Как защитить свой сайт от взлома?

Основа защиты — три вещи: вовремя обновлять CMS и плагины, поставить уникальный сложный пароль на админку с двухфакторной аутентификацией и настроить регулярные автоматические бэкапы. Больше половины взломов происходит не через хитрый подбор пароля, а через известную уязвимость в старой версии плагина, которую не обновили месяцами.

Начните с инвентаризации: зайдите в админку и посмотрите список плагинов и тем, удалите неактивные — даже выключенный плагин с дырой остаётся вектором атаки, если его файлы лежат на сервере. Оставшиеся обновите до актуальных версий, включая само ядро WordPress. Дальше смените пароли: на wp-admin, на FTP-доступ и на панель хостинга, если они не менялись с момента установки сайта — три разных пароля, не один на всё.

Дальше стоит добавить:

• лимит на число неудачных попыток входа в админку (плагин вроде Limit Login Attempts или защита на уровне хостинга)
• запрет на редактирование файлов из самой админки (константа DISALLOW_FILE_EDIT в wp-config.php)
• ежедневный автоматический бэкап с хранением копий за 7-14 дней в отдельном месте, не на том же сервере
• фаервол уровня хостинга или плагин-фильтр вроде Wordfence, если сайт коммерческий и с формами

Полной гарантии от взлома не даёт ни один набор мер, но эти шаги закрывают основную массу автоматизированных атак — ботов, которые перебирают известные уязвимости пачками, а не целенаправленно атакуют конкретно ваш сайт. Если сайт уже когда-то взламывали, стоит дополнительно проверить файлы на посторонний код: одного восстановления из бэкапа без поиска точки входа обычно недостаточно, взлом повторяется через ту же дыру.