки + автоматический бэкап вне сервера.
Стратегия бэкапов: правило 3-2-1
Бэкап на том же сервере, где лежит сайт — это не бэкап, а копия. При взломе сервера через root-права злоумышленник удаляет и сайт, и все локальные архивы. Правильный цикл: 3 копии, 2 разных носителя, 1 копия в удаленном облаке.
Пример настройки: ежедневный инкрементальный бэкап базы данных и еженедельный полный бэкап файлов. Срок хранения — 30 дней. Использование инструментов вроде UpdraftPlus или интеграция с Amazon S3/Google Drive позволяет восстановить сайт за 15-30 минут при стоимости хранения до 5-10$ в месяц для среднего сайта.
Вывод эксперта: Регулярность важнее объема. Проверяйте работоспособность бэкапа раз в квартал: попробуйте развернуть сайт на тестовом домене. Неработающий бэкап равен отсутствию бэкапа.
Вывод
Безопасность WordPress — это не установка одного плагина, а комплекс из гигиены кода, настройки сервера и внешней фильтрации трафика. Начните с переноса сайта на Cloudflare и удаления всех неиспользуемых плагинов. Избегайте «нуленых» (pirated) тем и плагинов — в 95% случаев они содержат бэкдоры, которые открывают доступ к сайту спустя 2-4 недели после установки. Лучшая защита — это минимализм в функционале и автоматизированные бэкапы во внешнее облако.