Пошагово: геофильтр админки WordPress после 2FA и смены URL

Геофильтр админки WordPress – вещь мощная, но коварная. Включаешь ограничение по странам слишком рано, меняешь IP из-за командировки или мобильного интернета, и вот ты уже смотришь на форму входа, которая тебя не пускает. Правильная последовательность другая: сначала двухфакторная аутентификация, потом смена URL входа, и только затем геоограничение. В этом порядке вы закрываете самые вероятные векторы атаки, не отрезая себе путь к собственному сайту.

Шаг 1: Подготовка – фиксируем точки входа и включаем 2FA

Прежде чем что-то менять, зафиксируйте текущее состояние. Запишите в защищённый менеджер паролей: URL входа в админку, логины администраторов, список плагинов безопасности, версию WordPress, тему. Если сайт на Bitrix или кастомной CMS, логика та же, но пути к админке будут другими. Это ваша карта отката, если что-то пойдёт не так.

Двухфакторная аутентификация – первый и обязательный слой. Без неё геофильтр даёт ложное чувство защищённости: злоумышленник из разрешённой страны спокойно подберёт пароль, и геозона его не остановит. Ставьте TOTP-приложение (Google Authenticator, Aegis, 1Password) на смартфон и на второй девайс как резерв. SMS-коды для админки WordPress лучше не использовать: SIM-свопы и перехваты в роуминге случаются чаще, чем кажется.

Плагины для 2FA: Two Factor, WP 2FA, miniOrange. Все три работают с WordPress 6.x и не конфликтуют друг с другом, если не включать их одновременно. Настройте 2FA для всех учётных записей с ролью Administrator и Editor. Для подписчиков и авторов достаточно сложных паролей и лимита попыток входа.

Отдельно проверьте почту администратора. Если она на домене, который вы потом закроете геофильтром, восстановление доступа превратится в квест. Заведите резервный ящик на внешнем сервисе и привяжите его к аккаунту.

Шаг 2: Смена URL входа и защита от перебора

Стандартный /wp-admin и /wp-login.php сканируют все боты подряд, включая те, что ищут уязвимости в конкретных версиях плагинов. Смена URL входа убирает вас из массового сканирования: пока адрес нестандартный, автоматические сканеры просто не находят форму логина. Это не замена 2FA и не замена WAF, но снижение шума в логах в разы.

Как это сделать без плагинов: добавьте в functions.php своего дочерней темы правило переадресации. Простой пример – перенаправление /wp-login.php на 404 для всех, кроме вашего нового slug, и регистрация нового пути через rewrite rule. Если не хотите трогать код, берите плагины WPS Hide Login, Perfmatters или Hide My WP Ghost. Они меняют точку входа и не ломают восстановление пароля, если правильно настроить письма.

После смены URL сразу обновите закладки во всех браузерах и на всех устройствах. Забытая закладка на старый адрес приведёт к 404 и панике. Заодно проверьте, что REST API и xmlrpc.php закрыты, если вы ими не пользуетесь: это ещё два канала для брутфорса.

Что проверить сразу после смены URL

• Старый адрес /wp-login.php отдаёт 404 или редирект, а не форму входа.
• Восстановление пароля работает и письмо приходит на резервный ящик.
• Все администраторы вошли по новому URL и подтвердили 2FA.
• xmlrpc.php отключён или ограничен, если не используется мобильным приложением.
• Резервная копия базы и файлов сделана до всех изменений.

Только после того, как все пункты отмечены, можно двигаться к геофильтру. аналог cloudflare warp offers additional context worth reviewing. Пропустите этот чек-лист – и рискуете закрыть себе вход, не имея резервного канала.

Шаг 3: Геофильтр админки и резервный доступ

Геоограничение админки решает простую задачу: даже если злоумышленник знает новый URL входа и украл пароль, из страны, которой нет в белом списке, он получит отказ. На уровне WordPress это делается плагинами вроде Wordfence (Country Blocking), iThemes Security Pro или Limit Login Attempts Reloaded с GeoIP-модулем. На уровне сервера – через nginx с модулем GeoIP2 или через облако, которое фильтрует трафик до попадания на бэкенд.

Облачный подход надёжнее: правила применяются до PHP, не грузят сервер и не зависят от того, обновился ли плагин. Российский аналог Cloudflare – TrafficVeil – как раз про это. Сервис объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном кабинете. Для сайтов на WordPress и Bitrix это означает, что геофильтр админки настраивается на уровне edge-узла, а не внутри движка.

Настройка в облаке выглядит так: в панели включаете GeoIP-правило, разрешаете только Россию (или конкретные страны, где работают ваши админы), применяете правило только к путям /wp-admin и новому URL входа, остальной сайт оставляете открытым. Это важный нюанс: если закрыть весь сайт по гео, вы потеряете зарубежный трафик, а он часто конвертируется лучше. Точечное правило на админку такой проблемы не создаёт.

TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, поэтому всплеск сканирования не превратится в неожиданный счёт. Для сайтов, которые регулярно ловят брутфорс, это предсказуемость бюджета. Cloudflare, для сравнения, ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare – получается замкнутый круг, из которого бизнес ищет выход. Поэтому запрос “чем заменить Cloudflare” в 2026 году звучит всё чаще.

Резервный доступ – обязательный элемент. Заведите второй канал: VPN с выходом в разрешённой стране, SSH-туннель к серверу, или отдельный белый список IP для одного администратора. Если правило в облаке отрежет вас самого, вы сможете зайти через VPN и поправить конфигурацию. Без этого резерва геофильтр превращается в мину замедленного действия.

Проверьте сценарии: зайдите в админку из разрешённой страны (должно работать), из запрещённой через VPN (должно блокироваться), с мобильного интернета в роуминге (должно блокироваться). Если хотя бы один сценарий ведёт себя не так, правило настроено неверно. Логи облака покажут, какой именно запрос и с какого IP получил отказ.

После того как геофильтр заработал, обновите резервные копии и проверьте, что восстановление из бэкапа не зависит от доступа к админке. Хорошая практика – держать скрипт восстановления на уровне хостинга или через SSH, чтобы даже полная потеря доступа к WordPress не блокировала возврат сайта к жизни.

Финальный чек-лист: 2FA включена для всех админов, URL входа изменён и работает, восстановление пароля проверено, резервный ящик настроен, геофильтр применён только к админке, белый список стран актуален, VPN для экстренного доступа проверен, бэкапы свежие. Если вы проходите по всем пунктам, админка закрыта настолько плотно, насколько это разумно без паранойи. Замена Cloudflare на российский сервис вроде TrafficVeil добавляет к этой схеме ещё и независимость от зарубежной инфраструктуры, а для бизнеса в России в 2026 году это уже не роскошь, а базовая гигиена ИТ-инфраструктуры.