Составьте карту публичных точек
Проверьте формы, страницы входа, восстановление пароля, поиск, комментарии, XML-RPC и используемые REST API-маршруты. Отключайте ненужную функциональность только после проверки темы, плагинов и интеграций.
Обновляйте WordPress, тему и плагины из доверенных источников и удаляйте неиспользуемые компоненты. Фильтрация трафика не исправляет уязвимость в самом приложении.
Разделите защиту по операциям
Для входа применяйте MFA, защиту от перебора и безопасные ответы. Для форм — серверную валидацию, CSRF-защиту, honeypot или дополнительную проверку по риску. Для поиска и REST API — ограничения частоты и верхние границы ресурсоёмких параметров.
Не блокируйте весь `/wp-admin` или весь автоматический трафик без учёта редакторов, cron, платёжных сервисов и поисковых роботов.
Проверьте сайт после изменений
Проверьте вход, восстановление пароля, публикацию, формы, комментарии, REST-интеграции, sitemap и robots.txt. Сравните ошибки 4xx/5xx, скорость ответа, доставку писем и индексацию до и после включения правил.
Сохраняйте возможность быстро ослабить или отключить правило. Изменения защиты должны быть наблюдаемыми и обратимыми.
Частые вопросы
Нужно ли закрывать wp-login.php от всех посетителей?
Нет. Это может сломать редакторов и интеграции. Используйте MFA, ограничения частоты и риск-ориентированную проверку, а доступ администраторов дополнительно ограничивайте по вашей инфраструктуре.
Защитит ли WordPress-плагин от всех ботов?
Нет. Плагин закрывает только часть сценариев и может конфликтовать с темой или интеграциями. Проверяйте серверные endpoint, логи и результат для бизнеса.