У малого бизнеса с сайтом есть одна старая привычка - оставить «на потом» все, что вроде бы не мешает. Старый плагин для формы. Заглушку «скоро открытие». Лендинг под акцию 2022 года. Тестовую страницу, которую делал подрядчик. Ну висит и висит.
А потом через это сайт и ломают.
Причем самое обидное - владелец обычно смотрит не туда. Думает, что проблема в главной теме, в WooCommerce, в хостинге, в чем угодно. А дыра сидит в каком-нибудь плагине попапов, который никто не трогал три года, или в забытой странице /new, куда даже ссылки давно нет.
Смотрите, разберем на пальцах, почему старые плагины и «временные» страницы опаснее, чем кажутся, и что с этим делать без лишней паранойи.
Почему «старое, но рабочее» - не значит безопасное
Вот частая логика: если сайт не сломан, значит все ок. Не-а. В безопасности это так не работает.
Плагин может выглядеть живым. Кнопки жмутся, форма отправляется, слайдер крутится. Но внутри там уже давно известная уязвимость. Ее могли найти месяц назад, полгода назад или вчера. Боты такие вещи собирают быстро. Они не сидят и не выбирают вас лично. Они просто массово сканируют WordPress-сайты, где стоит уязвимая версия.
Особенно это касается плагинов, которые когда-то поставили «на минутку». Конструктор форм для одной акции. импорт товаров. калькулятор доставки. менеджер редиректов. А потом акция закончилась, нужда пропала, а плагин остался.
И да - чем больше плагинов, тем больше поверхность атаки. Это не значит, что надо жить с тремя плагинами из принципа. Но 47 расширений на сайте салона, где по сути нужна главная, услуги и форма записи - ну перебор же.
Если хотите регулярно отслеживать известные дыры в установленных расширениях, проще всего делать проверку уязвимостей. Обычно это занимает пару минут на просмотр отчета, а платная функция стоит заметно дешевле одной нормальной очистки после взлома.
Чем опасны «временные» страницы
Вот это вообще недооцененная штука.
«Временная» страница - это не только черновик в WordPress. Это может быть что угодно:
- старый лендинг на отдельном URL
- тестовая копия сайта в папке /dev или /test
- страница акции, которую забыли снять
- HTML-заглушка от разработчика
- форма загрузки файлов для клиентов
- промо-страница с отдельным шаблоном и древним js-кодом
Проблема в том, что такие страницы часто выпадают из головы. Их не проверяют, не обновляют, не тестируют после апдейтов. А злоумышленнику и не надо, чтобы туда ходили люди каждый день. Ему хватает одного доступного URL с дырой.
Бывает и еще веселее. Основной сайт уже обновили, а рядом лежит старая копия на subdomain.site.ru или site.ru/old/. Поиск ее находит, бот ее находит, и через нее заходят на хостинг или в ту же базу.
Честно говоря, видел как из-за такой «времянки» лег интернет-магазин. Основной сайт был более-менее свежий, а старый промо-лендинг на том же аккаунте тянул древний плагин формы. Через него залили шелл, дальше пошел спам, редиректы, мусорные страницы в индексе. Владелец вообще не понимал, при чем тут лендинг двухлетней давности. А вот при том.
Самые частые сценарии, где прячется риск
Если коротко, опасные места почти всегда одни и те же:
- Заброшенный плагин - автор его не обновляет, а вы даже не заметили.
- Деактивированный, но не удаленный плагин - он не работает в интерфейсе, но файлы все еще лежат на сервере.
- Тестовый сайт - забыли закрыть от индексации и от посторонних.
- Старая страница с формой - особенно если там загрузка файлов.
- Ненужная тема - активна одна, а еще пять валяются просто так.
Кстати, про деактивированные плагины многие ошибаются. Думают: «Я же его выключил». Но если в файлах есть известная уязвимость, сам факт что они доступны на сервере уже может быть проблемой. Не всегда, но очень часто.
А еще есть классика - фейковые апдейты и левые сборки платных плагинов. Если ставили что-то «нулленое», риск еще выше. На эту тему советую отдельно почитать про фейковые обновления плагинов и тем - схема старая, но до сих пор отлично работает.
Как понять, что у вас уже бардак
Ну вот честно - у многих он уже есть, просто в тихом виде.
Признаки обычно такие:
- в админке список плагинов длиннее, чем вы можете объяснить без паузы
- часть страниц вы не помните, кто делал и зачем
- есть подпапки вроде /old-site/, /backup/, /new/, /test123/
- тема или плагины не обновлялись год и больше
- на сайте несколько админов, но уже непонятно, кто из них реально заходит
- бэкап вроде есть, но восстановление никто не проверял
Знакомо? Тогда не тяните.
Что делать прямо сейчас - без программиста и без паники
Начните с простой ревизии. На нее обычно уходит от 30 минут до пары часов, если сайт небольшой.
1. Пройдитесь по всем плагинам.
Спросите по каждому: он точно нужен сейчас? Если нет - удаляйте, не просто отключайте. Если нужен, но не обновлялся давно - ищите замену.
2. Посмотрите темы.
Оставьте активную и, максимум, одну стандартную WordPress для подстраховки. Остальное в корзину.
3. Найдите старые страницы и поддомены.
Проверьте меню, карту сайта, папки на хостинге, список поддоменов. Все забытое - удалить или закрыть нормально.
4. Обновите WordPress, PHP и все расширения.
Но не наугад на боевом сайте магазина в пятницу вечером. Это плохая идея. Если боитесь поломки, сначала бэкап и тест.
5. Закройте вход.
Минимум - сильные пароли и 2FA. Это настраивается быстро, часто за 5-10 минут. Для WordPress это уже база, без нее как-то странно жить в 2026 году.
6. Поставьте регулярное обслуживание.
Если сайтом никто не занимается месяцами, проблемы копятся тихо. Потом раз - и уже чистка, восстановление, нервы.
Если у вас нет своего технаря, проще отдать это на обслуживание WordPress. Для маленького бизнеса ежемесячная поддержка обычно обходится сильно дешевле чем один серьезный инцидент. И времени экономит кучу.
А если сайт уже взломали?
Тогда главная ошибка - «сейчас быстренько удалим подозрительный файл и пойдем дальше». Вот так сайт потом и заражается снова.
Потому что проблема почти никогда не в одном файле. Если зашли через старый плагин или забытую страницу, могли оставить бэкдор, подменить админа, воткнуть задания по cron, заразить uploads, wp-includes, базу, что угодно. На глаз это редко видно.
Если есть ощущение что-то не так - редиректы, новые страницы в индексе, странные админы, хостинг ругается, - лучше не ковырять вслепую. Посмотрите сначала материал что делать в ту же минуту, когда подозреваете компрометацию сайта. А если взлом уже очевиден, тогда быстрее в очистку и восстановление сайта после взлома. Тут время реально деньги, особенно если у вас магазин и реклама крутится.
Сколько это стоит по факту
Тут без магии.
Самостоятельная ревизия сайта - бесплатно, если у вас есть 1-2 часа и желание не откладывать. Проверка старых плагинов, удаление мусора, смена паролей - это можно сделать самому.
Если сайт сложнее, с WooCommerce, кастомной темой, интеграциями доставки и оплаты, то уже лучше аккуратнее. Там одно неловкое удаление - и корзина перестает считать доставку. Видел такое не раз.
По деньгам расклад обычно такой:
- 2FA и базовые меры - часто бесплатно или почти бесплатно
- проверка уязвимостей и мониторинг - недорого, обычно как пара чашек кофе в месяц
- ежемесячное обслуживание - ощутимо, но подьемно для бизнеса
- очистка после взлома - уже заметно дороже, особенно если сайт запущен
Короче, профилактика скучная. Но она дешевле.
Главная мысль
Самые неприятные дыры в WordPress часто не там, где все смотрят. Не в «большом страшном хаке», а в мелочи, про которую забыли. Старый плагин. Ненужная тема. Временная страница. Тестовая копия. Вот такие хвосты и стреляют.
По сути, вам не нужен сложный enterprise-подход. Маленькому бизнесу хватает нормальной гигиены: убрать лишнее, вовремя обновлять, закрыть вход, следить за изменениями и не держать на сервере цифровой хлам.
И да - если на сайте есть что-то, про что вы говорите «пусть пока полежит»… скорее всего, именно это и стоит проверить первым.