.htaccess защита WordPress: блокировка wp-config, xmlrpc.php и PHP в uploads
Готовый защитный .htaccess для WordPress: запрет доступа к wp-config.php, .htaccess, блокировка выполнения PHP в wp-content/uploads/ и защита xmlrpc.
Интерактивный генератор под ваши параметры
Параметры подставляются в код в реальном времени
/var/www/example.com/public_html/.htaccess
# /var/www/example.com/public_html/.htaccess
# Защита WordPress от атак и уязвимостей плагинов
# 1. Защита wp-config.php и .htaccess
<FilesMatch "^(wp-config\\.php|\\.htaccess|php\\.ini|\\.env|readme\\.html|license\\.txt)">
Require all denied
</FilesMatch>
# 2. Защита xmlrpc.php от перебора паролей
<Files xmlrpc.php>
Require all denied
</Files>
# 3. Запрет просмотра листинга папок
Options -Indexes
# 4. Запрет исполнения PHP файлов в каталоге загрузок (/wp-content/uploads/.htaccess)
# Поместите данный блок в /wp-content/uploads/.htaccess:
# <FilesMatch "\\.(php|php5|phtml|phar)$">
# Require all denied
# </FilesMatch>Разбор ключевых директив конфигурации
Техническое обоснование директив и их прямое влияние на процессор (CPU), оперативную память (RAM) и дисковый ввод-вывод (NVMe I/O).
| Директива / Блок | Рекомендуемое значение | Зачем нужно и системное влияние (CPU / RAM / I-O) |
|---|---|---|
<FilesMatch '^(wp-config\.php)'> |
Require all denied | Блокирует чтение файла конфигурации с паролями к базе данных MySQL через HTTP. |
User-agent: * |
* (все поисковые боты) | Базовые инструкции индексации для Яндекса, Google, Bing и Mail.ru. |
Clean-param: ref / utm_source |
clean-param для Яндекса | Указывает Яндексу игнорировать UTM-метки и реферальные хвосты, предотвращая раздувание индекса дублями страниц. |
Header set X-Content-Type-Options |
nosniff | Запрещает браузерам выполнять MIME-sniffing, блокируя вредоносные скрипты, замаскированные под изображения. |
Рекомендуемые системные требования VDS под этот стек
Расчет минимальной и оптимальной конфигурации виртуального сервера для стабильной работы без сбоев.
Оптимальный сайзинг: 1-2 vCPU, 2-4 GB RAM
Расчетная нагрузка: Любой сайт WordPress
1 CPU / 1 GB NVMe
Timeweb Cloud
Рекомендуемые ресурсы
1-2 vCPU /
2-4 GB RAM /
40 GB NVMe
1 vCPU / 1 GB RAM
Selectel
Рекомендуемые ресурсы
1-2 vCPU /
2-4 GB RAM /
40 GB NVMe
Старт 1 GB
Beget
Рекомендуемые ресурсы
1-2 vCPU /
2-4 GB RAM /
40 GB NVMe
Онлайн-утилиты SysKit для проверки этого сервера
Протестируйте корректность применения конфигурации прямо сейчас в один клик.
Частые ошибки при настройке и их решение (FAQ)
Типовые проблемы вебмастеров и сисадминов при внедрении данной конфигурации.
Сломается ли мобильное приложение WordPress при блокировке xmlrpc.php?
Да, официальное мобильное приложение WordPress использует XML-RPC. Если вы им пользуетесь, разрешите доступ к `xmlrpc.php` только с ваших доверенных IP-адресов.
Как проверить корректность robots.txt в Яндексе и Google?
Используйте инструмент «Анализ robots.txt» в Яндекс.Вебмастере и отчет «Файлы Sitemap» в Google Search Console.
Почему после изменения robots.txt страницы остаются в поиске?
Удаление закрытых страниц из индекса поисковиков занимает от 1 до 3 недель по мере повторного обхода роботами.
Рекомендуемые смежные конфигурации
Дополнительные рецепты и калькуляторы для полной оптимизации данного серверного стека.