Защита WordPress от ботов
wp-login, XML-RPC, сканеры и спам
TrafficVeil защищает WordPress и WooCommerce от брутфорса, атак на xmlrpc.php, сканеров плагинов, спам-ботов, парсеров и L7-нагрузки без установки тяжёлых плагинов.
Что чаще всего атакуют в WordPress
Сначала важно понять, где именно бизнес теряет деньги, заявки, ресурсы сервера или управляемость трафика.
wp-login.php
Брутфорс, password spraying и попытки перегрузить PHP-FPM.
xmlrpc.php
Pingback abuse, multicall и массовые POST-запросы.
Сканеры плагинов
Перебор уязвимых путей, readme, backup, admin и старых endpoint.
Спам в формы
Мусорные заявки, комментарии, регистрации и фейковые лиды.
Какие зоны WordPress закрываются отдельно
У WordPress своя карта рисков: wp-login, xmlrpc.php, REST API, формы и сканеры плагинов. Поэтому страница получает не общий блок, а CMS-структуру.
wp-login.php
Лимиты, allowlist админов, защита от password spraying и повторных POST-запросов.
xmlrpc.php
Полная блокировка или жёсткое ограничение, если endpoint не нужен интеграциям.
Сканеры CMS
Фильтрация readme, backup, plugin-path, admin-path и известных probe-запросов.
Формы и комментарии
Bot Detection и rate limiting для заявок, регистраций, комментариев и WooCommerce.
Почему WordPress чаще других CMS страдает от ботов
WordPress популярен, а значит хорошо известен сканерам. Боты автоматически ищут wp-login.php, xmlrpc.php, REST API, популярные плагины, backup-файлы, readme, старые темы и типовые admin-пути. Даже если сайт не взломан, постоянное сканирование создаёт нагрузку на PHP, базу данных и хостинг.
TrafficVeil помогает вынести защиту WordPress наружу: подозрительные запросы блокируются до запуска PHP и до обращения к базе. Это снижает нагрузку, уменьшает количество мусора в логах, защищает формы и позволяет не превращать WordPress в набор тяжёлых security-плагинов.
С чего начать защиту WordPress
Сначала закрывают самые предсказуемые и часто атакуемые точки.
- ограничить wp-login.php и password reset по частоте запросов
- заблокировать или лимитировать xmlrpc.php, если он не нужен
- добавить allowlist для администраторов, агентств и технических IP
WooCommerce требует отдельных правил
Интернет-магазин на WordPress нельзя защищать так же, как простой блог: checkout, корзина и каталог имеют другую бизнес-ценность.
- защитить checkout, cart, coupon, account и ajax-endpoint
- ограничить массовый обход карточек, фильтров и поиска
- оставить корректный доступ Googlebot, YandexBot и платёжным интеграциям
Как понять, что защита работает
Эффект виден не только по числу блокировок, но и по снижению нагрузки на сервер.
- меньше POST-запросов на wp-login и xmlrpc.php
- меньше 500/502 от перегруза PHP-FPM и базы
- чище логи, меньше спама в формах и комментариях
Защита WordPress до запуска PHP
TrafficVeil фильтрует подозрительные запросы на уровне reverse proxy. WordPress получает меньше мусорной нагрузки, а администраторы видят причины блокировок в аналитике.
Строгие лимиты для wp-login.php, xmlrpc.php и REST API
WAF-правила для exploit-запросов и сканеров CMS
Bot Detection для спам-ботов, парсеров и headless browser
GeoIP/ASN/IP allow/block списки для администраторов и атакующих сетей
SSL, DNS и скрытие origin IP без смены хостинга
Кому нужна защита WordPress
Посадочная закрывает конкретный сценарий, но TrafficVeil полезен для нескольких типов сайтов и команд.
WooCommerce
Checkout, корзина, каталог и поиск защищаются от ботов и перегрузки.
Блоги и медиа
Фильтрация спама, парсеров контента и агрессивных SEO-ботов.
Сайты агентств
Единый защитный слой для клиентских WordPress-проектов.
WordPress можно защитить бесплатно
Бесплатный тариф включает полный функционал для 1 домена. Платные тарифы стартуют от 990 ₽/мес, а заблокированные боты не тарифицируются.
Старт
0 ₽
1 домен бесплатно
Платные тарифы от
990 ₽/мес
FAQ
Нужно ли ставить плагин WordPress?
Нет. TrafficVeil работает как внешний reverse proxy, поэтому снижает нагрузку ещё до попадания запроса в WordPress.
Можно ли заблокировать xmlrpc.php?
Да. Можно полностью заблокировать или жёстко ограничить xmlrpc.php, если он не нужен интеграциям.
Не сломается ли админка?
Нет, если настроить allowlist для администраторов и корректные лимиты для wp-login/wp-admin.