Фаервол для WordPress не спасает сам по себе: 5 настроек, которые реально режут атаки

Фаервол — это не «включил и забыл». Если правила слишком мягкие, он пропускает брутфорс и мусорный трафик. Если слишком жёсткие — ломает админку, AJAX и отправку форм. Поэтому настройка должна начинаться с разделения: публичная часть, wp-admin, wp-login.php и служебные запросы.

Проверьте базу:
— закройте лишние методы, оставив только нужные для сайта;
— ограничьте доступ к wp-login.php по IP или через дополнительную защиту;
— включите фильтр частых запросов к одному URL;
— отдельно разрешите AJAX, cron и webhook-обращения, если они реально используются.

Дальше смотрите на логи. Если фаервол блокирует одни и те же IP, это нормально; если в блоках часто появляются поисковые боты или ваши собственные сервисы — правило настроено криво. Ещё одна частая ошибка: полагаться только на WAF на уровне плагина и не закрывать доступ к серверу, где это возможно 🔒

Сильная схема проста: минимальный набор разрешений, отдельные исключения под рабочие сценарии и регулярная проверка блокировок. Тогда фаервол защищает сайт, а не создаёт ложное чувство безопасности.