Как закрыть доступ к wp-login.php и защитить вход в админку WordPress

Если на сайте постоянно идут брутфорс-атаки, первый шаг — не пытаться «перебить» их сложным паролем, а убрать саму удобную точку входа. Файл wp-login.php в WordPress доступен по умолчанию, и именно его чаще всего сканируют боты. Полностью отключить вход в админку нельзя: WordPress должен где-то принимать авторизацию. Но можно сделать так, чтобы стандартный адрес перестал быть публичной мишенью, а доступ к панели был только у тех, кому он действительно нужен.

Ниже — рабочие способы, которые реально применяют на проектах: смена адреса входа, ограничение по IP, базовые меры на уровне сервера и дополнительные настройки, которые уменьшают число мусорных попыток входа.

Что именно нужно закрыть и что закрывать не стоит

Обычно под фразой «закрыть wp-login.php» имеют в виду одно из трёх действий:

• скрыть стандартный адрес входа и заменить его на другой;
• ограничить доступ к странице входа по IP или по дополнительной проверке;
• оставить вход доступным, но сделать перебор паролей бесполезным и дорогим для атакующего.

Полностью блокировать wp-login.php без замены адреса нельзя, если вам нужен обычный вход в админку. Иначе вы сами потеряете доступ. Поэтому сначала определитесь с моделью: нужен ли вход только с определённых адресов, или достаточно просто убрать публичный стандартный URL и снизить шум от ботов.

Самый практичный вариант: сменить адрес входа

Для большинства сайтов это лучший старт. Смысл простой: вместо стандартного /wp-login.php или /wp-admin/ вы используете другой URL, который не светится в типовых списках для брутфорса. Это не «магическая защита», но она резко сокращает количество автоматических запросов.

На практике это обычно делают плагином, который умеет менять URL входа. Важно понимать ограничение: после смены адреса старый путь должен либо отдавать 404, либо перенаправлять на безопасную страницу, но не открывать форму входа.

Что проверить после настройки:

• новый адрес открывает форму авторизации;
• /wp-login.php больше не показывает форму входа;
• /wp-admin/ без авторизации не ведёт к привычной форме логина по старому адресу;
• вы сохранили новый URL в надёжном месте, а не только в памяти.

Если на сайте несколько администраторов, заранее согласуйте новый адрес. Иначе типичная проблема выглядит так: один человек поменял путь, второй не может войти и начинает искать «сломанный WordPress».

Ограничение доступа по IP: когда это действительно уместно

Если вы заходите в админку только с одного офиса, домашнего подключения или через VPN с фиксированным IP, можно закрыть доступ к странице входа по IP-адресу. Это уже не просто маскировка, а реальное ограничение поверхности атаки.

Такой способ особенно полезен для:

• корпоративных сайтов с постоянной командой;
• проектов, где админка нужна только владельцу;
• сайтов, где доступ к панели идёт через VPN или белый список адресов.

Но у метода есть жёсткое ограничение: если у вас динамический IP, мобильный интернет или вы часто работаете из разных мест, вы сами будете регулярно терять доступ. В таком случае лучше использовать смену адреса входа и дополнительную защиту, а не жёсткую блокировку по IP.

На уровне веб-сервера это обычно делают через правила Apache или Nginx. Перед изменениями обязательно сохраните текущую конфигурацию: ошибка в правиле может закрыть сайт целиком или заблокировать не только вход, но и нужные служебные запросы.

Пример для Apache через .htaccess

Если сайт работает на Apache и хостинг разрешает использовать .htaccess, можно ограничить доступ к wp-login.php по IP. Перед применением замените 1.2.3.4 на свой адрес. Если у вас несколько разрешённых IP, добавьте их отдельно.

<Files wp-login.php>
    Require ip 1.2.3.4
</Files>

На старых конфигурациях Apache 2.2 встречается синтаксис через Order и Allow from, но на современных серверах чаще используется именно Require ip. Если не уверены в версии Apache, лучше уточнить у хостинга, чем ставить правило наугад.

Пример для Nginx

На Nginx ограничение обычно добавляют в конфигурацию сайта. Для wp-login.php можно разрешить только свой IP, а всем остальным отдавать 403.

location = /wp-login.php {
    allow 1.2.3.4;
    deny all;
}

После изменения конфигурации Nginx нужно проверить синтаксис и перезагрузить сервис. На обычном VPS это делается администратором сервера; на shared-хостинге такой доступ часто недоступен, и тогда проще использовать плагин или защиту на уровне панели хостинга.

Если IP меняется: как не заблокировать себя

Частая ошибка — закрыть вход по IP, а потом подключаться из другого места. Если у вас нет стабильного адреса, безопаснее использовать один из двух сценариев:

• сменить адрес входа и дополнительно включить ограничение попыток входа;
• закрыть админку по IP только через VPN с постоянным адресом.

Если вы работаете с несколькими людьми, заранее проверьте, у всех ли есть доступ через один и тот же VPN или через корпоративную сеть. Иначе защита будет мешать не атакующим, а вашей же команде.

Дополнительные меры, которые реально уменьшают брутфорс

Смена адреса входа и IP-фильтр хорошо работают вместе с базовыми мерами, которые не требуют сложной настройки.

Ограничение попыток входа

Это не закрывает wp-login.php, но делает перебор паролей бессмысленным. После нескольких неудачных попыток IP временно блокируется. Такой подход полезен даже тогда, когда адрес входа уже скрыт: часть атак всё равно может попасть на новый URL, если он где-то утёк или был случайно опубликован.

Двухфакторная аутентификация

Если у вас есть возможность включить 2FA для администраторов, это заметно повышает устойчивость к угону учётной записи. Даже если пароль утечёт, одной формы входа будет недостаточно. Для сайтов с несколькими администраторами это особенно полезно.

Сильные пароли и отдельные учётные записи

Не используйте один и тот же пароль для нескольких сайтов и не работайте под общим аккаунтом admin. Для каждого человека должен быть свой пользователь с нужной ролью. Это упрощает аудит и позволяет быстро отключить доступ конкретному сотруднику без смены всех паролей.

Защита на уровне хостинга или CDN

Некоторые хостинги и CDN позволяют включить дополнительную проверку для админки: basic auth, WAF-правила, ограничение по странам или по частоте запросов. Это не замена WordPress-настройкам, а ещё один слой. Если у вас уже есть CDN, имеет смысл проверить, можно ли отдельно защитить путь входа.

Как проверить, что защита работает

После настройки не ограничивайтесь тем, что «страница вроде открывается». Проверьте сценарии, которые реально используют боты и люди:

• откройте старый адрес /wp-login.php в обычном браузере без авторизации;
• попробуйте войти с разрешённого IP;
• если включали IP-фильтр, проверьте доступ с другого подключения, например через мобильный интернет;
• убедитесь, что админка не ломает вход для редакторов, если они тоже должны работать с сайтом;
• посмотрите логи сервера или отчёты безопасности: число запросов к старому адресу должно снизиться или уйти в 403/404.

Если после смены адреса входа старый URL всё ещё открывает форму логина, значит правило настроено не до конца или его перебивает другое перенаправление. В таком случае сначала найдите, какой именно слой отвечает за доступ: плагин, .htaccess, конфигурация Nginx или правило на стороне хостинга.

Что выбрать в реальной ситуации

Если нужен один практический ответ без лишней теории: для большинства сайтов достаточно сменить адрес входа, включить ограничение попыток и добавить двухфакторную аутентификацию для администраторов. IP-блокировку стоит использовать там, где доступ к админке действительно идёт из предсказуемой сети. Именно так защита остаётся полезной, а не превращается в источник постоянных блокировок и срочных восстановлений доступа.