Что умеет
Wordfence ставится как обычный плагин и защищает сайт на уровне WordPress. Его основа — брандмауэр веб-приложений, который проверяет входящие запросы и блокирует попытки эксплуатации известных уязвимостей, подбор паролей и ботов с плохой репутацией.
Остальные возможности:
- Сканер. Проверяет файлы ядра, тем и плагинов на изменения, ищет бэкдоры, подозрительный код и известные вредоносные URL.
- Защита входа. Ограничение числа попыток, блокировка IP, двухфакторная аутентификация через приложения-генераторы.
- Мониторинг. Журнал трафика, оповещения по почте о критических событиях, список заблокированных IP.
- Оповещения об уязвимостях. Сообщает о плагинах и темах с известными проблемами и устаревших версиях.
Premium добавляет оперативные обновления правил, блокировку по странам и другие расширения.
Установка и настройка
Установите плагин и введите email для оповещений. Брандмауэр сначала работает в режиме обучения: он изучает ваш сайт примерно неделю, после чего переходит в полноценный режим. Для лучшей защиты Wordfence предлагает оптимизировать брандмауэр, подключив его до загрузки WordPress; процедура требует правки конфигурации сервера и подходит не для каждого хостинга.
Запустите первое сканирование, настройте расписание и включите двухфакторную аутентификацию для администраторов. Проверьте, что адрес вашей почты в настройках оповещений правильный.
Подводные камни
Нагрузка. Сканирование и ведение журнала трафика потребляют ресурсы. На недорогом хостинге ограничьте частоту проверок и отключите лишнее журналирование.
Дубли защиты. Нельзя запускать одновременно несколько комплексных плагинов безопасности (например, Really Simple Security, AIOS и Wordfence с одинаковыми функциями). Их брандмауэры и правила входа будут конфликтовать.
Ложные срабатывания. Брандмауэр может блокировать запросы от платёжных систем, вебхуков и API. При интеграциях с платёжными сервисами проверьте журнал и добавьте исключения.
Блокировка администратора. Неверные настройки блокировки по IP или странам могут закрыть доступ вам самим. Сохраните ключ разблокировки и знайте, как отключить плагин через FTP.
Платная версия. Оплата Premium из России затруднена, закладывайте это в планы.
Кому подойдёт
Сайтам на WordPress любого размера, где нужна защита сверх стандартной, особенно магазинам и проектам с пользователями. Для более лёгких вариантов смотрите Really Simple Security, All-In-One Security или Limit Login Attempts.
