Что умеет
WP Ghost (прежде Hide My WP Ghost) защищает сайт «архитектурно»: убирает следы, по которым боты определяют WordPress и ищут слабые плагины. Основная идея в том, что большинство атак автоматические. Боты проверяют адреса вроде /wp-admin и /wp-login.php, а затем подбирают эксплойты под известные уязвимости.
Плагин меняет видимые пути к админке, странице входа, wp-content, wp-includes, плагинам и темам. Фактически файлы остаются на местах, а подмена выполняется правилами сервера. Дополнительно в нём есть файрвол, защита от перебора паролей и усиление защиты сайта.
Установка и настройка
Перед установкой сделайте копию сайта и базы. Включите режим безопасности по шагам, начиная с адреса входа. Запишите новый адрес и проверьте вход в другом браузере. Потом меняйте остальные пути и после каждого шага открывайте главную, запись, поиск, корзину и форму. Очистите кэш.
Подводные камни
- Потеря доступа. Забытый новый адрес входа или ошибка в правилах закрывают админку. Нужен доступ по FTP или SSH для отката.
- Кэш и оптимизация. Плагины кэширования и CDN запоминают старые пути стилей и скриптов. Пересоберите кэш и проверьте внешний вид.
- Конфликты. Другие плагины безопасности с похожими функциями, а также правила в
.htaccessи конфиге Nginx мешают друг другу. Для Nginx правила нужно добавить в конфигурацию сервера. - Ложное чувство защищённости. Обновления ядра, плагинов и тем по-прежнему обязательны.
- Переименованные пути могут ломать сторонние сервисы, которые обращаются к REST API или XML-RPC.
Кому подойдёт
Сайтам, которые страдают от шума ботов и перебора на wp-login.php и где есть опыт администрирования. Для классической защиты выберите Wordfence, All-In-One Security или Loginizer.
