Аудит безопасности сайта на WordPress и WooCommerce

WordPress сам по себе обновляется исправно. Ломают его через плагины, темы и пользователей с лишними правами.

На типичном сайте WordPress стоит двадцать–сорок плагинов, и каждый написан своей командой. Часть давно заброшена авторами, часть куплена «со скидкой» на сторонних площадках и содержит закладку, а тему последний раз обновлял фрилансер, который делал сайт. Ядро при этом может быть самой свежей версии.

Аудит WordPress начинается с инвентаризации: какие плагины и темы стоят, какие из них активны, у каких есть опубликованные уязвимости и какие выкачаны не из официального каталога. Затем проверяем пользователей, права, точки входа и то, что видно снаружи без пароля.

Если на сайте работает WooCommerce, отдельно смотрим заказы, купоны и обработку оплаты: здесь ошибка стоит уже не репутации, а денег.

Типовой проект · пакет «Спутник»

49 700 ₽

1 неделя

Инвентаризация расширений
Поиск закладок
Пользователи и роли
Точки входа

Изменить состав

Как обычно ломают сайты на WordPress

Купленная «со скидкой» тема

Взломанные копии платных тем и плагинов часто содержат код, который через месяц начинает показывать чужую рекламу.

Забытый администратор

Учётная запись разработчика с простым паролем осталась после запуска и подбирается роботами через xmlrpc.

Плагин формы без обновлений

Старый загрузчик файлов позволяет положить на сервер исполняемый скрипт под видом картинки.

Редактор файлов в админке

Любой, кто получил доступ администратора, правит код темы прямо из браузера.

Калькулятор

Аудит сайта на WordPress — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 9 900 ₽

+ 19 900 ₽

+ 9 900 ₽

+ 7 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Спутник»29 900 ₽
Полная инвентаризация плагинов9 900 ₽
План усиления под ваш сайт9 900 ₽

Стоимость работ

0 ₽

Срок: 1 неделя

Счёт сейчас: 49 700 ₽ — 100%, сумма до 50 000 ₽

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Что можно сделать до аудита самостоятельно

Эти шаги не заменят проверку, но закроют самые частые входы уже сегодня.

Удалить неактивные плагины и темы, а не только отключить их
Посмотреть список пользователей с ролью «Администратор» и убрать лишних
Включить двухфакторный вход для всех администраторов
Убедиться, что резервная копия хранится не на том же сервере
Обновить PHP до версии, которую поддерживает хостинг
Сменить префикс и пароль доступа к базе, если их не меняли с установки

Возможности

Что входит в проверку WordPress

Инвентаризация расширений

Все плагины и темы с версиями, источником и статусом поддержки у автора.

Поиск закладок

Проверяем файлы на вставки, которых нет в официальных версиях плагинов.

Пользователи и роли

Лишние администраторы, старые учётные записи студий, слабые пароли.

Точки входа

wp-login, xmlrpc, REST API: подбор паролей, перечисление пользователей, лишние данные.

Конфигурация

Права на файлы, редактор тем в админке, отладка, доступность wp-config и логов.

Вопросы и ответы

Частые вопросы владельцев WordPress-сайтов

Хватит ли плагина безопасности?

Плагин закрывает подбор пароля и часть известных атак. Он не заметит закладку в купленной теме и не исправит права пользователей. Аудит показывает, что именно плагину стоит поручить, а что исправить вручную.

Что делать с плагином, который давно не обновлялся?

Найдём замену с поддержкой или перенесём нужную функцию в тему. В отчёте для каждого такого плагина указываем вариант замены.

Сайт собран на конструкторе Elementor — это важно?

Важно, какие дополнения к нему стоят. Пакеты виджетов сторонних авторов — частый источник уязвимостей, их проверяем первыми.

Не упадёт ли сайт после обновлений?

Обновления и замену плагинов делаем сначала на копии сайта. На рабочий сайт переносим только проверенный набор.

Хостинг сам сканирует сайт на вирусы. Этого мало?

Антивирус хостинга ищет уже известный вредоносный код. Он не скажет, что форма загрузки пропускает скрипты, а у бывшего маркетолога остался доступ администратора. Это разные задачи, и аудит закрывает вторую.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →