Как спрятать файл wp-config.php от внешнего доступа в WordPress

Файл wp-config.php — один из самых важных файлов в установке WordPress. В нем хранятся данные подключения к базе данных, ключи безопасности и другие критичные настройки сайта. Если этот файл попадет в руки злоумышленников, сайт может быть скомпрометирован. Поэтому важно надежно защитить wp-config.php от постороннего доступа.

Почему важно скрывать wp-config.php от внешних запросов

По умолчанию веб-сервер должен блокировать доступ к wp-config.php, однако бывают ситуации, когда из-за ошибок конфигурации или уязвимостей этот файл становится доступен извне. Как результат — риски утечки паролей и ключей безопасности. Даже если ваш хостинг надежно настроен, дополнительная защита никогда не помешает.

Основные угрозы, которые мы хотим предотвратить:

• Прямой доступ к файлу через браузер: http://example.com/wp-config.php
• Скачивание файла через уязвимости в плагинах или темах
• Сканирование и обнаружение критических данных конфигурации

Методы защиты файла wp-config.php

1. Защита через файл .htaccess (для Apache)

Самый простой и эффективный способ — добавить правило в .htaccess в корне вашего сайта WordPress. Это правило запретит доступ ко всем запросам к wp-config.php:

# Защита файла wp-config.php от внешнего доступа
<Files wp-config.php>
  order allow,deny
  deny from all
</Files>

Если у вас Apache 2.4+, лучше использовать директиву Require all denied:

# Apache 2.4+
<Files wp-config.php>
  Require all denied
</Files>

После добавления перезагрузите сервер или очистите кеш, чтобы изменения вступили в силу.

2. Перемещение wp-config.php за пределы публичной директории

WordPress позволяет разместить wp-config.php вне папки с сайтами, например, на уровень выше по директории. Сервер не будет отдавать этот файл напрямую, но WordPress по-прежнему сможет его найти и использовать.

Для этого:

• Переместите wp-config.php из корня сайта в родительскую папку.
• Убедитесь, что права на файл корректны и сервер может его читать.

Такой способ значительно повышает безопасность, так как доступ к файлу через URL становится невозможен.

3. Защита с помощью Nginx

Если ваш сайт работает на Nginx, то для защиты wp-config.php добавьте в конфигурацию сервера следующий блок:

location ~* wp-config.php {
  deny all;
  access_log off;
  log_not_found off;
}

После внесения изменений перезапустите Nginx: sudo systemctl reload nginx.

Дополнительные меры защиты и примеры кода

4. Проверка доступа через PHP-код

Можно дополнительно запретить выполнение wp-config.php при попытке прямого запуска через браузер, добавив в начало файла следующий код:

<?php
// wphide_check_direct_access
if (basename($_SERVER['SCRIPT_FILENAME']) === 'wp-config.php') {
  header('HTTP/1.0 403 Forbidden');
  exit('Доступ запрещён');
}
?>

Этот код остановит выполнение файла, если его пытаются открыть напрямую, хотя при правильной настройке сервера это обычно не требуется.

5. Использование плагина для усиления безопасности

Для комплексной защиты можно использовать плагин Clearfy Pro. Он умеет автоматически применять правила защиты для конфигурационных файлов, блокировать подозрительные запросы и улучшать общую безопасность сайта.

Проверка защиты файла и диагностика

После настройки обязательно проверьте, что файл wp-config.php недоступен из браузера. Для этого:

• Попробуйте открыть в браузере http://ваш_сайт/wp-config.php. Должна появиться ошибка 403 или 404.
• Проверьте логи веб-сервера на предмет попыток доступа к файлу.
• Используйте онлайн-сканеры безопасности, чтобы убедиться в надежности защиты.

Итог

Защита wp-config.php — обязательный этап в обеспечении безопасности WordPress. Используйте сочетание методов, описанных выше, чтобы быть уверенным в надежности защиты. Особенно рекомендуем:

• Добавлять правила в .htaccess или конфигурацию Nginx
• Перемещать файл за пределы публичной директории
• Добавлять дополнительный PHP-код для блокировки прямого доступа
• Использовать специализированные плагины, такие как Clearfy Pro

Правильная организация защиты конфигурационных файлов — залог стабильной и безопасной работы вашего WordPress-сайта.