Безопасность WordPress: что закрыть в первую неделю

WordPress взламывают не потому, что он «плохой», а потому что его много и его оставляют как после установки: пользователь admin, десяток плагинов, из которых живы три, и обещание обновлять «когда-нибудь». Первая неделя ухода за таким сайтом важнее годовой лицензии на громкий security-плагин.

Короткий порядок работ

• Обновить ядро, тему и плагины. Перед этим снять копию, которую умеете вернуть.
• Удалить неиспользуемые плагины и темы, включая стандартные, которые никто не включает.
• Уйти от логина admin и от общей учётки на агентство, подрядчика и офис.
• Выключить правку файлов из админки и ограничить попытки входа.
• Посмотреть пользователей с правами администратора. Лишние чаще находятся здесь, чем в коде.

XML-RPC и открытая регистрация имеют смысл только если ими правда пользуются. Формы заявок на старом плагине стоит открыть отдельно: именно они часто остаются дверью после «мы всё обновили». Каталог загрузок не должен исполнять файлы.

Если сайт на WordPress уже приносит заявки, Lexora закрывает этот минимум в рамках аудита и может оставить сопровождение, чтобы обновления не ждали следующего инцидента.