Как защитить сайт паролем?

Защита паролем — это прежде всего укрепление входа в админку: длинный уникальный пароль от 16 символов, сгенерированный менеджером паролей, плюс ограничение числа попыток входа. Плагин вроде Limit Login Attempts Reloaded блокирует IP-адрес после 5 неудачных попыток на час, и это закрывает почти весь автоматический перебор, которым боты круглосуточно сканируют тысячи сайтов подряд в поисках слабых паролей.

Один длинный пароль без лимита попыток не спасает: перебор идёт со скоростью сотен вариантов в секунду, и рано или поздно бот дойдёт до нужной комбинации, если ему не мешать. А лимит без сложного пароля тоже слабое место — три попытки в час всё равно оставляют шанс на угадывание короткого слова. Работают эти меры только вместе.

Полезная мелочь: если логин администратора до сих пор «admin», смените его. Боты по умолчанию пробуют именно этот логин, и без него половина автоматических атак отваливается ещё до подбора пароля.

Если к сайту привязана оплата, база клиентов или доступ есть у нескольких человек, добавьте двухфакторную аутентификацию через приложение вроде Google Authenticator или Aegis. И заведите каждому админу отдельную учётную запись: тогда при увольнении сотрудника или подозрении на утечку достаточно отключить одну запись, а не менять пароль всем разом.