На этой странице
Повторяющиеся проблемы безопасности WordPress - открытый wp-login, устаревшие плагины (включая phpunit debug-файлы), XML-RPC и украденные admin‑cookies. Усилить защиту можно. Убрать PHP+плагины - нет. Миграция на статический Hugo и удаление WordPress убирает этот класс риска. Этим занимается Wordpress Escape.
Обычные дыры
- wp-login / xmlrpc brute force
- CVE в плагинах (всякий мусор вроде phpunit eval-stdin)
- Admin AJAX без проверки прав
- Мировая запись в uploads
Wordfence - это ремень безопасности. Но не меньшая машина.
Почему «просто обновляйте» не работает
Кто-то должен нажимать обновление, тестировать тему и не ставить «нуленые» плагины. У малого бизнеса нет команды по безопасности. У них есть сайт, который приносит заказы. Именно для них мы всё это сделали.
Убейте поверхность атаки
Никакого PHP, никаких плагинов, никакого wp-admin. Чистый HTML на Cloudflare. ESC'dashboard, если вы всё ещё хотите редактировать. Если вас уже взломали, сначала локализуйте ущерб, потом мигрируйте.
Мы скажем, остался ли wp-login или кто-то уже сделал статический экспорт и оставил отпечатки.
Часто задаваемые вопросы
WordPress небезопасен?
Ядро может быть в порядке. Но сочетание плагинов, PHP и wp-login - это большая поверхность атаки по сравнению со статическим HTML.
Статический сайт могут взломать?
HTML‑файлы не исполняются. Аккаунт хостинга по-прежнему могут украсть - но вы убрали самый распространённый класс WP‑эксплойтов.
Я могу оставить редактор «как в WordPress»?
Да. ESC'dashboard стоит $189 единоразово и генерирует статические страницы, а не PHP.
Проверьте, живой ли WordPress на вашем URL
Бесплатно просканируем ваш URL - 60 секунд, без логина. Оценки по SEO, производительности и адаптивности, а затем - готовый побег, если вы захотите.
Бесплатно просканировать мой сайт