Безопасная работа с панелью управления WordPress

Дополнительные расширенные примеры для администрирования wp-admin.

Продвинутые примеры и команды

1. Автоматическое создание файла .htpasswd через PHP

Сценарий: при развёртывании сайта требуется сгенерировать файл паролей без доступа к shell. Используется PHP-функция crypt().

$username = 'admin';
$password = 'StrongPass123!';
$hash = crypt($password, '$2y$10$' . bin2hex(random_bytes(22)));
$file_content = $username . ':' . $hash . "\n";
file_put_contents('/path/to/.htpasswd', $file_content);
echo 'Файл .htpasswd создан';

Результат: в указанной директории появляется файл со строкой admin:$2y$10$... (хеш).

2. Использование WP-CLI для сброса пароля администратора

Команда позволяет сбросить пароль любого пользователя прямо из консоли. Полезна, если утерян доступ к email.

wp user update admin --user_pass=NewStrongPassword123

Результат: пароль пользователя admin изменён. Флаг --user_pass использовать с осторожностью, так как пароль остаётся в истории shell.

3. Динамическое ограничение wp-admin по IP с помощью PHP и базы данных

Сценарий: разрешить доступ только тем IP, которые есть в таблице 'allowed_ips'. Реализация в functions.php без плагинов.

add_action('admin_init', function() {
    global $wpdb;
    $user_ip = $_SERVER['REMOTE_ADDR'];
    $table = $wpdb->prefix . 'allowed_ips';
    $exists = $wpdb->get_var($wpdb->prepare("SELECT COUNT(*) FROM $table WHERE ip = %s", $user_ip));
    if (!$exists) {
        wp_die('Ваш IP не авторизован для доступа к админ-панели.', '403 Forbidden', array('response' => 403));
    }
});
// Для создания таблицы при активации темы:
register_activation_hook(__FILE__, function() {
    global $wpdb;
    $table = $wpdb->prefix . 'allowed_ips';
    $charset_collate = $wpdb->get_charset_collate();
    $sql = "CREATE TABLE $table ( id INT AUTO_INCREMENT PRIMARY KEY, ip VARCHAR(45) NOT NULL ) $charset_collate;";
    require_once(ABSPATH . 'wp-admin/includes/upgrade.php');
    dbDelta($sql);
});

Результат: доступ к wp-admin будет только у IP, добавленных в таблицу базы данных. При активации темы таблица создаётся.

4. Отключение доступа к wp-admin для пользователей определённой роли

Например, исключить авторов (authors) из админ-панели. Они перенаправляются на главную.

add_action('admin_init', function() {
    $user = wp_get_current_user();
    if (in_array('author', $user->roles) && !defined('DOING_AJAX')) {
        wp_redirect(home_url());
        exit;
    }
});

Результат: при попытке автора зайти в wp-admin происходит перенаправление на главную страницу. AJAX-запросы не блокируются.

5. Логирование всех действий в wp-admin через PHP

Запись в файл каждой попытки входа, изменения настроек. Полезно для аудита.

add_action('wp_login', function($user_login, $user) {
    $log = date('Y-m-d H:i:s') . " - Пользователь $user_login вошёл в систему с IP " . $_SERVER['REMOTE_ADDR'] . "\n";
    file_put_contents(ABSPATH . 'wp-admin-log.txt', $log, FILE_APPEND);
}, 10, 2);
add_action('updated_option', function($option) {
    $log = date('Y-m-d H:i:s') . " - Изменена опция $option\n";
    file_put_contents(ABSPATH . 'wp-admin-changes.log', $log, FILE_APPEND);
});

Результат: в корне WordPress создаются файлы wp-admin-log.txt и wp-admin-changes.log с записями о входах и изменениях опций.