Защита сайта WordPress — как сделать, чтобы не взломали?

Сам по себе чистый движок WordPress практически идеально защищён от взлома. Но зачастую взломы случаются по причинам, не зависящим от надёжности самого движка. На любой сайт на WordPress может быть произведена попытка хакерской атаки, даже если это совершенно новый молодой сайт и на нём нет посетителей. Хакер, конечно, вряд ли придёт просто так на мелкий сайт для взлома. Хакеры зачастую выбирают следующий способ. Они создают ботов, которые обходят миллионы сайтов и автоматически ищут уязвимости.

Вот самые простые и эффективные советы, которые помогут защитить от взлома сайт на движке WordPress.

• Никаких плагинов! Не устанавливайте никакие плагины и не держите даже неактивированными никакие плагины в папке с плагинами. Плагинов просто не должно быть. Никаких. Даже если автор плагина не замышлял ничего плохого и плагин очень популярный, то в нём могут быть обнаружены уязвимости, из-за которых может быть взломан сайт. Может сложиться интересная ситуация, при которой сайт может быть взломан, например, из-за установленного плагина, который предназначен для защиты от взлома, хотя если бы такой плагин не был бы установлен, то и взлома бы не было.
• Только с официального сайта. Скачивайте сам движок и темы (и плагины, если вдруг нужно, но помните о первом пункте выше) только с официального сайта — wordpress.org. В темах нужно проверить все файлы на предмет подозрительных кодов (в коде строка может выглядеть как base64). Зачастую в такой строке просто может быть закодирована ссылка на сайт автора темы, но есть вероятность, что там может быть что-то хуже. Если есть такой закодированный код в теме, то постарайтесь его удалить.
• Сложный пароль. Устанавливайте сложный пароль длиной от 15 символов, с цифрами, спецсимволами и буквами разного регистра, при этом не содержащий отдельных слов, дат рождения и т. п.
• Включите автообновления. Установите сам движок WordPress на автообновление. Для этого в файле wp-config.php в корне сайта проверьте, чтобы в следующей строке было прописано true:
  define('WP_AUTO_UPDATE_CORE', true);
  Если нет такой строки, то добавьте её.