Защита WordPress: меняем имя администратора и прячем wp-login.php, wp-admin

На днях хостер заблокировал мой IP. После вопроса в поддержку был получен ответ такого типа: Идет мощная DDOS атака, применяется brute force, к админкам на WordPress и Джумле подбираются пароли.

Естественно я рад, что хостер, ради защиты моего блога заблокировал подозрительную активность, но я ведь админ и мне нужно пользоваться блогом, писать сюда в конце концов :) Поэтому решил лишний раз себя обезопасить и свести на нет блокировку моего IP на время атак и на будущее. Что я сделал?

Первый шаг: смена админа

Самый банальный способ, но часто именно его никто не выполняет для усиления безопасности. Так было и со мной, но сейчас я сменил имя админа блога и еще одно слабое звено исключено. Как это сделать?

Логинемся под именем admin, как это делали всегда. Создаем нового пользователя с правами администратора (Пользователи ? Добавить нового):

• Имя пользователя (обязательно) — укажите тут то имя, с помощью которого вы будите логинется. Был admin, а станет, например FedyaPupkin2014 (не используйте только ваше реальное имя, или закодируйте его транслитом и дополнительными символами)
• E-mail (обязательно) — укажите реальную работающую почту, например FedyaPupkin2014@gmail.com
• Имя — например Fedya
• Фамилия — например Pupkin
• Сайт — можно не указывать
• Пароль (обязательно) — пароль указывайте не менее 15 символов! Не нужно лениться, это безопасность вашего сайта. Даже если на нем нет ничего важного и это просто сайт визитка, лишний геморрой вам не нужен, проще нажать пару дополнительных клавиш, чем портить себе нервы. Если индикатор сложности пароля зеленый — то все у вас отлично.
• Repeat Password (обязательно) — повторите пароль
• Роль — обязательно Администратор.

Выходим из админки и можем навсегда забыть о логине admin, теперь мы будем заходить как новый пользователь FedyaPupkin2014. Но для начала, нужно предпринять еще несколько шагов для безопасности. Логинемся как FedyaPupkin2014 и заходим в раздел Пользователи. Удаляем учетную запись admin и привязываем все записи к новому пользователю. Если вам жалко или по каким-то другим причинам не хочется удалять пользователя admin (а это лучшее решение), то можно сделать следующее. Понижаем права пользователя admin до подписчика:

Теперь, даже если пользователя admin взломают, то никаких возможностей для управления блогом у злоумышленников не будет.

У нового пользователя нужно скрыть логин ником. Для этого заходим в настройки пользователя FedyaPupkin2014. В поле Ник (обязательно) вписываем admin. В выпадающем списке Отображать как выбираем admin. Теперь, вы снова отображаетесь как admin, но при этом ваш логин совсем другой, а именно FedyaPupkin2014.

Шаг второй: установка и настройка плагина Lockdown WP Admin

Установите плагин Lockdown WP Admin и активируйте его. Я бы советовал это делать прямо из админки:

Теперь его нужно настроить и займет это целых 10 секунд :)

Прячем wp-login.php и wp-admin

При атаке brute force пароли подбираются к логину admin на странице входа wp-login.php и wp-admin. Поэтому важно не только сменить логин (а его могут узнать, если взламывать вручную например, но нужно сильно постараться), но и страницу с авторизацией. По умолчанию это wp-login.php, и даже если вы вручную измените эту страницу хитрыми способами и запретите на нее вход через .htaccess, то все равно новую страницу можно узнать перейдя на wp-admin. От автоматических и тупых ботов он может и защитит, а от ручных или умных — вряд ли. Тут нам и приходит на помощь плагин Lockdown WP Admin.

Заходим в раздел Lockdown WP и ставим галочку возле Yes, please hide WP Admin from the user when they aren’t logged in. Теперь страничка wp-admin доступна только тем, кто залогинелся, для других будет вылазить ошибка 404.

Скрыть/изменить wp-login.php поможет окошко Your current login URL is. Сюда вбейте страничку на которой вы хотите авторизовываться. Это должна быть совсем нелогичная, вымышленная страничка, известная только вам. Пример:

Вот и все. На практике, на это уйдет не более 15 минут. Теперь вы можете не переживать не только за автоматические атаки на ваш сайт, но и за ручной взлом. Все эти шаги я сделал на моем блоге, можете увидеть работу в действии.