Плагины безопасности WordPress: что выбрать

Что вообще должен уметь плагин безопасности

• Фаервол (WAF) — блокировать известные атаки на уровне запросов.
• Защита входа — ограничение попыток, двухфакторная аутентификация, CAPTCHA.
• Сканер — сверять файлы ядра и плагинов с оригиналами, искать вредоносный код.
• Харденинг — отключать редактор файлов, XML-RPC, листинг каталогов и другие лишние функции.
• Журнал событий — кто и когда входил, менял настройки, ставил плагины.

Wordfence Security

Самый популярный плагин безопасности для WordPress. Включает фаервол, сканер вредоносного кода, защиту входа с 2FA и журнал трафика в реальном времени.

• Плюсы: мощный сканер, который сверяет файлы с оригиналами из репозитория; подробные уведомления; бесплатная версия закрывает большинство задач.
• Минусы: в бесплатной версии правила фаервола и сигнатуры обновляются с задержкой около 30 дней; заметная нагрузка на слабых хостингах во время сканирования; оплата премиум-версии из России может быть затруднена.

Solid Security (бывший iThemes Security)

Сильнее всего в харденинге и защите входа: 2FA, ограничение попыток, принудительные надёжные пароли, проверка изменений файлов, обнаружение 404-сканирования.

• Плюсы: удобная пошаговая настройка, много харденинг-опций «в один клик».
• Минусы: собственного глубокого сканера вредоносного кода в бесплатной версии нет; часть функций доступна только в платной версии.

All-In-One Security (AIOS)

Бесплатный плагин с большим набором функций: защита входа, правила для .htaccess, фаервол на уровне PHP, блокировка по IP, контроль изменений файлов.

• Плюсы: почти всё бесплатно, понятная система оценки защищённости.
• Минусы: сканер вредоносного кода ограничен; некоторые правила .htaccess могут конфликтовать с другими плагинами и кэшем.

Sucuri Security

Бесплатный плагин даёт аудит событий, проверку целостности файлов ядра и внешнюю проверку сайта. Главная сила Sucuri — облачный фаервол и услуги по чистке, но они платные.

• Плюсы: лёгкий, почти не нагружает сервер.
• Минусы: без платного фаервола защита в основном информационная.

Jetpack Protect

Плагин от Automattic, разработчиков WordPress.com. Сравнивает версии плагинов и тем с базой уязвимостей и предупреждает об опасных. Сканирование файлов и фаервол — в платной версии.

FYZI Guard (российская разработка)

Бесплатный российский плагин, сделанный под актуальные массовые атаки на WordPress. Закрывает для гостей пакетные REST-запросы, через которые боты создают администраторов, следит за администраторами напрямую в базе данных (видит и скрытых), ежедневно сверяет ядро с оригиналом и ищет веб-шеллы в загрузках. Тревоги приходят в ваш Telegram.

• Плюсы: всё бесплатно, лёгкий, на русском языке, уведомления в Telegram, не передаёт данные сайта.
• Минусы: нет собственного облачного фаервола; внешний мониторинг и лечение — в платной версии FYZI Shield Pro.

Скачать FYZI Guard

Сравнение коротко

Главное ограничение любого плагина

Плагин безопасности работает внутри WordPress. Отсюда несколько слабых мест:

• если злоумышленник получил доступ к файлам или базе данных, он может отключить плагин или изменить его настройки — и вы об этом не узнаете;
• плагин не видит атак, которые идут в обход WordPress: напрямую на файлы плагинов, через соседние сайты на хостинге или украденный FTP-пароль;
• если сайт «упал» или его перенаправляют на чужой домен, плагин об этом не сообщит;
• уведомления приходят на почту и часто теряются среди других писем.

Что делаем мы

FYZI Shield дополняет плагин внешним контролем: каждый день проверяет файлы и базу данных, следит за новыми администраторами, смотрит на сайт глазами посетителя с телефона, отслеживает чёрные списки Яндекса и Google и пишет в Telegram. Даже если на сайте отключат плагин, внешний мониторинг это заметит.

Частые вопросы