Фаервол без настройки — не защита, а лишний слой шума в WordPress

Фаервол без настройки — не защита, а лишний слой шума в WordPress

Фаервол нужен не ради галочки, а чтобы отсекать мусор до входа в сайт. Если правило одно на всё, толку мало: бот-сканер, админка, XML-RPC и формы должны фильтроваться по-разному.

Сначала закрывают базу: • запрет прямого доступа к /wp-login.php для всех, кроме нужных IP; • ограничение запросов к xmlrpc.php, если он не нужен; • блокировка частых обращений к /wp-admin/ без авторизации; • отдельные правила для странных User-Agent и пустых Referer. Такой набор режет самый частый шум.

Дальше важно не переборщить: слишком жёсткий фаервол ломает доставку писем, API, оплату и кэш. Любое новое правило проверяйте на реальном сценарии: вход в админку, отправка формы, обновление плагина, работа cron. Если что-то сыпется — ослабляйте точечно, а не отключайте защиту целиком 🔒

Хорошая схема простая: сначала логирование и наблюдение, потом блокировка, потом только ужесточение. Тогда фаервол реально помогает WordPress, а не создаёт новые проблемы.