Плагины безопасности решают разные задачи, и установка списка расширений не делает WordPress защищённым автоматически. В первоначальной подборке для WordPress 2.7 были Limit Login Attempts, Sabre, Semisecure Login, Bad Behavior и Secure WordPress. Это исторические названия, а не список рекомендуемых к установке пакетов: статус поддержки и совместимость каждого нужно проверять отдельно.
Ограничение попыток входа
Limit Login Attempts приводился как пример временного ограничения повторных неудачных входов. Лимит замедляет перебор, но не заменяет сильный уникальный пароль и дополнительные меры входа. Не воспринимайте прежние четыре попытки и двадцать минут как универсально безопасные настройки: слишком жёсткая блокировка может мешать законным пользователям.
Автоматическая регистрация
Sabre иллюстрировал защиту от массовых спам-аккаунтов через проверку в форме. Проверки нужно оценивать и на устойчивость к ботам, и на доступность для людей. Там, где открытая регистрация не нужна, её лучше не включать ради отсутствующей функции.
Клиентский JavaScript не заменяет защищённый канал
В старой статье Semisecure Login описывался как преобразование пароля в браузере. Нельзя выводить из этого, что форма безопасна при передаче по HTTP. Если страницу или её JavaScript может изменить атакующий, клиентское преобразование само по себе не защищает ввод. Используйте HTTPS и серверную обработку аутентификации; не разворачивайте заброшенный плагин только ради обещания «шифрования».
Репутационные списки и сокрытие версии
Bad Behavior обсуждался как фильтр подозрительных запросов, а Secure WordPress — как способ скрыть часть технической информации. Блокировка по репутации может ошибаться; скрытие версии не исправляет известную уязвимость и не заменяет обновления. Учитывайте журнал отказов и возможность восстановить доступ.
Что проверять на работающем сайте
- Обновления ядра, тем и реально нужных плагинов; удаление неиспользуемых компонентов.
- Резервные копии с проверенной процедурой восстановления.
- Ограничение прав учётных записей и файлов в соответствии с ролью.
- HTTPS, уникальные пароли и контролируемый доступ к администрированию.
- Поддерживаемый источник плагина, история исправлений и тест совместимости перед установкой.
Основной источник для проверки мер — официальное руководство Hardening WordPress. Подборка объясняет назначение мер, но не удостоверяет безопасность перечисленных исторических пакетов.