Для защиты входа в WordPress лучше применять несколько независимых мер: уникальные пароли, двухфакторную авторизацию, разумные ограничения подозрительных попыток и мониторинг. Смена URL wp-login.php сама по себе не является полноценной защитой.
Базовый набор мер
- Уберите общие админские учётные записи и выдайте сотрудникам личные доступы.
- Проверьте уникальность и длину паролей; используйте менеджер паролей.
- Включите 2FA для административных аккаунтов.
- Настройте HTTPS для всего сайта, особенно входа и админки. Прежде чем принудительно включать HTTPS, проверьте сертификат и настройку reverse proxy, чтобы не получить цикл редиректов.
- Ограничьте подозрительные массовые попытки входа на уровне WAF, reverse proxy, хостинга или доверенного защитного решения. Не блокируйте навсегда реальные IP пользователей на основании одной ошибки.
- Мониторьте логины, изменение ролей и добавление администраторов. Настройте оповещения для критических действий.
Что не является достаточной мерой
- Скрыть стандартный URL авторизации.
- Перенести
/wp-admin/на другой адрес без реального контроля доступа. - Заблокировать XML-RPC вслепую: у некоторых сайтов есть интеграции, которым он нужен. Сначала изучите реальные обращения и зависимости.
- Ограничиться одним security-плагином без резервного восстановления.
Проверка
На staging выполните несколько тестовых ошибочных входов, убедитесь в отсутствии блокировки легитимного администратора и в работоспособности восстановительного сценария. Для магазина отдельно проверьте вход покупателей и работу checkout.
Дополнительно: права пользователей WordPress и полный чек-лист безопасности.
Источник: https://developer.wordpress.org/advanced-administration/security/hardening/
Материал был полезен?
Помогите нам сделать материалы точнее и понятнее.