Уже несколько дней к нам обращаются пользователи шаблона ab-inspiration с просьбой помочь решить вопрос по перегрузке сервера. Хостинги блокируют блоги из-за чрезмерной нагрузки на сервер.
Если у Ваш блог размещен на хостинге Timeweb.ru или Sweb.ru Вы можете получить вот такое письмо с заголовком: «Превышение нагрузки аккаунтом»
Все дело в том, что последнее время проходит крупномасштабная атака на сайты основанные на CMS WordPress. Атакам подверглись сайты всех хостинг-компаний по всему миру. Целью атаки является подбор пароля для входа в админку WordPress.
Необходимо предпринять срочные меры по защите блога.
1. Поменяйте пароль на более сложный. Используйте 12-14 знаков. Также включайте в пароль специальный знаки такие как $ % ^ & )
2. Переименуйте логин с admin на что-то более сложное.
3. Вместо пункта 1 и 2 можно создать нового пользователя с правами администратора со сложным логином и паролем. Затем удалить пользователя admin.
4. Измените адрес входа в админку. По умолчанию вход в админку происходит по адресу wp-login.php. Этот файл нужно переименовать на любой другой. Например vhod-v-admin.php. После того как Вы переименуете данный файл, необходимо ввести изменения в файл wp-include/general-template.php
5. Вместо пункта 4 можно В файле .htaccess прописать запрет входа в админку всех IP адресов, кроме Вашего. Вот такой код вставить в файл .htaccess
<Files wp-login.php>
order deny,allow
deny from all
allow from XXX.XXXX.XXXX
</files>
<Files wp-admin>
order deny,allow
deny from all
allow from XXX.XXXX.XXXX
</files>
Вместо XXX.XXXX.XXXX вставьте свой IP адрес. Узнать IP компьютера можно по адресу: http://2ip.ru/
6. Удалить виджет «Управление»
Это первые, необходимые меры по защите блога. Также есть ряд мер, которые необходимо сделать, но в данные момент они не такие важные как эти 6.
Если Вы не знаете как сделать все эти шаги, Вы можете обратиться в тех. поддержку шаблона ab-inspiration по скайпу mlmproekt.ru. Услуга по установке мер защиты блога платная.
Также можно воспользоваться плагином Better WP Security. Данный плагины просканируют Ваш блог на слабые места, и с его помощью можно будет внести соответствующие изменения для защиты блога.
Создайте сайт с нами — легко и быстро!
С вопросами и за помощью обращайтесь в нашу службу поддержки 24/7
Нужен качественный хостинг для сайта на WordPress?
Рекомендую, проверенные годами, хостинг Timeweb:
а также, хостинг Beget:
Средняя оценка: 5 из 5
Анфиса, добрый вечер, у нас с Вами одно время
Очень своевременное заявление по мерам в целях безопасности — да, я получала предупредительные письма с Timeweb.ru
Ничего, я уже думала про изменение Логина и Пароля, уделю этому вопросу Особое Внимание!
Желаю Счастливых Выходных, Всего-Всего Всем Самого Наилучшего!
Анфиса! Большое спасибо за предупреждение! Обязательно сейчас займусь переименованием входа в вордпресс и паролей.
Анфиса!
Огромное спасибо за Вашу заботу и оперативность!
У меня таких проблем с блогом пока не возникало, но непременно воспользуюсь Вашими советами.
Я с огромным удовольствием использую Ваш шаблон и всегда, при случае, рекомендую только его.
И Вас, как лучшего, на мой взгляд, а главное очень внимательного и заботливого специалиста в данной области.
Ещё раз спасибо за заботу и внимание!
C уважением,
Антон Зубцов.
Спасибо огромное, Анфиса, за такую наиценнейшую информацию!!! Я уже вся в панике была!!!! Сейчас буду срочно принимать меры. Еще раз благодарю. Удачи.
Анфиса! Большое спасибо за такое предупреждение. У многих моих знакомых,правда не на Таймвебе, блоги слетели. Все в панике. тоске и печали. У меня пока держится. Но видимо нужно срочно принимать меры.
Спасибо Вам, Анфиса, за предупреждение!
Хотя у меня таких проблем еще не было ( я пользуюсь хостингом Sprinthost), но я последую всем Вашим рекомендациям по защите входа в админку.
Ведь, как говорится, «профилактика — лучшее лекарство»!
Способ №5 не подходит для большинства пользователей, т.к. у них может быть динамический IP, и после перезагрузки роутера\модема\компьютера утеряется доступ в админку.
Да, согласна, в этом случае придется постоянно редактировать файл .htaccess и прописывать новый IP. Но это один из самых простых методов. И на первое время очень эффективно.
Здравствуйте, Анфиса и коллеги. Хочу выразить огромную благодарность Анфисе и её мужу Василию. У меня полетел блог из за «превышения нагрузки», я была в панике и не знала что делать. Написала в супорт Анфисе о своей проблеме, через несколько минут мне тут же ответили и быстро возобновили мой блог.
Ещё раз СПАСИБО ВАМ ОГРОМНОЕ за оперативность и за заботу о нас. Что бы я без Вас делала??? Хороших вам выходных и удачи. 
Спасибо, Алла, за добрые слова.
Да уж, защищать блог нужно ещё на стадии создания.
Смотрел массу роликов на Ютубе и повторял все действия, которые там рекомендовались.
От себя хотелось-бы еще добавить продолжение на тему смены адреса страницы авторизации.
После смены адреса авторизации, его еще нужно прописать в файл «robots.txt», чтобы он не индексировался.
Но если его прописать в исключения в этом файле, то его можно узнать, набрав адрес этого файла.
Поэтому, поступим так:
1. Придумываем посложнее новое имя файла вместо «wp-login.php», например: «8qbjleaxjjg8mevj90ft.php».
2. После смены имени файла в файлах «wp-include/general-template.php» и новом файле «8qbjleaxjjg8mevj90ft.php» заменяем все строки «wp-login.php» на новое — «8qbjleaxjjg8mevj90ft.php».
3. Добавляем в файле «robots.txt» строки:
Disallow: /8qbjle*.php,
тем самым закрывая от индексации этот файл и скрывая остальное название файла.
Здесь название нового файла приведено как пример, Вы должны придумать свое новое название файла вместо «wp-login.php».
И не забываем новый адрес блога, добавляем его в закладки))
Пароли тоже делайте посложнее.
Спасибо большое за дополнение и подробное описание как это сделать.
Класс! Этот вариант очень хорош! Спасибо!
Доброго времени суток. очень полезная информация. нужно будет как минимум сменить логин и пароль.
Елизавета, после того, как Вы создали нового пользователя, ему нужно присвоить права «Администратор» (выбрать из списка). После этого у Вас появится возможность удалить пользователя admin.
Поменять пользователя админ через админку не получится. Нужно это сделать либо через базу данных, либо воспользоваться плагином better wp security. Если будут вопросы, обращайтесь в тех поддержку — mlmproekt.ru
Здравствуйте, Анфиса. Благодарю за предупреждение. Буду разбираться.
Анфиса, спасибо за информацию! У Вас очень ёмкий блог. Воспользуюсь Вашими советами
Спасибо, установил плагин и все настроил!
Анфиса, есть вариант, что пользователь закроет вход с IP и потом сам не сможет войти. И будет для него «капец».
У многих IP адреса динамические и периодически меняются.
Поэтому вход ему обеспечен только до первой смены IP , а потом будет прыгать вокруг своего компьютера.
Анатолий, Вы правы. У большинства динамические IP адреса. Но прыгать не придется. Я уже давно использую это защиту как очень надежную. Одно лишь неудобство: нужно заходить на хостинг, открывать файл .htaccess и менять IP на новый. Делаю я это один раз в день. На зато я уверена, что никто кроме меня не имеет доступа на страницу админ панели. Мне нравится этот метод, пусть и не очень удобный
Извините пожалуйста, я еще новичок, но почему приходится менять IP ежедневно, если IP один и тот же?
Лидия, это нужно делать если у Вас не постоянный IP. Обычно он меняется каждый день, но может и меняться через несколько дней, все зависит от провайдера. Если же у Вас постоянный IP (обычно эту услугу заказывают и оплачивают отдельно), то Вам ничего менять не нужно.
Я в последнее время пережил столько геммора и просто отравленных дней по теме взлома, вирусов на блоге и перегрузки сервера (пришлось для начала и сервер поменять), что руки опускались, и это надо пережить, что считаю этот не удобный способ менять IP — действительно, самым надежным. Давно бы его использовал, если бы прочел эту простую инструкцию раньше. Спасибо Анфиса!
Здравствуйте, Анфиса!
Благодарю за ваши рекомендации по защите блога.
Хотелось бы получить еще рекомендации как пользоваться плагином Better WP Security. Может запишите видео-подсказку?
Виталий, я уже записала видео инструкцию. Сегодня выйдет новая статья.
Еще вопрос. Нашел один из советов по безопасности. Нужно ли это делать на нашем шаблоне?
«В файле function.php в конце кода пропишите строку:
А так же в файле search.php замените строку:
на:
Это запретит различным хакерам и мошенникам лазить по вашему серверу. Если у вас такого файла в папке с темой нет, то значит ни чего менять не нужно.»
Виталий, я думаю такой метод можно использовать. В шаблоне есть файл search.php. Попробуйте.
я не нашел в нем соответствующей строки
У меня хостинг: SWEB. Приходится, действительно, прописывать IP компьютера на хостинге. Очень это надоело: я часто путешествую и как только в новом месте вхожу в нет, приходится снова прописывать в файле на хостинге IP компьютера отеля, ресторана, аєропорта и т.д. За 1 день иногда три раза приходилось прописывать. Так надоело
Анфиса очень трогательно когда чувствуешь заботу о тебе. Я по рекомендации Антона Зубова недавно приобрёл ваш шаблон . Уже испытал на себе вашу службу поддержки.КЛАСС!!!.Я начинающий блогер с такой поддержкой можно смело идти осваивать просторы рунета!!!!!
Полезное предупреждение.
Уже давно закрываю доступ к админке по Айпи, после предыдущих атак.
Самый удобный способ.
Александр, согласна. Это сильная защита.
Доброго время суток, Анфиса! Большое спасибо за предупреждение! Обязательно сейчас займусь переименованием входа в вордпресс и паролей.
Анфиса, добрый день. Полезная тема, но для меня запоздалая. Потеряла вход в админ. панель. Можно ли что-то сделать?
Нина, у Вас не открывается страница входа в админку. Здесь я не могу сказать ничего удаленно. Нужно смотреть блога, базу данных и файлы на хостинге. Обращайтесь в тех. поддержку по скайпу: mlmproekt.ru.
Спасибо огромное Анфиса за информацию!
Первые меры предприняты.
Можно перенести админки на другие страницы , а ботов перенаправлять редиректом:
redirect /admin.php http://www.microsoft.com
redirect /wp-login.php http://www.microsoft.com
Спасибо, Екатерина, за подсказку.
Здравствуйте!
Меры предосторожности надо применять обязательно.
А что касается ежедневная «перепись» динамического IP, так как говорится, подальше положишь — поближе возьмёшь.
Всем успехов и стойкости блогов.
Да, полезные замечания! У моих партнеров- несколько сайтов — подверглись подобным атакам!!!
Я поступил намного проще, все свои вордпрессовские саййты подключил через CloudFlare и все проблемы решены. В настройках есть пункты позволяющие ограничить доступ всяким злыдным, например если кто-то делает несколько попыток входа, если скорость обновления страниц превышает обычную, в общем то же что и в обычных плагинах защиты на вордпресс, но только это происходит на их серверах, до того, как злоумышленник попал к вам на сайт, а значит эффект DDos, который часто возникает при брутфорсе вам не грозит. Это не значит, что вы можете пренебречь безопасностью, но всё же жить становиться в разы легче.
Раньше мои сайты в выходные часто ложились и были недоступны по нескольку часов, сейчас же я давно уже не припоминаю такого, да и если сайт отключен совсем, его показывают из кеша расположенного на сервере CloudFlare так что даже при полностью отключенном сайте ваш сайт никуда не пропадает и доступен пользователям
Очень интересно. Сергей есть где почитать информацию на эту тему?
Сергей, спасибо большое за дополнение. А вы пользуетесь платной версией? Нужно поподробней разобраться с сервисом
Очень полезная информация!
Проделала все, что было в этих 6 пунктах — нагрузка увеличилась. Как хостер объяснил- спамеры- бомбят по старым адресам, которые у него прописались для подбора пароля. И это все грузило хостинг…. Возможно метод Сергея- сработает!
Всех приветствую! Анфиса, подскажите , эта статья актуальна? Видела на ютубе Ваше видео, но там написано ВНИМАНИЕ! и дальше… Поставить плагин или не стоит?
Татьяна, проблема периодчески возникает. Сейчас вроде все тихо. Можете поставить плагин. Единственное но, разработчики плагина создали новую версию и она не всегда корректно работает. Должен настраивать специалист. Можете попробовать настроить сами, но если будут проблемы, придется обращаться к специалисту.