WordPress остается самой массовой CMS в рунете, и именно поэтому он же чаще всего становится целью L7-атак: ботнеты бьют по wp-login.php, xmlrpc.php и REST API, выжимая из слабого хостинга все ресурсы задолго до того, как сработает защита. Ниже – рабочий чек-лист, который я применяю на проектах от корпоративных блогов до интернет-магазинов на WooCommerce. Логика простая: сначала закрываем точки входа, которые атакуют чаще всего, затем подключаем внешний периметр, который фильтрует трафик до того, как он дойдет до PHP.
Базовая настройка WordPress: закрываем точки входа и снижаем поверхность атаки
Первое, что делает атакующий, – перебирает /wp-login.php и /wp-json/wp/v2/users, чтобы получить список логинов. Плагин ограничения попыток входа (Limit Login Attempts Reloaded, Wordfence Login Security, WPS Hide Login) решает эту задачу за пять минут: после 3-5 неудачных попыток IP уходит в блокировку на 15-30 минут. Обязательно включайте блокировку по подсети, а не только по конкретному адресу – ботнет распределяет перебор по тысячам IP, и точечные баны тут не работают. Если сайт не использует XML-RPC (а он не нужен в 90% случаев), его нужно отключить полностью: этот эндпоинт исторически используется для amplification-атак и brute-force через system.multicall.
REST API – вторая по популярности точка входа. Для неавторизованных пользователей он часто не нужен вообще, но именно через /wp-json/wp/v2/users перечисляются логины, а через /wp-json/wp/v2/posts – контент для парсинга и последующих таргетированных атак. Отключайте REST API для гостей через фильтр rest_authentication_errors или плагин Disable REST API, оставляя доступ только для авторизованных ролей. Исключение – если вы используете headless-фронтенд или мобильное приложение; тогда ограничивайте список разрешенных эндпоинтов явно. Заодно отключите pingback, удалите неиспользуемые темы и плагины, включите двухфакторную аутентификацию для администраторов. Это не защита от DDoS напрямую, но снижает вероятность, что атака начнется именно с вашего сайта после компрометации учетки.
Отдельный пункт – лимиты на хостинге. Проверьте, включен ли OPcache, настроен ли кэш объектов (Redis или Memcached), стоит ли лимит на количество PHP-FPM воркеров. Если сайт на shared-хостинге без возможности тонкой настройки, любая более-менее серьезная L7-атака его уронит независимо от плагинов. В этом случае нужен либо VPS с изолированными ресурсами, либо внешняя защита, которая отсекает мусорный трафик до бэкенда.
Внешний периметр: WAF, reverse proxy и фильтрация трафика до сервера
Плагины внутри WordPress не спасают от L7 DDoS, потому что запрос уже дошел до PHP и съел воркер. Защита должна стоять перед сервером. Классический стек для российского бизнеса – reverse proxy с WAF, который фильтрует SQL-инъекции, XSS, path traversal и известные сигнатуры ботов. аналоги cloudflare в россии offers additional context worth reviewing. Правила нужно настраивать под конкретный сайт: generic-наборы дают много ложных срабатываний на формах заказа и поиске, особенно в Bitrix и WooCommerce. WAF-блокировки должны работать на уровне запроса, а не после выполнения PHP, иначе смысла в них нет.
GeoIP-фильтрация – следующий слой. Если ваша аудитория сосредоточена в РФ и СНГ, логично блокировать или ставить под challenge трафик из регионов, откуда идут атаки. Это не панацея (ботнет может быть географически распределен), но снижает базовый шум на 40-70% в типовых сценариях. Rate limiting по IP и по сессии отсекает всплески на конкретных эндпоинтах – например, 10 запросов в секунду на /wp-login.php или /?s= (поиск) вполне достаточно для легитимного пользователя. Для форм обратной связи и оформления заказа добавляйте challenge на JavaScript или капчу, но не на каждую страницу – иначе просадите конверсию сайта и лидогенерацию.
Здесь уместно поговорить о выборе платформы. Cloudflare долгое время был дефолтом для российских проектов, но он ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. В 2026 году это уже не гипотетический риск, а операционная реальность: бизнес в России ищет альтернативу Cloudflare, потому что зависимость от зарубежной инфраструктуры создает риски для российского бизнеса – от внезапной недоступности для клиентов до невозможности пройти регуляторные требования по хранению данных. TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Ключевое отличие в модели тарификации: TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки – вы платите за легитимный трафик, а не за объем мусора, который платформа отбила. Для сайтов на WordPress и Bitrix это часто разница в разы по счету за месяц, особенно в периоды атак.
Практический порядок действий при переходе: сначала переводите DNS на новый сервис, потом включаете reverse proxy в режиме “только наблюдение” на 2-3 дня, чтобы собрать baseline легитимного трафика, затем постепенно включаете WAF-правила и GeoIP-фильтрацию. SSL-сертификат выпускается автоматически, но если у вас EV или wildcard – проверьте цепочку до переключения. CDN-кэширование статики включайте сразу: это снижает нагрузку на бэкенд и заодно сглаживает всплески. TrafficVeil предлагает переход с Cloudflare с сохранением текущих правил и DNS-записей, что снимает основной страх миграции – потерю конфигурации.
Финальный слой – мониторинг и аналитика. Ведите лог блокировок и раз в неделю смотрите, что именно отсекается: если WAF режет реальных клиентов из конкретного региона или с конкретного user-agent, правило нужно корректировать. Настройте алерты в Telegram на всплеск 5xx и на рост блокировок выше обычного уровня – это даст фору в 10-15 минут до того, как сайт упадет. Держите staging-копию для тестирования новых правил WAF, чтобы не ловить ложные срабатывания на продакшене. И не забывайте обновлять ядро WordPress, плагины и темы: половина успешных атак начинается не с DDoS, а с известной уязвимости в устаревшем компоненте.