Стандартные адреса входа в WordPress — /wp-login.php и /wp-admin/. Их знают автоматические сканеры, поэтому сайт может получать множество попыток подобрать пароль. Смена адреса входа уменьшает число таких обращений, но сама по себе не защищает учётную запись: новый URL не заменяет сложный пароль, ограничение попыток входа и двухфакторную аутентификацию.
В WordPress нет штатной настройки для переименования страницы входа. Безопаснее использовать проверенный плагин, а не редактировать файлы ядра или добавлять правила сервера наугад.
Смените адрес входа через плагин
Для этого подойдёт бесплатный плагин WPS Hide Login из каталога WordPress. Он не переименовывает файл wp-login.php, а меняет адрес, по которому открывается форма входа, и ограничивает доступ к стандартным адресам для незалогиненных посетителей.
- В панели сайта откройте Плагины → Добавить новый, найдите WPS Hide Login и установите плагин из каталога WordPress.
- Активируйте его и перейдите в Настройки → Общие.
- Внизу страницы найдите поле Login URL и задайте новый путь, например
my-entry-7x4. Вводите только часть после домена: без протокола и начального слеша. - Сохраните изменения и сразу запишите полный адрес входа, например
https://example.ru/my-entry-7x4, в надёжное место.
Выбирайте неочевидный путь, который не содержит имени пользователя, названия сайта или слов вроде login и admin. Это не пароль и не секретный ключ: URL можно обнаружить или случайно передать другим людям. Он лишь убирает стандартную точку входа из поля зрения большинства простых ботов.
После сохранения выйдите из панели и проверьте новый адрес в приватном окне браузера. Откройте также /wp-login.php и /wp-admin/: для незалогиненного посетителя стандартная форма больше не должна показываться. Поведение при обращении к старым адресам зависит от настроек плагина; обычно вместо формы входа появляется ошибка 404.
Добавьте меры против подбора паролей
Смена URL снижает количество автоматических попыток на стандартной странице, но не устанавливает лимиты на вход и не делает пароль надёжнее. Для базовой защиты настройте ещё несколько вещей.
- Используйте уникальный пароль. Он не должен повторяться на почте, хостинге и других сайтах. Подойдёт длинная случайная комбинация из менеджера паролей. Если несколько человек работают с сайтом, выдайте каждому отдельную учётную запись, а не общий логин.
- Включите двухфакторную аутентификацию. Для этого используют плагин, совместимый с вашей версией WordPress и способом входа. Сохраните резервные коды вне сайта. Перед включением проверьте, что сможете пройти второй фактор с другого устройства.
- Ограничьте частоту неудачных входов. Это можно сделать плагином, например Limit Login Attempts Reloaded, либо средствами хостинга или веб-экрана защиты (WAF). Установите блокировку после нескольких ошибок и разумный срок её действия. Слишком строгие лимиты могут временно закрыть доступ вам и другим пользователям с одного IP-адреса.
- Используйте HTTPS. Убедитесь, что вход в админку открывается по адресу с
https://и сертификат сайта действителен. Не вводите пароль через незащищённое соединение. - Следите за обновлениями. Обновляйте WordPress, плагины и тему, особенно если они участвуют в авторизации. Удаляйте неиспользуемые плагины и учётные записи, которым больше не нужен доступ.
Если сайт уже получает большой поток запросов, ограничение на уровне хостинга или WAF обычно полезнее, чем одна только смена URL: оно может отсекать часть трафика до загрузки WordPress. Возможности и названия настроек зависят от провайдера. Уточните у поддержки, доступно ли ограничение частоты запросов к странице входа. Не включайте одновременно несколько плагинов, которые независимо блокируют вход, без проверки совместимости: они могут конфликтовать или чрезмерно ограничить пользователей.
Проверьте защиту и подготовьте восстановление доступа
После настройки откройте новый URL в приватном окне, войдите с правильными данными, затем выйдите и убедитесь, что повторный вход работает. Проверьте и старые адреса: они не должны показывать стандартную форму незалогиненным посетителям. Если включили лимит попыток, сделайте лишь несколько тестовых входов с неверным паролем и убедитесь, что срабатывает блокировка; не проверяйте защиту массовыми запросами.
Перед сменой адреса сохраните его в менеджере паролей и убедитесь, что у вас есть доступ к панели хостинга или FTP. Если после активации плагина новый адрес не открывается, проверьте кэш браузера и сайта, а затем отключите плагин через файловый менеджер хостинга: переименуйте каталог wp-content/plugins/wps-hide-login. WordPress деактивирует его, и стандартный вход станет доступен снова. Имя каталога может отличаться, если при установке его переименовали.
Не меняйте файлы ядра WordPress ради сокрытия страницы входа: обновление перезапишет такие изменения, а ошибка в коде может лишить вас доступа к сайту. Рабочая схема проще: отдельный URL, уникальные пароли, второй фактор и ограничение неудачных попыток. Тогда смена адреса будет дополнительным фильтром, а не единственной защитой админки.