Как и чем вы защищаете свои WordPress-сайты — плагины, решения?

Question

[Леонид]

Поделитесь какие плагины или меры Вы предпринимаете для защиты своих WordPress-сайтов от взлома, хакерских атак и т.д.?

Используете популярный iThemes Security (ранее Better WP Security) - или нет?

Answer 1

[Игорь Воротнёв]

1. Защита на уровне сервера, в том числе блокировка известных стремных запросов, лимит попыток ввода пароля, блокировка доступа к тому, что не нужно, корректные права и тд. Fail2ban, UWF и вот это все, плюс Nginx.
2. Построение проекта на базе Composer, где WP - обычная зависимость, как и все остальное. Автоматический деплой с возможностью мгновенного отката. Мониторинг чексум. Мониторинг производительности, доступности и логов.
3. Проверка всего кода, который устанавливается. Никогда не использовать "зануленные" плагины и темы.
4. Использование лучших security практик при написании своего кода.
5. Использование bcrypt или argon для паролей WP.
6. Использование .env
7. Доступ к wp-admin только по IP или по IP через VPN (чтобы не нужно было обновлять whitelist если IP меняется).
8. В некоторых случаях CloudFlare на входе.

Никаких плагинов типа Wordfence, iThemes Security и прочего не использую и не советую. Они только замедляют сайт, не делают ничего, что не может быть сделано без них, сами являются уязвимым местом и создают ложное чувство безопасности.

Comments

[Дмитрий Филандор]

А дайте дельный совет - у меня пару десятков клиентских сайтов, я изменил адрес стандартного входа в вордпресс, вижу как боты долбятся в wp-login.php и им отдается 404 ошибка, что вызывает ненужную нагрузку. Я могу на уровне сервера редиректить всех на какую то страницу, появилась даже идея редиректить их на страницу майнинга.... Что вы об этом думаете? О редиректе ботов с wp-login.php?

[Игорь Воротнёв]

Дмитрий Филандор, блочить, а не редиректить. Fail2ban справляется с этим на ура. Есть и другие инструменты. Редиректы, другие страницы - это та же ненужная нагрузка, единственное разумное решение - в бан их. Майнить? Имхо, бесполезное занятие, только лишний (на самом деле нет) кислород жечь на планете.

Answer 2

[Орхан Гасанлы]

1) Wordfence
2) Надежный хостинг
3) Cleantalk для защиты от СПАМа или Akismet
4) Clearfy
5) Если устанавливаете обнуленные плагины, то тщательно изучайте их содержимое (частая проблема, которая встречается)

Comments

[Леонид]

Wordfence - использую как антивирусник в основном ) удивлен увидев его здесь в качестве плагина защиты сайта, спасибо - присмотрюсь )

5) Если устанавливаете обнуленные плагины, то тщательно изучайте их содержимое (частая проблема, которая встречается)

а чем изучаем? или на глаз ищем подозрительный код?

[Орхан Гасанлы]

Леонид, насчет обнуленных плагинов...
1) распакуйте архив и просканируйте антивирусом. иногда что-то находит
2) можете установить на сайт, а потом просканировать при помощи Wordfence. Он покажет в каком рнр файле есть вредоносный код....
3) "на глаз" - гляньте в файлах инициализации плагина на наличие подозрительного или закодированного кода... обычно в начале или в конце файла. Или же подключение подозрительного файла, где уже потом размещается подозрительный код...

[Леонид]

azerphoenix, спасибо за алгоритм действий!

Answer 3

[xmoonlight]

Для любых сайтов:

• Защита от "взлома": здесь
  
• Защита от "спама": здесь
  

Comments

[Дмитрий Филандор]

А дайте дельный совет - у меня пару десятков клиентских сайтов, я изменил адрес стандартного входа в вордпресс, вижу как боты долбятся в wp-login.php и им отдается 404 ошибка, что вызывает ненужную нагрузку. Я могу на уровне сервера редиректить всех на какую то страницу, появилась даже идея редиректить их на страницу майнинга.... Что вы об этом думаете? О редиректе ботов с wp-login.php?

[xmoonlight]

Дмитрий Филандор, Запретите на уровне веб-сервера правилами. Чтобы боты вообще не добирались до WP-скрипта. Смысла редиректить - нет, хотя можно вернуть 500-й код, вместо 404.

[Дмитрий Филандор]

xmoonlight, понял, у меня шаред хостинг, думаю это оно - https://i.imgur.com/fUR31oL.png

[xmoonlight]

Дмитрий Филандор, В панели - там особо непонятно. Обычно, редактируют конфиги напрямую.
Если веб-сервер Apache, то это файл ".htaccess"; если nginx - это "nginx.conf".

[Дмитрий Филандор]

xmoonlight, да, все супер, отрабатывает моментально:

<Files wp-login.php>
order deny,allow
deny from all
</Files>

<Files wp-admin.php>
order deny,allow
deny from all
</Files>

[xmoonlight]

Дмитрий Филандор, Отлично! Рад за Вас!

Answer 4

[Вова Дружаев]

iThemes Security (ранее Better WP Security) - это монстры.
Я использую Limit login attempts и написал свое решение - kwpl: Kill wp-login & Fix Login

а по мерам... Не ставить нулёные темы и плагины.
Обновлять ВП и тему и плагины вовремя.
В админку юзеров не пускать, только админа.
Учетка админовская хитрая.
Мониторинг логов на артефакты

Бекапы конечно же.

Answer 5

[Борис Шпаковский]

Clearfy для защиты
Kama Spamblock от автоспама
Этих двух хватает для базовой защиты. Из более комлексных мне нравится All In One WP Security & Firewall
есть в нем все для защиты файловой системы, баз данных и вот это вот всё.