Как изменить адрес входа в админку WordPress (wp-admin и wp-login.php)?

Почему это важно

Чтобы изменить адрес входа в админку WordPress, задайте в плагине скрытия входа свой путь вместо /wp-login.php и /wp-admin, запишите новый адрес и проверьте его в приватном окне, прежде чем выходить. После этого старые адреса отвечают 404, и боты больше не находят страницу входа.

Каждый сайт на WordPress в мире отвечает по одним и тем же двум адресам: /wp-login.php и /wp-admin. Боты это знают. Им не нужно искать вашу страницу входа — они просто запрашивают её на каждом доступном сайте и начинают подбирать пароли.

Перенос входа на путь, известный только вам, выводит ваш сайт из этой толпы. Скрипты автоматического подбора упираются в 404 и уходят дальше. Журналы становятся тише, сервер работает меньше, а оставшиеся попытки проще разобрать.

Чего это не делает. Скрытие входа — уровень маскировки. Оно убирает лёгкую цель, но ничего не запирает. У WordPress есть и другие двери, прежде всего xmlrpc.php, который сам принимает имена пользователей и пароли. Скрытая страница входа при открытом XML-RPC — как спрятанные парадные ворота рядом с незапертой калиткой. Считайте этот шаг первым из нескольких:

• ограничьте число неудачных попыток входа,
• добавьте двухфакторный вход для администраторов,
• закройте вход через XML-RPC и утечки имён пользователей,
• используйте надёжные уникальные пароли и обновляйте WordPress.

Частые ошибки

• Выход до проверки. Всегда проверяйте новый путь в приватном окне, пока в основной вкладке вы ещё в системе. Если что-то не так, вы успеете исправить.
• Адрес не сохранён. «Я и так запомню» — самая частая причина потери доступа. Запишите его в менеджер паролей.
• Очевидный путь. /login, /admin и /secure боты пробуют первыми. Используйте то, что не является просто распространённым словом.
• Забытые другие двери. Если вход через XML-RPC ещё открыт, подбор паролей просто переедет туда. Смотрите, как безопасно отключить XML-RPC.
• Кэширование нового пути. Если CDN или кэш страниц сохраняет страницу входа, форма может сломаться. Исключите путь из кэширования, как для wp-login.php.

Без плагина

В WordPress нет настройки для смены адреса входа. Ручные способы такие:

Переименовать wp-login.php. Некоторые руководства советуют скопировать wp-login.php под новым именем и заменить в нём все ссылки. Это ломается при первом же обновлении WordPress: обновление восстанавливает исходный файл, а ваша копия устаревает. Мы это не рекомендуем.

Ограничить доступ к файлу на сервере. В Apache можно разрешить wp-login.php только для своего IP-адреса в .htaccess:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Это надёжно, если вы всегда работаете с одного постоянного адреса. Но в день, когда ваш IP сменится, вы останетесь снаружи, а на Nginx или LiteSpeed без аналогичного правила это не поможет. К тому же это не скрывает перенаправления с wp-admin.

Использовать HTTP basic auth. Многие хостинги позволяют поставить пароль на wp-login.php из панели управления. Это работает, но добавляет всем второе окно входа и может сломать вызовы admin-ajax.php с фронтенда, если применить его слишком широко.

Честный итог: ручные способы либо ломаются при обновлениях, либо зависят от постоянного IP. Плагин, который перехватывает запрос, проще и переживает обновления.

Если что-то пошло не так

• Новый путь показывает 404. Проверьте путь на опечатки, затем очистите кэш страниц и кэш CDN и попробуйте снова в новом приватном окне.

• Вы потеряли доступ. Добавьте эту строку в wp-config.php над строкой «That's all, stop editing!»:

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Форма входа сразу откроется по адресу yoursite.com/new-path.

• Нет доступа к файлу wp-config.php? Удалите папку hushfort-security из /wp-content/plugins/ через FTP или файловый менеджер хостинга. WordPress вернётся к стандартному входу.

Полное руководство по восстановлению — в статье Нет доступа после смены адреса входа.

С Hushfort

«Скрытие входа» входит в Hushfort Security — бесплатный плагин безопасности для WordPress.

Уровень «Скрытие входа» в Hushfort ничего не делает, пока вы не выберете путь, поэтому случайно запереть себя при включении невозможно. Когда путь задан:

• wp-login.php и wp-admin возвращают 404 (или, если хотите, перенаправляют на главную страницу или выбранный вами адрес).
• admin-ajax.php, REST API, WP-Cron и XML-RPC продолжают работать, так что тема и плагины ведут себя как раньше.
• В консоли есть карточка «Если вы потеряете доступ» с текущим адресом входа и аварийной строкой.
• При деактивации плагина WordPress возвращается к обычному входу.

«Скрытие входа» есть в бесплатном плагине. Hushfort Pro добавляет «Лимиты входа», двухфакторную аутентификацию и «Замок чёрного хода» для XML-RPC, так что скрытый вход — одна стена из нескольких, а не единственная.