Защита сайтов на WordPress

Такое понятие как «защита сайта» достаточно условно. Здесь слишком много составляющих. Так что обеспечить полноценную защиту сайта достаточно сложно, если вообще возможно. На мой взгляд, если ваш сайт решили взломать, то это сделают. Особенно это становится реальной угрозой, когда за дело берутся люди, которые разбираются в этом вопросе.

Первая и самая простая защита, это отсутствие мотивации у взломщика. Большинство сайтов просто не имеет смысла взламывать. Какой смысл от взлома сайта пресловутого Васи Пупкина, пишущего о выращивании фикусов? Разве что ради того, чтобы попробовать свои силы и умения. Но и этого вполне достаточно для беспокойства

Сейчас на моих сайтах у хотера SpaceWeb появилась неожиданная (по крайней мере, для меня) и высокая нагрузка, а для виртуального хостинга это ой как чревато. Явных причин её возникновения нет. Служба поддержки выслала огрызок сгруппированной статистики из access_log по всем моим сайтам, мол AWStats вам в помощь дорого товарищ. В начале я хотел возмутиться, но, просмотрев эту статистику, получил пищу для размышления.

Заметил, что с некоторых IP-адресов идёт аномальное количество запросов. Интересным является и распределение запросов по страницам сайтов. Эту статистику вы не найдёте в тех же рейтингах, т.к. там не всё можно увидеть, многое фильтруется и т.д. Понятно, что я не спешил с выводами и проверил подозрительные IP-адреса, что можно сделать через тот же WebNames.ru. Они не относились ни к одному из поисковиков или чему-то в этом роде. Основной же напор шёл на страницу wp-login.php, по крайне мере у сайтов на WordPress. Вы поняли?

Лично мой вывод сводится к тому, что кто-то планомерно подбирает пароль. Благо есть вероятность, что владелец сайта установит простенький, вроде: 12345, qwerty или типа того. Эта ошибка всё ещё очень распространена. Ну да при желании и настойчивости, можно подобрать и сложный пароль. Так что решил принять хоть какие-то меры по защите своих сайтов на WordPress, которыми и хочу поделиться с вами в данном посте./p>

Защита сайтов на WordPress через .htaccess

Нюанс заключается в том, что воспользоваться предлагаемыми мной способами защиты можно только в том случае, если ваш хостер позволяет вносить соответствующие изменения в файл .htaccess. В большинстве случаев так оно и есть, но если что на этом можете и закончить чтение поста.

И так. Первый способ заключается в закрытии доступа к проблемному файлу wp-login.php. В тоже время, доступ должен остаться у вас, как автора блога. Набор требующихся нам директив выглядит следующим образом:

<Files wp-login.php>
order deny,allow
deny from all
allow from 127.0.0.1
</Files>

Их нужно добавить в конец файла .htaccess, который располагается в корневой директории вашего блога. Обращаю ваше внимание на то, что вместо 127.0.0.1 нужно подставить свой IP-адрес и или пространство IP-адресов. Как вы видите, у способа есть недостаток. В идеале он подойдёт тем у кого, как и у меня, статичный IP-адрес. Конечно, можно указать и пространство IP-адресов, например: 127.0.0.1/127.0.0.10 - или перечислить их через запятую, или в нескольких директивах allow from.

Можно пойти и от обратного, т. е. защитить сайт на Wordpress от конкретных IP-адресов. В этом случае я рекомендовал бы создавать запрет для блога в целом, а не для конкретного файла. С учётом сказанного, набор требуемых директив выглядит следующим образом:

<Limit GET POST PUT>
order allow,deny
allow from all
deny from 127.0.0.1
</Limiy>

Обращаю ваше внимание на то, что в данном случае директива order имеет значение allow,deny, т.е. обратную по сравнению с первым способ сортировку приоритетов. В начале директива allow, потом deny. Последнее слово остаётся именно за директивой deny (запрет).

Блокировка по IP-адресу очень хороша, но имеет и ещё один недостаток. Злоумышленник может использовать тот или иной прокси сервер, меня IP-адрес. Так что второй предложенный мной способ защиты сайта не слишком эффективен. Понятно и то, что человек может использовать того же Интернет провайдера, что и вы. Поэтому первый способ наиболее эффективен, если у вас статический IP-адрес.

Как вы видите, даже тут много условий. Чего уж говорить о полноценной защите сайта. Лично для меня, это выглядит чем-то из разряда фантастики. Тем не менее, возможно, что данная заметка вам поможет. Мне же остаётся только продолжать бороться за живучесть своего сервера и надеяться на лучшее. По крайней мере, я буду знать, что сделал всё возможное из того, что мог и умел по исправлению ситуации. В крайнем случае, планирую переехать на Reg.ru. Там хоть и чуть дороже, но и лимиты не такие драконовские как у SpaceWeb. Впрочем, я уже ни в чём не уверен. Везде свои заморочки, а переезд это всегда ещё тот геморрой. Удачи!

Короткая ссылка: http://goo.gl/CFHTSx