WP defense

CMS и защита – прямо таки очень такая себе тема. Рассмотрим, что можно сделать:

1. Если для управления базой данных юзаем phpmyadmin, начнем с того, что просто спрячем его
   mcedit /etc/phpmyadmin/apache.conf
Alias /’дикое страшное и длиннное’ /usr/share/phpmyadmin
   Теперь он будет доступен через domainame/’дикое страшное и длиннное’
2. Ставим fail2ban. После установки закидываем файлики из папки плагина filters.d в /etc/fail2ban/filter.d. Редактируем/добавляем jail
   mcedit /etc/fail2ban/jail.conf
[wordpress-hard]
enabled = true
filter = wordpress-hard
logpath = /var/log/auth.log
maxretry = 3
port = http,https
[wordpress-soft]
enabled = true
filter = wordpress-soft
logpath = /var/log/auth.log
maxretry = 6
port = http,https
   И не забываем пустую строку в конце.
   service fail2ban restart
   Проверяем с левого IP, что работает.
3. Очень мне не понравился прикол с wp-json. Создаем папку в корне wp-json. Закидываем тут .htaccess
Order deny,allow
deny from all
Allow from 127.0.0.1
4. Закрываем админку. Закидываем в wp-admin .htaccess
Order deny,allow
deny from all
Allow from YOUR IP
5. Если есть чем отсечь левые запросы, отсекаем всякую ересь типо domainame/phpmyadmin
6. Активно молимся