Чек-лист по усилению безопасности на виртуальном хостинге.

Чтобы защитить сайт на хостинге, не нужен опыт системного администратора. Восемь проверок, 30 минут — и поверхность атаки заметно меньше.

1. Надёжные уникальные пароли везде

• Пароль хостинга (SFTP, SSH): от 16 символов, сгенерированный менеджером паролей; ещё лучше — SSH-ключи
• Администратор WordPress: то же самое
• MySQL: то же самое
• FTP/SFTP: то же самое

Если вы используете один пароль в разных сервисах, одна утечка ставит под угрозу все. Пользуйтесь Bitwarden, 1Password или KeePass. Бесплатные варианты тоже подходят.

2. Включите 2FA в панели

Новая панель: меню пользователя → Настройки аккаунта → Безопасность → Двухфакторная аутентификация. Подробно: Включение 2FA. Сделайте это сейчас.

3. Принудительный HTTPS

В public_html/.htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Посетители, зашедшие по http://, автоматически перенаправляются на https://. Это нужно для SEO и доверия современных браузеров.

4. Отключите просмотр каталогов

Добавьте в public_html/.htaccess:

Options -Indexes

Без этого по адресу yourdomain.com/uploads/ открывается список файлов — злоумышленники охотно пользуются этим, чтобы находить конфиденциальные файлы.

5. Скройте адрес админки WordPress

/wp-admin/ и /wp-login.php в WordPress — самые атакуемые URL в интернете. Перенесите их.

Плагин: WPS Hide Login. Выберите свой URL, например /secret-portal-43. Теперь /wp-login.php отдаёт ботам 404.

Это сразу отсекает 99% попыток подбора пароля.

6. Ограничьте попытки входа

Плагин WordPress: Limit Login Attempts Reloaded (бесплатный). Блокируйте IP на 20 минут после 4 неудачных попыток.

7. Обновляйте всё каждую неделю

Большинство взломов происходит через известные уязвимости в устаревших плагинах, темах и ядре. Обновляйте каждую неделю:

• Ядро WordPress
• Все плагины
• Темы (активные и неактивные — да, даже в неактивных есть файлы, которые может использовать злоумышленник)
• Версию PHP (Сайт → PHP)

8. Удалите неиспользуемые темы, плагины и файлы

Неиспользуемое = необслуживаемое = уязвимость, которая ждёт своего часа. Удалите:

• Неактивные темы (оставьте одну стандартную как запасную)
• Неактивные плагины
• Старые файлы резервных копий в public_html/ (перенесите их с сервера)
• Старые папки установок (/old, /staging-2024 и т. п.)

Бонус: отслеживание изменений файлов

Хотите знать, если файлы неожиданно изменились (признак взлома)?

Плагин: Wordfence (бесплатной версии достаточно). Следит за целостностью файлов ядра и присылает оповещение на email, если изменён любой файл ядра или плагина.

Права доступа

Конфиденциальные файлы не должны быть доступны для чтения всем:

# Via SSH:
chmod 600 wp-config.php   # WordPress config — only owner can read
chmod 644 .htaccess       # readable but not writable by web
chmod 755 wp-content/     # standard directory perms

А как же WAF?

Защитой на уровне сервера (серверный файрвол и другие меры) управляем мы — с вашей стороны настраивать ничего не нужно. Она не заменяет своевременное обновление вашего собственного сайта.

Для дополнительной защиты Cloudflare WAF (бесплатный тариф) стоит перед вашим сайтом и фильтрует запросы до того, как они попадут на сервер.

После всего этого

Проведите проверку безопасности:

• Wordfence проверяет файлы ядра, плагинов и тем WordPress на известные проблемы
• Sucuri SiteCheck (бесплатно, онлайн): вставьте URL → внешняя проверка
• Mozilla Observatory (observatory.mozilla.org): оценка заголовков безопасности

Цель — зелёные оценки / A. Всё красное — реальная проблема, исправьте её.

Когда остановиться

Эти 8 шагов закрывают 95% рисков малого бизнеса. Дальше отдача снижается, если у вас нет особых угроз (заметная цель, регуляторные требования). Работает принцип Парето — 20% усилий дают 80% защиты.