Проверка безопасности WordPress

1. Введите адрес сайта. Достаточно example.com; путь после домена игнорируется, потому что проверяются только главная страница и несколько стандартных адресов WordPress.
2. Поставьте галочку: сайт должен быть вашим, или у вас должно быть письменное разрешение его проверять.
3. Нажмите Проверить. Это займёт несколько секунд, сканер отправит не больше 32 запросов, все обычные GET или HEAD.
4. Сначала исправьте красные строки. В каждой написано, что нашлось и что поменять, и есть ссылка на часть чек-листа, где объясняется зачем.
5. Потом пройдитесь по списку Чего сканер не видит: бэкапы, пароли, обновления. В нём и есть основная работа.

Большинство взломов WordPress — это не хитрость. Бот берёт список известных слабых мест и пробует его на тысячах сайтов. Этот инструмент задаёт те же вопросы, что и бот, и вы видите сайт так же, как он: видны ли ваши логины по адресу /wp-json/wp/v2/users, отвечает ли xmlrpc.php, сообщает ли страница версию WordPress и есть ли эта версия (или плагины и тема, которые грузит страница) в списках известных уязвимостей, не лежат ли в корне сайта бэкапы или .env, можно ли листать папку загрузок, работает ли сайт по HTTPS с правильным сертификатом, есть ли базовые заголовки безопасности.

Он пассивный намеренно. Он читает только то, что сайт показывает любому посетителю: никаких входов в админку, подбора паролей, эксплойтов, POST на XML-RPC, никакого скачивания wp-config.php или бэкапов: про забытые файлы он спрашивает запросом HEAD, который возвращает только заголовки. Сайт, который прошёл проверку, не «защищён». У него просто нет очевидно открытых на улицу дверей.

Почему здесь нужен сервер, хотя остальным инструментам он не нужен: браузеру нельзя читать заголовки ответов чужого сайта, а заголовки — половина проверок. Поэтому адрес уходит небольшому сканеру на этом сайте. Он отказывается ходить на частные и внутренние адреса, заново проверяет каждый редирект, прежде чем по нему пойти, останавливает проверку после 32 запросов или 30 секунд и разрешает каждому посетителю всего несколько проверок в минуту, одному сайту — несколько проверок за десять минут, а всем вместе — небольшое число в день. Повторный запрос про тот же сайт в течение пяти минут показывает тот же отчёт, а не сканирует снова. Каждая проверка оставляет одну строку в журнале (время, ваш IP-адрес, сайт и оценка), чтобы можно было заметить злоупотребления; она лежит вместе с остальными журналами сервера, которые со временем удаляются. Для строк про уязвимости он читает публичный readme.txt каждого плагина, чтобы узнать установленную версию, и спрашивает бесплатную базу WPVulnerability про этот плагин и версию; ваш адрес в этот вопрос не входит.

Оценка начинается со 100 и теряет баллы за находки: 25 за публичные логины или доступный для скачивания бэкап, .env или копию конфига, до 20 за каждый уязвимый плагин и 15 за уязвимое ядро, по 10 за XML-RPC, открытую для просмотра папку загрузок, видимую версию, отсутствие HTTPS или плохой сертификат и немного за недостающие заголовки и болтливые баннеры сервера. От 85 — хорошая база, от 65 до 84 — стоит заняться, ниже — сначала закройте открытые двери. Объяснение каждой строки и всего, чего сканер не видит, — в чек-листе по безопасности WordPress.