Проблемы безопасности WordPress

WordPress небезопасен не просто «потому что он популярный». Это PHP‑приложение с URL для входа, экономикой плагинов и базой данных. Всё это — поверхность атаки. Статический HTML — нет.

Quick answer

Повторяющиеся проблемы безопасности WordPress — открытый wp-login, устаревшие плагины (включая phpunit debug-файлы), XML-RPC и украденные admin‑cookies. Усилить защиту можно. Убрать PHP+плагины — нет. Миграция на статический Hugo и удаление WordPress убирает этот класс риска. Этим занимается WordPressEscape.

Проверьте, живой ли WordPress на вашем URL

Бесплатно просканируем ваш URL — 60 секунд, без логина. Оценки по SEO, производительности и адаптивности, а затем — готовый побег, если вы захотите.

Бесплатно просканировать мой сайт →

Обычные дыры

wp-login / xmlrpc brute force
CVE в плагинах (всякий мусор вроде phpunit eval-stdin)
Admin AJAX без проверки прав
Мировая запись в uploads

Wordfence — это ремень безопасности. Но не меньшая машина.

Почему «просто обновляйте» не работает

Кто-то должен нажимать обновление, тестировать тему и не ставить «нуленые» плагины. У малого бизнеса нет команды по безопасности. У них есть сайт, который приносит заказы. Именно для них мы всё это сделали.

Убейте поверхность атаки

Никакого PHP, никаких плагинов, никакого wp-admin. Чистый HTML на Cloudflare. ESC'dashboard, если вы всё ещё хотите редактировать. Если вас уже взломали, сначала локализуйте ущерб, потом мигрируйте.

Скан обнаруживает живой WP

Мы скажем, остался ли wp-login или кто-то уже сделал статический экспорт и оставил отпечатки.

Проверьте, живой ли WordPress на вашем URL

Бесплатно просканировать мой сайт →

Часто задаваемые вопросы

WordPress небезопасен?

Ядро может быть в порядке. Но сочетание плагинов, PHP и wp-login — это большая поверхность атаки по сравнению со статическим HTML.

Статический сайт могут взломать?

HTML‑файлы не исполняются. Аккаунт хостинга по-прежнему могут украсть — но вы убрали самый распространённый класс WP‑эксплойтов.

Я могу оставить редактор «как в WordPress»?

Да. ESC'dashboard стоит $189 единоразово и генерирует статические страницы, а не PHP.

проблемы безопасности wordpressуязвимости безопасности wordpressнасколько безопасен wordpress