Публикувано: Обновено:
Сайтът ви работи добре. Една сутрин Google показва предупреждение, а в администрацията има потребител, когото не познавате. Честите причини са познати: стар плъгин, слаба парола или вход без ограничение на опитите.
Плъгин за сигурност (security plugin) е разширение за WordPress, което добавя firewall, скенер за зловреден код, защита на входа и двуфакторна автентикация. Най-известните са Wordfence, Solid Security, All-In-One Security (AIOS) и MalCare. Един добре настроен плъгин плюс редовни обновления покриват основните рискове за повечето сайтове.
В тази статия ще видите какво прави един плъгин за сигурност, кои функции са важни, как се сравняват водещите решения и как да го настроите, без да забавите сайта. Където темата има отделна статия при нас, даваме кратък отговор и линк.
Защо ви е необходим плъгин за сигурност (security plugin) за WordPress
WordPress сам по себе си няма firewall, скенер за зловреден код и ограничение на опитите за вход. Плъгинът за сигурност добавя тези слоеве и ви предупреждава, когато нещо се промени.
Ядрото на WordPress се обновява и поддържа от голяма общност. Рискът обикновено идва от WordPress плъгини и теми. Всеки плъгин и всяка тема са код от различен автор. Колкото повече са, толкова повече са възможните входни точки. Как се избират надеждни разширения, обясняваме в статията какво е плъгин.
Типичните атаки срещу WordPress сайтове са автоматични:
- Brute-force атаки. Ботове пробват хиляди комбинации от потребителско име и парола.
- Уязвими плъгини. Атакуващият търси сайтове със стара версия на плъгин с известна дупка.
- Зловреден код. Скрипт, вкаран в файловете или в базата данни (database), пренасочва посетителите или добавя спам страници.
- Ботове и сканиране. Заявки, които търсят слаби места по адреси и IP.
Плъгинът за сигурност не замества обновленията. Той ви дава защита и видимост между тях: блокира очевидните атаки и ви казва, когато нещо е различно.
Какви функции трябва да има един плъгин за сигурност
Важните функции са пет: firewall, скенер за зловреден код и уязвимости, защита на входа, двуфакторна автентикация и известия. Всичко друго е допълнение.
| Функция | Какво прави | Срещу какво пази |
|---|---|---|
| Web Application Firewall | Филтрира заявките преди WordPress да ги обработи | Известни атаки, ботове, подозрителни IP |
| Malware scanner | Сравнява файловете с оригиналите и търси подозрителен код | Зловреден код, заменени файлове |
| Login protection | Ограничава login attempts и заключва след няколко грешни опита | Brute-force атаки |
| Two-factor authentication | Изисква код от приложение освен паролата | Откраднати или слаби пароли |
| Проверка за уязвимости (vulnerability scan) | Сравнява версиите на плъгините с база с известни уязвимости | Стари плъгини и теми |
| Известия и мониторинг (monitoring) | Изпраща имейл при важно събитие | Пропуснати проблеми |
Добрият плъгин показва всичко това в едно табло (dashboard) в администрацията. Там виждате блокираните опити, резултатите от сканирането и какво трябва да поправите.
Firewall: къде работи
Firewall-ът може да работи на два начина. Endpoint firewall работи на вашия сървър, като част от WordPress. Така е при Wordfence. Облачен firewall работи пред сайта, на сървърите на доставчика. Така работят платените планове на Sucuri. Първият вижда повече за сайта. Вторият спира трафика, преди да стигне до хостинга ви.
Кои са най-добрите WordPress плъгини за сигурност (WordPress security plugin)
Водещите решения са Wordfence, Solid Security (бившият iThemes Security), All-In-One Security, MalCare и Sucuri. Wordfence е най-разпространеният, AIOS е изцяло безплатен и лек, MalCare сканира на свои сървъри.
Wordfence
Wordfence е най-популярният WordPress security plugin. Според страницата му в WordPress.org той има над 5 милиона активни инсталации (WordPress.org). Безплатната версия включва firewall, скенер за зловреден код, двуфакторна автентикация, защита на входа (в менюто Login Security) и наблюдение на трафика в реално време. Правилата на firewall-а и подписите за зловреден код в безплатната версия идват 30 дни по-късно от платената.
Solid Security (iThemes Security)
Solid Security е новото име на iThemes Security. Силата му е в укрепването на настройките (security hardening) и в простия интерфейс. Има защита от brute-force атаки, двуфакторна автентикация и проверка за уязвими плъгини. Подходящ е за собственици без технически опит.
All-In-One Security (AIOS)
All-In-One Security (по-старото име е All In One WP Security & Firewall) е безплатен плъгин с много настройки на едно място. Включва ограничение на опитите за вход, правила за firewall, проверка за промени във файловете и двуфакторна автентикация. Няма отделен скенер за зловреден код като Wordfence, затова е по-лек за сървъра.
MalCare
MalCare сканира сайта на своите сървъри, а не на вашия хостинг. Затова почти не натоварва сайта. Безплатната версия открива зловреден код. Почистването с един клик и firewall-ът са в платения план.
Sucuri и Security Ninja
Безплатният плъгин на Sucuri следи активността (Security Activity Audit), проверява целостта (integrity) на файловете и сканира сайта отдалечено. Облачният firewall е платен. Security Ninja проверява настройките на сайта с поредица тестове и търси уязвими плъгини. Повече функции има в Security Ninja Pro.
Как да изберете подходящ плъгин за сигурност за сайта си
Изберете по три въпроса: какъв хостинг имате, колко технически сте и има ли кой да следи известията. На споделен хостинг леко решение или облачно сканиране е по-добро от тежък локален скенер.
| Ситуация | Подходящ избор |
|---|---|
| Споделен хостинг с малко ресурси | AIOS или MalCare |
| Искате най-пълната безплатна защита | Wordfence |
| Нямате технически опит | Solid Security |
| Сайтът вече е бил заразен | Плъгин със сканиране и почистване, например MalCare или Sucuri |
| Онлайн магазин с плащания | Платен план с бързи правила за firewall |
Проверете и три практични неща:
- Последна актуализация. Плъгинът трябва да се обновява редовно.
- Съвместимост. Работи ли с вашия кеш плъгин, хостинг и инструменти за управление.
- Поддръжка. Има ли кой да отговори, ако сайтът ви заключи.
Как се избира хостинг, който помага за сигурността, обясняваме в статията какво е хостинг.
Как да инсталирате и настроите плъгин за сигурност на вашия WordPress (your WordPress)
Инсталирането отнема минути. Настройката е по-важна: включете firewall-а, ограничете опитите за вход, пуснете двуфакторна автентикация за администраторите и насрочете сканирането в часове с малко трафик.
- Направете резервно копие. Преди всяка промяна по сайта. Как, обясняваме в статията за бекъп плъгин.
- Инсталирайте (install) плъгина. Табло → Разширения → Добавяне → търсене по име → Инсталиране → Активиране.
- Включете firewall-а. Wordfence например започва в режим „учене“ (Learning Mode). Оставете го, за да не блокира нормални заявки.
- Ограничете опитите за вход. Заключване след няколко грешни опита за определено време.
- Включете двуфакторна автентикация. Задължително за администраторите и редакторите.
- Насрочете сканирането. Нощем или в часове с малко посетители.
- Задайте известия. Имейл при засечен зловреден код, нов администратор или промяна на файлове.
- Проверете сайта. Формите, количката, входа и външните интеграции трябва да работят.
Използвайте само един плъгин за сигурност. Два активни firewall-а си пречат и могат да заключат и вас.
Може ли плъгинът за сигурност да забави сайта или да създаде проблеми
Да, ако е настроен лошо. Локалното сканиране натоварва сървъра, а строгите правила могат да блокират нормални посетители или интеграции. С правилна настройка ефектът върху скоростта е малък.
Най-честите проблеми:
- Натоварване при сканиране. Скенерът чете всички файлове. На слаб хостинг това забавя сайта, докато трае.
- Фалшиви тревоги. Firewall-ът блокира легитимна заявка, например от платежна система.
- Заключен администратор. Строгото ограничение на входа заключва и собственика.
- Конфликт с кеша. Някои функции на плъгина се бият с кеш плъгина.
Как да ги избегнете: насрочете сканирането, пуснете първо режим „учене“, добавете своя IP в списъка с разрешени и тествайте ключовите страници. Как се мери скоростта, обясняваме в статията за Core Web Vitals.
Какви са рисковете при използване на плъгин за сигурност
Плъгинът за сигурност също е код. Той може да има своя уязвимост, да прекъсне интеграции или да създаде фалшиво чувство за сигурност. Затова се обновява като всеки друг плъгин и се настройва внимателно.
Някои настройки звучат полезно, но имат цена. Смяната на адреса за вход и ограничаването на REST API често прекъсват инструменти за отдалечено управление, мобилни приложения и интеграции. В нашата поддръжка не ги включваме по тази причина.
Най-големият риск е самоуспокоението. „Инсталирах плъгин, значи съм защитен“ не е вярно, ако плъгинът е с настройки по подразбиране, а останалите разширения не са обновявани от месеци.
Как да защитите WordPress сайта си извън плъгина за сигурност
Плъгинът е само един слой. Обновленията, силните пароли, малкото администратори, резервните копия и добрият хостинг пазят сайта повече от който и да е отделен плъгин.
Google съветва собствениците на сайтове да обновяват софтуера, да следят версиите на плъгините си, да избират добри пароли и да гледат логовете за необичайна активност (Google Search Central). Ако Google открие зловреден код, в Search Console се появява известие, а отчетът „Проблеми със сигурността“ показва засегнатите страници.
Чеклист за защита на вашия WordPress (protect your WordPress) извън плъгина:
- Обновявайте ядрото, темата и плъгините.
- Трийте неизползваните плъгини и теми, не само ги деактивирайте.
- Ограничете администраторите. Всеки потребител с минимално нужната роля. Подробно: потребителски роли в WordPress.
- Забранете редакцията на файлове от администрацията с
DISALLOW_FILE_EDITвwp-config.php. - Използвайте HTTPS на целия сайт. Подробно: SSL сертификат.
- Правете резервни копия всеки ден и ги пазете извън сайта.
- Следете Search Console за известия за сигурност.
При нас хостингът включва безплатен SSL и ежедневен бекъп. Това не отменя плъгина, но прави възстановяването бързо.
Кои плъгини помагат за откриване на зловреден софтуер и уязвимости
За зловреден код най-подходящи са Wordfence, MalCare и Sucuri. За уязвими плъгини помагат Wordfence, Solid Security и Security Ninja, които сравняват версиите ви с база с известни уязвимости.
Откриването има две части. Скенерът за зловреден код търси вече вкаран код във файловете и базата. Проверката за уязвимости търси плъгини и теми с известна дупка, преди някой да я използва. Двете се допълват.
В нашата поддръжка ползваме AIOS с безопасни настройки, а версиите на плъгините сверяваме с базата с уязвимости Wordfence Intelligence. Ако се открие уязвим плъгин, той се обновява или заменя. Плановете за поддръжка на WordPress сайт са от 39 до 179 € на месец, с отчет на всеки 2 седмици.
Често задавани въпроси за плъгина за сигурност
Кратки отговори на въпросите, които идват преди избора на плъгин.
Трябва ли ми плъгин за сигурност, ако хостингът има защита?
Да, за повечето сайтове. Защитата на хостинга пази сървъра. Плъгинът пази самия WordPress: входа, файловете на сайта и разширенията.
Кой е най-добрият безплатен плъгин за сигурност?
Wordfence има най-пълната безплатна версия: firewall, скенер, двуфакторна автентикация и защита на входа. AIOS е по-лек и също е изцяло безплатен.
Мога ли да използвам два плъгина за сигурност?
Не е добра идея. Два firewall-а и две ограничения на входа си пречат и могат да заключат администратора. Изберете един и го настройте добре.
Забавя ли Wordfence сайта?
Сканирането натоварва сървъра, докато трае. Насрочете го в часове с малко трафик. На слаб споделен хостинг помислете за по-леко решение или облачно сканиране.
Какво да направя, ако сайтът вече е хакнат?
Не трийте файлове напосоки. Направете копие на текущото състояние, сменете паролите, пуснете сканиране и проверете Search Console. Почистването е най-сигурно от специалист.
Достатъчен ли е само плъгинът?
Не. Без обновления, силни пароли и резервни копия плъгинът дава само частична защита.
Трябва ли да сменям адреса за вход?
Не е задължително. Ограничението на опитите и двуфакторната автентикация спират brute-force атаките. Смяната на адреса може да прекъсне интеграции и инструменти за управление.
Заключение: настройката е по-важна от марката
Добрият плъгин за сигурност е само толкова полезен, колкото е настроен. Firewall, ограничение на входа, двуфакторна автентикация и редовни обновления правят повече от смяната на марката.
Wordfence, Solid Security, AIOS и MalCare покриват основните нужди. Изборът зависи от хостинга ви, от това колко технически сте и дали някой следи известията. Важното е да има само един плъгин, настроен и тестван.
Нашето мнение е, че най-слабото място на един WordPress сайт рядко е липсата на плъгин за сигурност. Много по-често са плъгини, които никой не е обновявал от месеци, и администраторски акаунти на хора, които отдавна не работят по сайта. Затова започнете от обновленията и потребителите, а после изберете плъгин.
Ако планирате изработка на уебсайт или искате някой да следи сигурността на сегашния ви сайт, екипът на CreateWeb може да помогне. Пишете ни и ще прегледаме сайта ви.
