Как создать безопасную форму логина в WordPress: защита от атак и примеры кода

Автор: Антон Панин | Опубликовано: 03.12.2025

Почему стандартная форма логина WordPress уязвима и что нужно улучшить

Стандартная форма входа в WordPress располагается по адресу wp-login.php и, несмотря на постоянные улучшения системы безопасности, остается одной из наиболее атакуемых точек сайта. Злоумышленники часто используют брутфорс-атаки, подбор паролей, а также эксплойты, эксплуатирующие недостатки валидации и отсутствия дополнительных уровней защиты.

Основные уязвимости стандартной формы:

Отсутствие ограничения количества попыток входа по умолчанию.
Отсутствие двухфакторной аутентификации (2FA).
Публичный URL формы логина, упрощающий автоматизированные атаки.
Отсутствие капчи или других средств против ботов.

Чтобы повысить безопасность сайта, рекомендуется создавать собственные формы входа с дополнительными уровнями защиты или расширять стандартные средствами плагинов и кастомного кода.

Использование плагинов для защиты формы логина: обзор и рекомендации

Для большинства сайтов проще и надежнее использовать проверенные плагины, которые добавляют защитные механизмы без необходимости глубокой доработки кода.

Плагин Limit Login Attempts Reloaded

Этот плагин ограничивает количество попыток входа с одного IP-адреса, блокируя дальнейшие попытки после достижения лимита. Это эффективно против брутфорс-атак.

Автоматическая блокировка IP на заданное время.
Поддержка белых списков для администраторов.
Уведомления о блокировках на почту.

Плагин Wordfence Security

Комплексный плагин безопасности, включающий в себя брандмауэр, сканер вредоносного кода и защиту формы входа:

Двухфакторная аутентификация.
Блокировка IP и стран.
Мониторинг попыток входа и уведомления.

Реализация капчи с помощью Google reCAPTCHA

Добавление капчи значительно снижает количество автоматизированных атак. Плагин reCAPTCHA by BestWebSoft позволяет легко интегрировать Google reCAPTCHA на страницу входа.

Создание кастомной безопасной формы логина в WordPress с помощью кода

Если вам нужна уникальная форма входа с расширенными функциями безопасности, можно написать собственный код, используя API WordPress.

Регистрация шорткода с формой входа

Создадим shortcode [wpscan_custom_login], который выводит форму с защитой.

function wpscan_render_custom_login_form() {
    if ( is_user_logged_in() ) {
        return '<p>Вы уже авторизованы.</p>';
    }
    $html = '<form method="post" action="">';
    $html .= '<p><label>Логин</label><br><input type="text" name="log" required /></p>';
    $html .= '<p><label>Пароль</label><br><input type="password" name="pwd" required /></p>';
    $html .= wp_nonce_field( 'wpscan_custom_login_action', 'wpscan_custom_login_nonce', true, false );
    $html .= '<p><input type="submit" value="Войти" /></p>';
    $html .= '</form>';
    return $html;
}
add_shortcode( 'wpscan_custom_login', 'wpscan_render_custom_login_form' );

Обработка данных формы и авторизация пользователя

Добавим обработчик POST-запроса, который проверит nonce, валидирует данные и выполнит вход пользователя.

function wpscan_handle_custom_login() {
    if ( isset($_POST['wpscan_custom_login_nonce']) && wp_verify_nonce($_POST['wpscan_custom_login_nonce'], 'wpscan_custom_login_action') ) {
        $creds = array();
        $creds['user_login'] = sanitize_text_field($_POST['log']);
        $creds['user_password'] = $_POST['pwd'];
        $creds['remember'] = true;
        $user = wp_signon( $creds, false );
        if ( is_wp_error($user) ) {
            echo '<p style="color:red;">Ошибка: ' . esc_html($user->get_error_message()) . '</p>';
        } else {
            wp_redirect( home_url() );
            exit;
        }
    }
}
add_action( 'init', 'wpscan_handle_custom_login' );

Добавление защиты от брутфорс-атак с помощью счетчика попыток

Для защиты добавим простой механизм подсчета неудачных попыток входа и блокировки на время.

function wpscan_check_login_attempts( $user, $username, $password ) {
    $ip = $_SERVER['REMOTE_ADDR'];
    $transient_key = 'wpscan_login_attempts_' . $ip;
    $attempts = get_transient( $transient_key );
    if ( $attempts && $attempts >= 5 ) {
        return new WP_Error( 'too_many_attempts', 'Слишком много неудачных попыток. Попробуйте позже.' );
    }
    if ( is_wp_error( $user ) ) {
        $attempts = $attempts ? $attempts + 1 : 1;
        set_transient( $transient_key, $attempts, 15 * MINUTE_IN_SECONDS );
    } else {
        delete_transient( $transient_key );
    }
    return $user;
}
add_filter( 'authenticate', 'wpscan_check_login_attempts', 30, 3 );

Дополнительные рекомендации по безопасности формы логина

Помимо технической реализации, стоит учитывать и организационные моменты безопасности:

Используйте HTTPS для защиты передаваемых данных.
Устанавливайте сложные пароли и рекомендуйте их пользователям.
Внедряйте двухфакторную аутентификацию (2FA), чтобы повысить уровень безопасности.
Ограничивайте доступ к странице логина по IP, если это возможно.
Регулярно обновляйте WordPress, темы и плагины для устранения уязвимостей.

Эти простые меры в комплексе с кастомной формой входа значительно снизят риск компрометации сайта.