Налаштування плагіна Wordfence для безпеки WordPress
Wordfence — найпопулярніший плагін безпеки WordPress. Включає Web Application Firewall (WAF), сканер шкідливого коду, блокування за IP, двофакторну автентифікацію, моніторинг трафіку в реальному часі.
Базове налаштування після встановлення
Firewall → Manage WAF:
- Optimization: перемкнути в режим Extended Protection (потребує додавання коду в
auto_prepend_filePHP) - Web Application Firewall Status: Learning Mode → Protected (після 7 днів навчання)
Firewall → Brute Force Protection:
- Lock out after X login failures: 5
- Count failures over X minutes: 5
- Lock out for X minutes: 60
- Immediately lock out invalid usernames: ✓
- Immediately lock out invalid email: ✓
Scan: Запустити первинне сканування. Wordfence порівнює файли ядра, тем і плагінів з репозиторієм WordPress — виявляє змінені та додані файли.
Блокування за геолокацією (Wordfence Premium)
В безплатній версії геоблокування недоступне. В Premium: Firewall → Country Blocking — заблокувати країни, звідки ніколи не приходять легітимні користувачі.
Rate Limiting
Throttle requests from humans: 240/minute (DEFAULT)
Throttle requests from crawlers: 120/minute
Throttle 404 errors from humans: 60/minute
Throttle 404 errors from crawlers: 20/minute
How long is an IP address blocked: 5 minutes
Сповіщення
Login Security → налаштувати email-сповіщення:
- Alert when an administrator signs in: ✓ (тільки для малих сайтів)
- Alert on critical problems: ✓
- Alert when someone is locked out from login: ✓
Не включайте всі сповіщення — будете отримувати сотні листів і перестанете звертати увагу.
Двофакторна автентифікація
Login Security → Two-Factor Authentication:
- Activate 2FA for administrators: ✓
- Require 2FA for all admins: ✓
Підтримує Google Authenticator, Authy, будь-яке TOTP-додаток.
Винятки з WAF
WAF іноді помилково блокує легітимні запити — наприклад, від платіжних систем або REST API клієнтів. Додати винятки: Firewall → Allowlisted URLs.
Важливі додаткові заходи
Wordfence — не заміна, а доповнення до базової безпеки:
// wp-config.php — обмеження
define('DISALLOW_FILE_EDIT', true); // вимкнути редактор файлів
define('DISALLOW_FILE_MODS', true); // вимкнути встановлення плагінів/тем
# Nginx — закрити xmlrpc.php якщо не використовується
location = /xmlrpc.php { deny all; }
# Закрити wp-login.php для всіх крім своїх IP
location = /wp-login.php {
allow 1.2.3.4; # ваш IP
deny all;
}
Терміни
Встановлення та налаштування Wordfence з первинним сканування — 2–3 години.