Чекліст безпеки WordPress 2025 — 15 кроків захисту

WordPress атакують автоматично. Боти постійно сканують wp-login.php, xmlrpc.php та відомі вразливості. Ось мінімальний чекліст захисту.

1. Оновлення — перше і головне

75% зламів — через застарілі теми та плагіни. Увімкніть автооновлення або перевіряйте щотижня.

2. Захист wp-admin

# В .htaccess або Nginx:
location /wp-admin {
    allow 1.2.3.4; # ваш IP
    deny all;
}

3. Вимкнення xmlrpc.php

location = /xmlrpc.php {
    deny all;
}

4. Зміна URL входу

Плагін WPS Hide Login. Замість /wp-login.php → /your-secret-page.

5. Двофакторна автентифікація

Плагін WP 2FA або Google Authenticator. Обов'язково для адмінів.

6. Права на файли

find /wp-content -type f -exec chmod 644 {} \;
find /wp-content -type d -exec chmod 755 {} \;
chmod 600 wp-config.php

7. Заголовки безпеки

add_header X-Content-Type-Options "nosniff";
add_header X-Frame-Options "SAMEORIGIN";
add_header Strict-Transport-Security "max-age=31536000";

8. Wordfence або Sucuri

Встановіть один з цих плагінів. Wordfence безкоштовний і достатній для більшості сайтів.

Потрібен аудит? Замовте аудит безпеки WordPress.