Базовая безопасность WordPress для нового сайта

Security baseline

1. Включить регулярные обновления core/plugins/themes.
2. Настроить сильные пароли + 2FA для администраторов.
3. Ограничить число администраторов и пересмотреть роли.
4. Включить автоматические backup и проверить restore-процедуру.
5. Настроить журналирование и мониторинг аномальных входов.

Baseline безопасности перед go-live

Перед запуском сайта проверьте четыре обязательных блока:

1. Политика обновлений ядра, тем и плагинов.
2. Контроль доступов и ролей.
3. Бэкапы и план восстановления.
4. Защита от массовых атак и бот-трафика.

Чек-лист безопасности перед запуском

• Прогнаны smoke-тесты и базовые сценарии входа/восстановления доступа.
• Настроены бэкапы и проверено тестовое восстановление.
• Подготовлен регламент реагирования на инциденты.
• Включено журналирование входов и административных действий.

Частые ошибки

• Использование admin как имени администратора.
• Устаревшие плагины без поддержки.
• Отсутствие тестового восстановления из backup.

PHP пример: отключение редактирования файлов из админки

// Добавить в wp-config.php
define('DISALLOW_FILE_EDIT', true);

Что делает код:

• Блокирует встроенный редактор тем/плагинов.
• Снижает риск оперативного компромета при краже сессии администратора.

Безопасность WooCommerce

Для интернет-магазина на WooCommerce к базовому baseline добавляются:

• HTTPS обязателен (SSL-сертификат) — для безопасного приёма платежей
• Регулярное обновление WooCommerce и платёжных шлюзов
• Мониторинг подозрительных заказов
• Настройка fraud-защиты платёжного шлюза

Подробнее: WooCommerce: приём платежей.

Связанные страницы

• Базовая безопасность сайта — общая платформонейтральная версия baseline
• Плагины WordPress: основы выбора и установки
• Темы, child theme и Customizer: основы
• Хостинг для WordPress: как выбрать
• Работа с разработчиком WordPress

Материалы и источники

• WordPress Developer Handbook — Security