Как защитить WordPress от DoS-атак: практические методы и примеры кода

Автор: Марина Соколова | Опубликовано: 31.12.2025

DoS (Denial of Service) и DDoS (Distributed Denial of Service) атаки представляют серьезную угрозу для сайтов на WordPress. Они направлены на перегрузку сервера чрезмерным количеством запросов, что приводит к недоступности сайта для реальных пользователей. В этой статье мы подробно разберем, как эффективно защитить WordPress от DoS-атак, используя как готовые решения, так и собственные разработки с примерами кода.

Что такое DoS-атаки и почему они опасны для WordPress

DoS-атаки — это попытки вывести сайт из строя за счет перегрузки сервера запросами. В случае DDoS атак запросы идут с разных IP-адресов, что усложняет блокировку. Для WordPress это особенно критично, так как движок активно использует базу данных и ресурсы сервера, а высокая нагрузка способна привести к сбоям, замедлению работы или полной недоступности сайта.

Понимание принципов атаки поможет выбрать правильные методы защиты и настроить защитные механизмы.

Основные методы защиты WordPress от DoS-атак

1. Использование плагинов для ограничения запросов

Самый простой и доступный способ — установить плагин, который ограничит количество запросов от одного IP за определенный промежуток времени. Например:

WP Cerber Security — имеет встроенную защиту от DoS, ограничивает количество попыток входа и запросов.
Limit Login Attempts Reloaded — фокусируется на ограничении попыток входа, что помогает при атаках на форму логина.
Wordfence Security — комплексный плагин с функцией блокировки IP и анализа трафика.

Настройка этих плагинов обычно интуитивна, но важно выставить лимиты, которые не повредят обычным посетителям.

2. Использование файрволлов и CDN

Подключение CDN (Content Delivery Network) с веб-фаерволлом позволяет отфильтровывать вредоносный трафик на уровне сети. Популярные сервисы:

Cloudflare — бесплатный и платный уровни, умеет блокировать ботнеты и фильтровать запросы.
Sucuri Firewall — специализированный сервис безопасности для WordPress.

Настройка правил в этих сервисах позволяет снизить нагрузку на хостинг и предотвратить атаки.

Как самостоятельно ограничить количество запросов к WordPress с помощью кода

Если вы предпочитаете легковесные решения без установки тяжелых плагинов, можно добавить код ограничения запросов в functions.php вашей темы или в собственный плагин. Ниже пример функции, которая блокирует IP, если он отправляет более 20 запросов за 10 секунд:

function wpscan_limit_requests() {
    session_start();
    $ip = $_SERVER['REMOTE_ADDR'];
    if (!isset($_SESSION['wpscan_requests'])) {
        $_SESSION['wpscan_requests'] = [];
    }
    $now = time();
    // Удаляем записи старше 10 секунд
    $_SESSION['wpscan_requests'] = array_filter($_SESSION['wpscan_requests'], function($timestamp) use ($now) {
        return ($now - $timestamp) <= 10;
    });
    // Добавляем текущий запрос
    $_SESSION['wpscan_requests'][] = $now;
    // Проверяем количество запросов
    if (count($_SESSION['wpscan_requests']) > 20) {
        wp_die('Слишком много запросов. Пожалуйста, попробуйте позже.');
    }
}
add_action('init', 'wpscan_limit_requests');

Этот код использует сессии PHP для хранения времени запросов и блокирует пользователя при превышении лимита. Минус — не работает при отключенных сессиях и не защищает от DDoS с множества IP. Но это простой пример для базовой защиты.

Использование .htaccess для блокировки подозрительного трафика

На уровне веб-сервера Apache можно настроить правила, которые помогут снизить нагрузку при DoS-атаках. Например, ограничить количество соединений с одного IP:

# Ограничение количества соединений с одного IP
<IfModule mod_reqtimeout.c>
    RequestReadTimeout header=10-20,minrate=500
</IfModule>

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097
    DOSPageCount        2
    DOSSiteCount        50
    DOSPageInterval     1
    DOSSiteInterval     1
    DOSBlockingPeriod   10
</IfModule>

Для работы mod_evasive нужно, чтобы модуль был установлен на сервере. Он автоматически блокирует IP, которые слишком часто обращаются к сайту.

Практические советы для снижения риска DoS-атак на WordPress

Обновляйте ядро WordPress, темы и плагины — устаревшее ПО уязвимо.
Используйте сложные пароли и двухфакторную аутентификацию для админов.
Ограничьте доступ к административным страницам по IP (например, через .htaccess).
Мониторьте логи сервера и трафик, чтобы оперативно выявлять аномалии.
Рассмотрите использование специализированных плагинов, например, Clearfy Pro, который улучшает безопасность и оптимизацию сайта.

Пример интеграции защиты с Clearfy Pro

Плагин Clearfy Pro содержит модуль «Антидос», который автоматически лимитирует количество запросов, блокирует IP с подозрительной активностью и оптимизирует работу сайта для снижения нагрузки.

Для активации модуля достаточно установить и активировать плагин, после чего перейти в раздел настроек безопасности и включить «Антидос».

Выводы и рекомендации

Защита WordPress от DoS-атак — это комплексная задача, требующая использования нескольких уровней защиты: плагинов, веб-серверных настроек, CDN и мониторинга. Комбинируйте готовые решения с собственными скриптами для максимальной эффективности. Помните, что профилактика и оперативное реагирование — залог надежной безопасности вашего сайта.

Как защитить WordPress от DoS-атак: эффективные методы и примеры