Раз уж эта тема все равно скатилась в обсуждения меня, не буду засорять чужую тему своими постами и перенсу спор с  LikeAVirgin  сюда. 
Работа движется. Что уже есть

Работа движется. Что уже есть

1.Простая админка для создания статьи в ручном режиме плюс режим генерации 

Как настроить безопасность блога на WordPress: практическое руководство для начинающих

Запустить блог на WordPress несложно, но одной установки системы недостаточно. Даже небольшой сайт может стать целью автоматических атак: злоумышленники подбирают пароли, ищут устаревшие плагины, загружают вредоносные файлы и пытаются получить доступ к панели управления.

Проще говоря, боты круглосуточно сканируют сайты в поисках известных уязвимостей. Они могут многократно вводить разные пароли, проверять старые версии плагинов и тем, оставлять вредоносные ссылки в комментариях или перенаправлять посетителей на сторонние страницы. В результате владелец может потерять доступ к блогу, данные пользователей и публикации, а сайт начнёт рассылать спам или заражать устройства посетителей. Такие автоматические попытки происходят регулярно, иногда ежедневно, хотя их частота зависит от популярности сайта, его тематики и настроек хостинга. Сам факт атаки ещё не означает взлом, но отсутствие обновлений и базовой защиты повышает риск.

Хорошая новость в том, что для базовой защиты не нужны сложные технические решения. Достаточно выработать несколько полезных привычек и настроить основные параметры. В этой статье разберём, как защитить блог шаг за шагом: от учётных записей и обновлений до резервного копирования и контроля активности.

1. Начните с надёжного доступа к сайту

Безопасность блога начинается с учётных записей. Если злоумышленник узнает пароль администратора, другие меры защиты могут оказаться бесполезными.

Используйте сложные и уникальные пароли

Пароль администратора не должен совпадать с паролями от электронной почты, социальных сетей или хостинга. Используйте длинную случайную комбинацию слов, цифр и символов. Уникальный пароль должен быть непохож на короткие варианты вроде blog2025 и не содержать легко угадываемых данных.

Хранить пароли лучше в специальном менеджере паролей. Он поможет создавать надёжные комбинации и избавит от необходимости запоминать их вручную.

Не используйте имя admin для основной учётной записи. Если такой пользователь уже существует, создайте новую учётную запись администратора с уникальным именем, убедитесь, что она работает, а затем удалите старую. Перед удалением WordPress предложит передать публикации новому автору. Выберите этот вариант, чтобы сохранить материалы.

Включите двухфакторную аутентификацию

Двухфакторная аутентификация добавляет ко входу второй этап проверки. Помимо пароля, потребуется ввести одноразовый код из приложения для подтверждения входа или другого защищённого сервиса.

Даже если пароль украдут, без второго фактора получить доступ к панели управления будет значительно сложнее. Включите эту функцию как минимум для администратора. Если блог ведут несколько человек, настройте её для всех пользователей с расширенными правами.

Ограничьте количество администраторов

Администратор может менять настройки, устанавливать плагины и управлять учётными записями. Поэтому такие права следует выдавать только тем, кому они действительно необходимы.

Для авторов статей обычно достаточно роли редактора или автора. Чем меньше учётных записей с максимальными полномочиями, тем ниже риск серьёзной ошибки или взлома.

2. Регулярно обновляйте WordPress, темы и плагины

Устаревшее программное обеспечение — одна из распространённых причин взлома сайтов. Разработчики исправляют обнаруженные уязвимости, поэтому не откладывайте обновления надолго.

Что нужно обновлять

Проверяйте четыре компонента:

• ядро WordPress;
• установленные темы;
• плагины;
• программное обеспечение на хостинге, если оно нуждается в обновлении.

Откройте раздел обновлений в панели управления WordPress и проверьте, что все компоненты имеют актуальные версии. Перед крупным обновлением желательно сделать резервную копию.

Автоматические обновления удобны для небольших исправлений, но всё равно периодически проверяйте сайт вручную. Иногда новая версия плагина конфликтует с темой или другим расширением.

Удаляйте ненужные плагины и темы

Отключённый плагин не всегда полностью безопасен: его файлы остаются на сервере и могут содержать уязвимости. Если расширение больше не используется, удалите его.

То же относится к темам. Оставьте активную тему и одну стандартную тему WordPress на случай сбоя, а остальные удалите. Устанавливайте плагины только из надёжных источников и избегайте «взломанных» версий платных расширений: в них могут содержаться вредоносные программы.

Перед установкой проверьте дату последнего обновления плагина, количество установок, отзывы и совместимость с вашей версией WordPress. Если расширение давно не поддерживается, найдите ему современную альтернативу.

3. Защитите соединение, сервер и формы на сайте

Используйте HTTPS

HTTPS шифрует соединение между браузером посетителя и сайтом. Это особенно важно, если в блоге есть форма входа, комментарии, подписка или другие поля для ввода данных.

Многие современные хостинги бесплатно предоставляют сертификат для защищённого соединения. После его подключения проверьте, что сайт открывается по адресу, начинающемуся с https:// , а браузер не предупреждает о небезопасном соединении.

Если сайт по-прежнему доступен по обычному HTTP, настройте перенаправление на HTTPS через панель хостинга или обратитесь в службу поддержки. На WordPress.com такое перенаправление обычно выполняется автоматически, а на самостоятельном хостинге настройки могут отличаться.

Ограничьте количество попыток входа

Автоматические программы могут многократно пытаться подобрать пароль к странице входа. Чтобы снизить риск, используйте плагин, который ограничивает число неудачных попыток и временно блокирует подозрительные IP-адреса.

Дополнительно можно включить:

• защиту от автоматических запросов;
• подтверждение входа одноразовым кодом;
• уведомления о новых входах;
• блокировку подозрительных IP-адресов.

Не устанавливайте сразу несколько комплексных плагинов безопасности с одинаковыми функциями. Их защитные механизмы могут дублироваться и конфликтовать. Обычно достаточно выбрать один основной плагин, а остальные средства защиты настроить отдельно при необходимости.

Популярные плагины безопасности для WordPress

Ниже приведены распространённые решения, которые можно найти в официальном каталоге WordPress:

• Wordfence Security — комплексный плагин с веб-фаерволом, сканированием файлов на вредоносный код, блокировкой подозрительных IP-адресов, защитой входа и двухфакторной аутентификацией.
• Sucuri Security — инструмент для контроля целостности файлов WordPress, аудита действий пользователей и проверки сайта на признаки взлома. Сетевой веб-фаервол Sucuri предоставляется как отдельный сервис.
• Solid Security — набор средств для защиты учётных записей и входа, включая двухфакторную аутентификацию, ограничение попыток авторизации, контроль уязвимостей и рекомендации по настройке безопасности.
• All-In-One WP Security & Firewall — плагин с функциями защиты авторизации, настройки правил фаервола, блокировки IP-адресов, защиты базы данных, борьбы со спамом и скрытия некоторых служебных сведений WordPress.
• Defender Security — решение со сканированием сайта, защитой от перебора паролей, двухфакторной аутентификацией, блокировкой IP-адресов и журналированием событий безопасности.

Выбирайте один основной комплексный плагин, ориентируясь на нужные функции, совместимость с вашей версией WordPress и удобство настройки. Перед установкой проверьте информацию о разработчике, дату последнего обновления и отзывы пользователей.

Не меняйте системные файлы WordPress, если не понимаете последствий. Ошибка в настройках сервера может сделать сайт недоступным. Начинающим владельцам безопаснее пользоваться средствами хостинга или проверенными плагинами безопасности.

Защитите форму комментариев

Комментарии могут стать каналом для спама и вредоносных ссылок. Если вы не хотите публиковать сообщения новых пользователей автоматически, включите предварительную модерацию в настройках WordPress.

Также можно разрешить комментировать только зарегистрированным пользователям или установить фильтр спама. Не публикуйте активные ссылки из комментариев, предварительно не проверив их.

4. Настройте резервное копирование и контроль

Даже хорошая защита не гарантирует абсолютной безопасности. Поэтому заранее подготовьте способ восстановления сайта.

Делайте резервные копии

Копировать нужно и файлы сайта, и базу данных. В базе хранятся записи, страницы, настройки и комментарии, а в файлах — изображения, темы и плагины.

Для небольшого блога подойдёт такая схема:

• полная копия раз в неделю;
• дополнительная копия перед обновлением;
• хранение нескольких последних версий;
• размещение копий отдельно от сайта.

Если резервная копия хранится только на том же сервере, при серьёзном сбое можно потерять и сайт, и её. Сохраняйте копии в облачном хранилище, на компьютере или в отдельном хранилище хостинга.

Не забывайте проверять, можно ли восстановить сайт из копии. Резервная копия, которую невозможно развернуть, не обеспечит надёжную защиту.

Включите уведомления и сканирование

Плагины безопасности и инструменты хостинга могут сообщать о подозрительных изменениях, появлении новых пользователей и попытках входа. Настройте получение таких уведомлений администратором.

Периодически проверяйте файлы сайта на вредоносный код. Если сайт неожиданно перенаправляет посетителей, появились неизвестные пользователи, новые плагины или рекламные блоки, начните проверку как можно скорее.

Если вы подозреваете взлом:

1. временно ограничьте доступ к панели управления, если это возможно;
2. смените пароли от учётных записей администратора, электронной почты и хостинга;
3. восстановите сайт из заведомо чистой копии;
4. обновите WordPress и все его компоненты;
5. проверьте список пользователей, плагины и файлы;
6. обратитесь в службу поддержки хостинга.

Заключение

Безопасность блога на WordPress — это не одна кнопка и не один специальный плагин. Она складывается из регулярных действий: использования уникальных паролей, включения двухфакторной аутентификации, своевременного обновления системы, настройки HTTPS, осторожного выбора расширений и создания резервных копий.

Для начала выполните основные шаги: удалите ненужные плагины, обновите систему, включите двухфакторную аутентификацию, настройте резервное копирование и проверьте защищённое соединение. Затем ограничьте количество попыток входа, настройте защиту комментариев и включите уведомления о подозрительной активности.

Выберите один подходящий комплексный плагин безопасности и регулярно проверяйте его уведомления. Такой последовательный подход поможет снизить риски и сохранить контроль над блогом.