Как защитить сайт от атак?

Базовая защита сайта строится на трёх независимых мерах, потому что и атаки бывают разного типа: своевременные обновления CMS и плагинов закрывают известные уязвимости, через которые чаще всего заливают вредоносный код; лимит попыток входа в админку останавливает перебор паролей ботами; а подключение Cloudflare или встроенная защита хостинга снижает ущерб от нагрузочных DDoS-атак. Для сайта без специальной защиты все три меры настраиваются за один рабочий день.

Взлом через уязвимость — самый частый сценарий для WordPress: устаревший плагин или тема открывает доступ к файлам сайта, и туда заливают вредоносный скрипт, который потом рассылает спам, майнит или ворует данные форм. Защита здесь простая по сути, но требует дисциплины — обновлять CMS, плагины и тему не реже раза в месяц, а не откладывать годами, потому что «и так работает».

Перебор паролей боты гоняют круглосуточно по спискам сайтов на WordPress, пробуя типовые логины вроде admin. Плагин вроде Limit Login Attempts Reloaded блокирует IP после нескольких неудачных попыток, а смена логина с admin на что-то своё отсекает большинство автоматических атак ещё до подбора пароля.

DDoS-атака — это не взлом, а попытка положить сайт потоком запросов. Для небольшого магазина обычно достаточно бесплатного Cloudflare перед сервером и базовой фильтрации трафика, которая у большинства хостингов уже включена в тариф — специализированная защита нужна, только если атаки происходят регулярно и заметно бьют по продажам.

Если бюджет действительно ограничен, начните с обновлений и лимита попыток входа — это бесплатно и закрывает наиболее вероятный для малого сайта сценарий. Cloudflare добавляйте следующим шагом, он тоже бесплатный на базовом тарифе.