Настройка плагина Wordfence для безопасности WordPress
Wordfence — наиболее используемый плагин безопасности WordPress. Включает Web Application Firewall (WAF), сканер вредоносного кода, блокировку по IP, двухфакторную аутентификацию, мониторинг трафика в реальном времени.
Базовая настройка после установки
Firewall → Manage WAF:
- Optimization: переключить в режим Extended Protection (требует добавления кода в
auto_prepend_filePHP) - Web Application Firewall Status: Learning Mode → Protected (через 7 дней обучения)
Firewall → Brute Force Protection:
- Lock out after X login failures: 5
- Count failures over X minutes: 5
- Lock out for X minutes: 60
- Immediately lock out invalid usernames: ✓
- Immediately lock out invalid email: ✓
Scan: Запустить первичное сканирование. Wordfence сравнивает файлы ядра, тем и плагинов с репозиторием WordPress — выявляет изменённые и добавленные файлы.
Блокировка по геолокации (Wordfence Premium)
В бесплатной версии геоблокировка недоступна. В Premium: Firewall → Country Blocking — заблокировать страны, из которых никогда не приходят легитимные пользователи.
Rate Limiting
Throttle requests from humans: 240/minute (DEFAULT)
Throttle requests from crawlers: 120/minute
Throttle 404 errors from humans: 60/minute
Throttle 404 errors from crawlers: 20/minute
How long is an IP address blocked: 5 minutes
Уведомления
Login Security → настроить email-уведомления:
- Alert when an administrator signs in: ✓ (только для небольших сайтов)
- Alert on critical problems: ✓
- Alert when someone is locked out from login: ✓
Не включайте все уведомления — будете получать сотни писем и перестанете обращать внимание.
Двухфакторная аутентификация
Login Security → Two-Factor Authentication:
- Activate 2FA for administrators: ✓
- Require 2FA for all admins: ✓
Поддерживает Google Authenticator, Authy, любое TOTP-приложение.
Исключения из WAF
WAF иногда ложно блокирует легитимные запросы — например, от платёжных систем или REST API клиентов. Добавить исключения: Firewall → Allowlisted URLs.
Важные дополнительные меры
Wordfence — не замена, а дополнение к базовой безопасности:
// wp-config.php — ограничения
define('DISALLOW_FILE_EDIT', true); // отключить редактор файлов
define('DISALLOW_FILE_MODS', true); // отключить установку плагинов/тем
# Nginx — закрыть xmlrpc.php если не используется
location = /xmlrpc.php { deny all; }
# Закрыть wp-login.php для всех кроме своих IP
location = /wp-login.php {
allow 1.2.3.4; # ваш IP
deny all;
}
Сроки
Установка и настройка Wordfence с первичным сканированием — 2–3 часа.