Если в логах видно десятки и сотни попыток входа, а сайт начал заметно тормозить, речь уже не о теории, а о нагрузке и риске подбора пароля. Перебор паролей редко взламывает сильный аккаунт «в лоб», но он быстро забивает логи, создаёт лишние запросы к /wp-login.php и /wp-admin/, а на слабых паролях и старых сайтах действительно приводит к компрометации.
Защита админки WordPress работает не одной настройкой, а набором мер. Одни снижают число попыток входа, другие усложняют автоматический поиск формы логина, третьи добавляют второй фактор, а серверные ограничения отсекают часть мусорного трафика ещё до WordPress. Если сайт уже под атакой, сначала нужно уменьшить нагрузку и закрыть вход, а уже потом разбираться, не успел ли кто-то войти.
С чего начать, если брутфорс уже идёт
Сначала проверьте, это просто шум в логах или атака уже влияет на сайт. Типичные признаки: много запросов к /wp-login.php, /xmlrpc.php и /wp-admin/, повторяющиеся IP, всплеск 401/403/200 на странице входа, рост нагрузки на PHP и MySQL, жалобы на медленную админку. Если у вас общий хостинг, иногда проблема заметна даже без доступа к серверным метрикам: сайт начинает отвечать медленнее именно в моменты массовых попыток входа.
Если есть подозрение, что пароль уже подобрали, не ограничивайтесь защитой от перебора. Сразу смените пароль администратора, проверьте список пользователей в разделе Пользователи, особенно роли Администратор, и убедитесь, что нет неизвестных учётных записей. Для сайта с несколькими сотрудниками имеет смысл проверить и почту администратора: злоумышленники часто меняют адрес восстановления, если уже получили доступ.
Ограничение попыток входа: базовая защита, но не панацея
Лимит попыток входа нужен почти всем сайтам, где есть публичная форма авторизации. Он не делает подбор невозможным, но резко снижает скорость атаки и уменьшает нагрузку на сайт. Для небольшого блога этого часто достаточно в паре с нормальным паролем. Для интернет-магазина или сайта с регистрацией пользователей — уже нет, там лимит нужен как часть более широкой схемы.
Ставить можно специализированный плагин для ограничения логинов или использовать функцию, если она уже есть в вашем security-плагине. Смысл настройки простой: после нескольких неудачных попыток с одного IP или на один аккаунт доступ временно блокируется. Это помогает против автоматических скриптов, которые перебирают стандартные логины и слабые пароли.
Но у меры есть ограничения. Если у вас много сотрудников, которые входят из одной офисной сети или через один VPN, слишком жёсткий лимит может блокировать и своих. Если злоумышленник использует ботнет с большим числом IP, блокировка по адресу помогает хуже. Поэтому не стоит считать лимит попыток единственной защитой.
Смена URL входа: полезно против массового шума, но не против целевой атаки
По умолчанию форма входа WordPress находится по адресам /wp-login.php и /wp-admin/. Боты знают это и стучатся туда постоянно. Смена URL входа уменьшает количество случайных попыток и убирает сайт из массового сканирования, где атакуют всё подряд.
Это хорошая мера для небольших и средних сайтов, особенно если атаки однотипные и идут со всего интернета. Но она не защищает от того, кто уже знает новый адрес, и не отменяет необходимость сильного пароля. Если плагин смены URL сломался, обновился с конфликтом или вы забыли новый адрес, можно потерять доступ к админке. Перед включением проверьте, как именно плагин позволяет вернуть стандартный вход: через FTP, файловый менеджер хостинга или отключение плагина.
Если вы используете Clearfy, часть лишних служебных возможностей WordPress можно отключить через него, а для задач, связанных именно с чисткой и сокращением поверхности атаки, это иногда удобно как вспомогательный шаг. Но сам по себе Clearfy не заменяет защиту входа и не является полноценным anti-bruteforce-решением: для ограничения попыток и 2FA всё равно нужны отдельные механизмы. Подробности о плагине есть на странице Clearfy.
Двухфакторная аутентификация: самый полезный шаг после сильного пароля
2FA добавляет второй фактор входа — обычно одноразовый код из приложения, реже аппаратный ключ или подтверждение по резервному каналу. Для перебора паролей это серьёзный барьер: даже если пароль угадали или украли, войти без второго фактора не получится.
Для админов, редакторов и всех, кто имеет доступ к wp-admin, 2FA стоит включать в первую очередь. Особенно это важно для:
- сайтов с несколькими администраторами;
- интернет-магазинов;
- проектов на общем хостинге, где риск слабых паролей выше;
- сайтов, где сотрудники часто работают удалённо и входят с разных устройств.
Перед включением 2FA проверьте, как вы будете восстанавливать доступ, если потеряете телефон или приложение. Нужны резервные коды, запасной администратор или понятная процедура сброса. Без этого 2FA может создать проблему не для атакующего, а для вас.
Что ещё реально снижает риск взлома админки
Если смотреть на безопасность как на систему, то защита входа — только один слой. Вот что обычно даёт ощутимый эффект на практике.
Сильные и уникальные пароли для всех админов
Слабый пароль обнуляет половину остальных мер. Для WordPress это особенно заметно, потому что атаки часто идут по словарям и утечкам старых паролей. Пароль должен быть длинным и уникальным для сайта. Повторное использование пароля на почте, в панели хостинга и в WordPress — плохая идея: если утечёт один сервис, злоумышленник попробует тот же пароль везде.
Ограничение доступа по IP, если у вас статичный офис или VPS
Если админка нужна только из конкретного офиса, VPN или одного диапазона адресов, можно ограничить доступ на уровне сервера или веб-сервера. Это уже не настройка WordPress, а защита инфраструктуры. Она хорошо работает для корпоративных сайтов и внутренних проектов, но неудобна для команд с плавающими IP и для фрилансеров, которые входят из разных мест.
Защита на уровне CDN или WAF
Cloudflare и похожие сервисы умеют отсекать часть ботов до того, как запрос дойдёт до сайта. Это полезно, если атака массовая и бьёт по нагрузке. На практике WAF особенно помогает, когда у сайта уже есть внешний трафик и вы хотите фильтровать подозрительные запросы к странице входа. Но это не отменяет 2FA и не спасает, если пароль слабый.
Отключение ненужных способов входа
Если вы не используете вход через XML-RPC, его лучше ограничить или закрыть, но делать это нужно аккуратно: некоторые мобильные приложения, внешние сервисы и старые интеграции могут зависеть от него. Для большинства современных сайтов это уже не обязательный канал, а для некоторых — лишняя поверхность атаки. Здесь важно понимать, что вы отключаете и не сломаете ли рабочие сценарии.
Как проверить, что защита действительно работает
После настройки не ограничивайтесь тем, что «плагин включился». Проверьте поведение входа вручную.
- Введите неправильный пароль несколько раз и убедитесь, что срабатывает блокировка или задержка.
- Попробуйте открыть старый адрес входа, если меняли URL. Он должен вести туда, куда задумано, или быть недоступным по вашей схеме.
- Проверьте вход с включённой 2FA: код должен запрашиваться после пароля, а не вместо него.
- Посмотрите логи сервера и логи плагина безопасности: количество запросов к странице входа должно снизиться или хотя бы перестать создавать нагрузку.
Если после установки защиты админка стала недоступна, не пытайтесь вслепую «щёлкать всё подряд». Сначала отключите последний добавленный плагин через файловый менеджер или FTP, затем проверьте, не конфликтует ли он с кэшем, CDN или другим security-плагином.
Когда одной защиты входа недостаточно
Если сайт уже взломан, на нём появились неизвестные пользователи, редиректы, спам-страницы или посторонние файлы, лимит попыток и 2FA сами по себе проблему не решат. Они полезны для остановки новых попыток входа, но не очищают уже скомпрометированный сайт. В таком случае порядок действий другой: изоляция, смена паролей, проверка пользователей и файлов, восстановление из чистой резервной копии, затем повторная настройка защиты.
Для сайтов, где важны данные клиентов, заказы или личные кабинеты, лучше сразу строить защиту комплексно: обновления WordPress, плагинов и тем, контроль прав доступа к файлам, резервные копии, 2FA для админов, ограничения на вход и мониторинг подозрительных действий. Это не избыточность, а нормальная практика для проекта, который нельзя оставлять на одном пароле.
Если нужен короткий практический порядок действий, он такой: сначала сильные пароли и 2FA, затем ограничение попыток входа, потом смена URL логина или серверные фильтры, и только после этого — дополнительные меры вроде WAF и ограничений по IP. Для сайта под атакой приоритет всегда один: сначала остановить перебор и проверить, не был ли уже получен доступ.