Фаервол в WordPress ломают не “в лоб”, а через тихие дыры и ошибки настройки

Фаервол в WordPress ломают не “в лоб”, а через тихие дыры и ошибки настройки

Фаервол полезен только тогда, когда он не просто включён, а правильно настроен. Иначе он либо пропускает лишнее, либо мешает нормальной работе сайта.

Базовый набор правил:
• закрой доступ к wp-login.php и xmlrpc.php для всех, кроме нужных IP;
• ограничь частоту запросов к login, поиску и формам обратной связи;
• заблокируй подозрительные User-Agent и сканеры, но не режь поисковых роботов по списку подряд;
• отдельно проверь POST-запросы: их часто используют для брутфорса и спама.

Не делай фаервол “слишком умным” без логики. Если правило написано без исключений, оно может сломать кабинет, вебхуки, платёжные уведомления и интеграции. После каждой правки смотри логи: где блокировка сработала, а где сайт начал терять легитимные запросы.

Хорошая схема такая: сначала защита от грубого мусора, потом ограничение скорости, потом точечные исключения. Так фаервол снижает шум и не превращается в источник инцидентов.

Проверь правила на тестовом сценарии: вход в админку, отправка формы, восстановление пароля, API-запросы. Если один из этих шагов ломается — настройка ещё сырая.