Как скрыть что сайт сделан на wordpress

Удаляем следы WordPress с сайта

В предыдущей статье мы рассматривали как удалить следы присутствия Joomla с сайта. Теперь более детально остановимся на следующей популярной платформе для сайтов — WordPress. По аналогии с Joomla мы попытаемся с минимальными потерями и возможностью дальнейшего обновления сайта.

Затираем признаки WordPress — удаляем следы присутствия

В первую очередь стоит скрыть доступ посторонним для админки. Похожее мы делали в джумле, однако в случае с вордпрессом есть свои нюансы.

В любом случае защита админки — это жирный плюс к безопасности. Почему? Да очень просто. Очень многие сайты подвергаются атаке брутофорса или перебора паролей, говоря простым языком. Часть из них падет ниц перед злоумышленниками. Кроме этого, многие известные уязвимости плагинов и CMS находят свое применение через административную панель сайта. В том случае, когда уязвимости нулевого дня остаются без доступа к админке, они становятся бесполезными, а сайт остаётся невредимым.

Как удалить следы вордпресса своими руками с сайта

Теперь, когда мы убедились в необходимости усиления панели управления сайтом, займемся этим на практике.

Мы будем делать это стандартными средствами Apache, без использования сторонних плагинов. Существует два варианта запрета доступа: по айпи или по паролю.

Рассмотрим для начала вариант с ip. В этом случае мы должны иметь статический айпи-адрес, на худой конец айпи адреса одних подсетей.

Создадим в папке wp-admin файл .htaccess и добавим директиву deny,allow

order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx

где вместо xxx.xxx.xxx.xxx мы ставим наш адрес. Через запятую можно указать несколько айпи-адресов или можно указать маску подсети xxx.xxx.xxx. ( в этом случае будут работать все адреса начинающиеся на данную маску).

Внимание! Если ваша тема или плагины на сайте используют технологию аякс (AJAX), то вполне возможно, что нам придется открыть доступ к одному файлу в папке, для этого необходимо дописать в файл .htaccess следующий код:

<Files admin-ajax.php>
Order allow,deny
Allow from all
Satisfy any
</Files>

После таких манипуляций любой посторонний доступ к папке wp-admin будет запрещен. Если же понадобится зайти с другого компьютера на другом айпи, не забудьте зайти по фтп и добавить нужный адрес в список.

Однако мы не защитили саму авторизацию, если на вашем сайте не используется регистрация и вход пользователей, то в корневой файл .htaccess стоит добавить следующие строки:

где опять укажем наш белый айпишник. Данная мера поможет избежать возможности bruteforce на сайт.

Если регистрация и авторизация на сайте не нужны (это актуально для большинства сайтов-визиток), то стоит и закрывать файл xmlrpc.php — через него хакеры любят перебирать пароли через POST запросы. Здесь правда можно вообще закрывать прямой доступ, не обязательно по айпи или basic или digit авторизации.

Второй метод основан на установке парольной защиты на директорию wp-admin и файл wp-login.php

Код для закрытия wp-login.php

Аналогично выглядит и для файла xmlrpc.php

Не буду повторяться о данном методе, подробно это описано в защите админки джумлы, приведу лишь пример для файла .htaccess в папке wp-admin, где мы исключаем файл admin-ajax.php:

AuthName «Welcome home»

AuthUserFile «path to .htpasswd file»

SetEnvIf Request_URI ^/wp-admin/admin-ajax.php.* noauth=1

Allow from env=noauth

Закрываем админку WordPress на Apache 2.4

В новых версиях апача директивы order, deny и allow были упразднены и заменены на require. Старые правила конечно продолжают работать (неизвестно до какой версии правда), но в логах будут возникать такого рода ошибки:

Дабы избежать такого мусора да и проблем с совместимостью будущем перепишем наши правила, настоятельно советую всем, у кого используется Apache 2.4 использовать новые правила!

Итак, запрет по айпи административной панели вордпресс теперь превратится в одну строчку:

Для исключения из правил аякс запросов добавляем следующие строки:

Точно также будет и для авторизации через wp-login.php:

Двухфакторная авторизация для админки примет следующий вид:

А для закрытия авторизации на сайте через wp-login.php или xmlrpc.php ничего не изменится.

Как видим ничего сложного нету, и новые директивы более просты в использовании.

Удаляем версию WordPress на сайте

Следующим шагом будет удаление генератора из кода html. Достаточно открыть исходный код любой страницы и можно лицезреть следующее:

<meta name=»generator» content=»WordPress 4.5.3″/>

Согласитесь, это нам совсем ни к чему.

Делается это совсем просто, достаточно найти файл functions.php вашей темы ( расположена по пути wp-content/themes/<названиетемы> ) добавить функцию:

Идем дальше, глянем на файлы в корне. По умолчанию там любят скапливаться разные информационные файлы, которые подлежат немедленному удалению.

Стандартный набор таких файлов: readme.html, license.txt иногда бывают с разрешением .md

В любом случае желательно и в папках шаблонов и плагинов удалить файлы версий как changelog, readme и license с различными видами расширений. Это предотвратит распознавание версий плагинов, а значит и невозможность подбора уязвимости под версию.

С другой стороны, при обновлении сайта эти файлы будет созданы вновь, и удалять каждый раз согласитесь не комильфо. Поэтому можно просто сделать запретить доступ в файле .htaccess к определенным файлам:

Расширить список файлов можно и самому, добавив по аналогии свои.

Если мы хотим запретить конкретные типы файлов, к примеру txt,sql и т.д. — можно воспользоваться следующей конструкцией (убедитесь, что не блокируете лишнее как карта сайта или robots.txt):

Не забываем открыть доступ нужным файлам, особенно ценных для поисковиков:

Запрещаем обращение к корневым файлам вордпресс

Теперь коснемся файлов внутри корневой директории — это все файлы, начинающиеся на wp- (wp-config.php, wp-cron.php и другие) и файл xmlrpc.php

При прямом запросе к этим файлам мы будем получать различные ответы сервера, отличные от 404 — а значит файл существует. В интернете советуют решение прописать редирект с этих файлов на 404 ошибку. Честно говоря, мне этот метод не особо нравится, я бы лучше запрещал прямой доступ к файлам через директиву deny, allow

Однако даже и в этом случае у нас будет 403 ошибка вместо 404 — но и тут можно решить проблему, достаточно переопределить разного рода ошибки на 404 — и обязательно включить логирование, чтобы просматривать реальные ошибки сервера.

В любом случае, я советую для начала проанализировать работу сайта с закрытым прямым доступом к этим файлам — чересчур торопиться не стоит, при закрытии некоторых файлов можно закрыть доступ к авторизации или регистрации, фиду новостей и другим возможностям — поэтому будьте предельно осторожны с этим пунктом!

Как запрещать доступ к отдельным файлам было показано выше, для любителей краткости могу предложить такой вариант:

Удаляем версии скриптов в коде страницы на сайтах WordPress

Ну и напоследок, один из явных признаков определения точной версии вордпресс — это версионность скриптов и стилей. Если присмотреться в исходный код html, то можно обнаружить добавки к путям скриптов:

<script type=»text/javascript» src ></script>

В некоторых случаях скрипты имеют свою версию, но большинство получают номер текущей сборки, тем самым выдают реальную версию вордпресса. Для чего воообще это сделали разработчики? Ответ прост, многие браузеры кешируют скрипты и стили на компьютере и при обновлении файлов скриптов не все пользователи могут додуматься обновить кеш. А различия в коде обновления могут исказить сайт в нелучшую сторону. Добавление версии позволяет избавиться от этой проблемы.

Итак, приведу решение, как избавиться раз и навсегда от определения версии WordPress. Не знаю, кто именно придумал этот метод, но он действенен, необходимо добавить в файл functions.php следующие строки:

Заметаем все следы WordPress полностью

С большей частью работы мы справились, однако признаков определения CMS остается прилично. Полностью мы не сможем избавиться от всех следов, не нарушив работоспособность, однако попробуем выжать максимум. Начнем с тем. Во-первых, удаляйте лишние и неиспользуемые темы: стандартные темы типо twentysixteen, twentyseventeen или twentyfifteen можно безболезненно деинсталлировать с сайта. Во-вторых, можно переименовывать темы на свои уникальные, дабы искажать информацию об установленном шаблоне. Тут палка о двух концах, мы не будем получать обновления, это было б неплохо для тяжелых тем, особенно с функционалом магазина. С другой стороны будем уверены, что обновление не перепишет наши правки.

Следующим шагом будем убирать информацию, которые оставляют плагины. Достаточно заглянуть в код страницы и лицезреть в комментариях различного рода информацию, от версий и названий плагинов до информации отладки. Приведу некоторые примеры:

<!— This site is optimized with the Yoast SEO plugin v3.4.2 —>

<!— platinum seo pack 1.3.8 —> <!— /platinum one seo pack —>

<!— Powered by WPtouch: 4.0.4 —>

Такой мусор нам совсем ни к чему, в большинстве случаев это можно откючить в настройках плагинов, реже придется лезть в код.

Как отключить Emoji в WordPress

Добавляем в functions.php следующий код:

remove_action( ‘wp_head’, ‘print_emoji_detection_script’, 7 );

remove_action( ‘admin_print_scripts’, ‘print_emoji_detection_script’ );

remove_action( ‘wp_print_styles’, ‘print_emoji_styles’ );

remove_action( ‘admin_print_styles’, ‘print_emoji_styles’ );

remove_filter( ‘the_content_feed’, ‘wp_staticize_emoji’ );

remove_filter( ‘comment_text_rss’, ‘wp_staticize_emoji’ );

remove_filter( ‘wp_mail’, ‘wp_staticize_emoji_for_email’ );

add_filter( ‘tiny_mce_plugins’, ‘disable_wp_emojis_in_tinymce’ );

function disable_wp_emojis_in_tinymce( $plugins ) <

if ( is_array( $plugins ) ) <

return array_diff( $plugins, array( ‘wpemoji’ ) );

Как полностью отключить REST API в WordPress

В последних версиях ворпресса появилась очередная фича для разработчиков, позволяющая более гибко и удобно создавать различные приложения. REST API позволяет использовать возможности WP Query посредством простых запросов и всё через wp-json. Простым блогам, не использующим данную технологию, эти нововведения принесли лишь дополнительные хлопоты: в вебмастерах стали индексироваться непонятные страницы, содержащие в адресе /wp-json/wp/v2/posts или /wp-json/wp/v2/users/. Нет повода для радости и в том, что хакеры тоже нашли применение новому апи и во всю эксплуатировали найденные дыры для веб-спама и создания дорвеев. И я думаю, что это далеко не последняя обнаруженная уязвимость в фреймворке REST API. Именно поэтому для тех, кто не использует на своём сайте данные фишки, то их без зазрения совести можно и нужно отключить. Делается это как также в файле функций темы необходимо добавить следующий код:

Если при этом возникают проблемы с работоспособностью плагинов, к примеру, с отправкой форм в Contact Form 7 — то удалите или закомментируйте следующие строки:

И напоследок, скину список стандартных файлов, которые обнаруживают популярные сканеры (cmsmap в частности):

Что с ними делать, уже вам решать, удалять, запрещать доступ или оставлять как есть.

Если понравилась статья, поделитесь с ней друзьями. В комментариях жду ваши советы по заметанию следов вордпресса.

• Как проверить сайт на вирусы
• Удаление следов Joomla на сайте

Спасибо за статью, жду её дополнения!

Убрать версионность скриптов и стилей можно так:

function _remove_script_ version( $src )<
$parts = explode( ‘?’, $src );
return $parts[0];>
add_filter( ‘script_loader_ src’, ‘_remove_script _version’, 15, 1 );
add_filter( ‘style_loader_s rc’, ‘_remove_script _version’, 15, 1 );

Как убрать надпись сайт работает на WordPress: 3 проверенных метода

В большинстве бесплатных тем есть зашитые разработчиками ссылки. Хорошо когда ссылки ведут на официальные сайты, или на страницы в социальных сетях, хуже если скрыт через скрипт и выводят разный контент. Но в статье ответим на вопрос как убрать «сайт работает на WordPress» (в переводе с PROUDLY POWERED BY WORDPRESS), линк ведет на официальный сайт вордпресса и зашивается в стандартные темы семейства Twenty.

Убрать через плагин

Отличным решением для новичков, и кому не хочется копаться в кодах это плагин. Есть крохотный «Remove Powered by WordPress» , который имеет лишь одну настройку.

Устанавливается стандартно, можно через поиск по плагинам в админке вордпресс, либо скачиваем с сайта.

Remove Powered by WordPress

Экспериментировать буду на теме Twenty Seventeen, идем во Внешний вид > Настроить. Откроется страница, заходим в раздел Настройка темы, как видим надпись пока отображается.

Настройки темы

В самом верху появиться раздел с чекбоксом, нажимаем на него, чтобы появилась галочка и наблюдаем как запись «Сайт работает на WordPress» исчезает, если результат вас устраивает, то нажимаем Опубликовать.

Включаем чекбокс

В некоторых случаях настройки плагина выведены в отдельный пункт, называется Theme options, нажимая на него увидите тот же раздел, в котором включается плагин.

Themes Option

Плагин справляется со всеми шаблонами семейства Twenty :

• seventeen
• eleven
• sixteen
• fourteen
• twelve
• fifteen
• nineteen
• со свежей twenty
• Так же справляется с шаблонами от Themegrill, но не со всеми
• Может очистить надпись у шаблонов от команды Bulk
• Отключает текст в темплейте для интернет магазинов StoreFront

Если вы не сторонник устанавливать лишние дополнения, то предлагаю вам использовать метод с помощью CSS.

CSS код

Предупрежу сразу, что убрать надпись сможем визуально, но в самом коде останется, то есть как говорят вебмастера скроем. Находим запись и нажимаем на ней правой кнопкой мыши и выбираем Просмотреть код.

Запуск инструмента Просмотреть код

Откроется окно со всем HTML кодом страницы, находим блок, отвечающий за вывод надписи, нас интересует класс или id, привязанное к этому элементу. На скриншоте видно, что class имеет название site-info, запоминаем или записываем.

Определение class

Теперь идем в админпанель Внешний вид > Редактор. Откроется страница со всеми основными файлами темы, нам нужен файл style.css. Прокручиваем документ до самого низа и вставляем код такого типа.

Не забудьте проверить тот ли шаблон выбран и по окончании нажать Обновить файл.

Прописываем строки в style.css

Проверяем работу, идем на сайт и смотрим исчезла ли надпись. Если нет, то скорее всего не правильно определен class блока «Сайт работает на WordPress».

Обязательно при проверке обновите страницу путем нажатия клавишей Ctrl+F5, иначе изменения могут не появится, потому что срабатывает кеш браузера.

Этот способ не идеален, и ссылка остается, но если это не важно, то пользуйтесь, если хотите полностью отключить надпись, то переходим к следующему методу. Чтобы не возиться с кодами, лучше такие шаблоны удалять и искать более чистые.

Удаление из темы

Способ требует некоторой технической сноровки, но постараюсь написать подробно. Проблема заключается в том, чтобы найти тот файл, который регулирует вывод текста внизу. Обычно это footer.php, но в разных темах он спрятан в других местах.

Ранее выяснили, что вывод идет в блоке с классом site-info. Давайте заглянем в файл футера footer.php и посмотрим есть ли там такой блок. Заходим в редактирование темы из админки, и находим Подвал, и правда блок с классом site-info есть.

До удаления

Теперь обводим весь div с его содержимым и удаляем из шаблона. Не забываем нажать кнопку Обновить, вот что должно получится.

После

Обязательно проверьте что очистили все грамотно, открывающий тег <div содержимое и закрывающий </div>. Теперь проверяйте что получилось, содержимое должно исчезнуть и в мобильной версии тоже. На место надписи можно поставить копирайт или вставить счетчики аналитики яндекс метрики.

Для оптимизации лучше проводить такие операции через FTP соединение, и с применением дочерней темы , к сожалению не все шаблоны поддерживают данную функцию. Для более наглядного представления приложу собственное видео.

Чек лист действий

Подведем итог и кратко опишем, что нужно делать:

1. Определяем класс
2. Находим файл
3. Стираем
4. Сохраняем
5. Проверяем на правильность проделанной работы

На этом закончу, вы узнали как убрать надпись «Сайт работает на WordPress» и теперь с легкостью можете его удалять или редактировать, успехов.

Как скрыть использование WordPress и спрятать админку

Спрятать следы использования ВП — это вопрос безопасности сайта. Сложность в выявлении CMS — дополнительная преграда для злоумышленников.

Как спрятать админку

Такой вид защиты не дает попасть третьим лицам в форму авторизации на сайты — тем самым не дает начать подбор паролей. Спрятать админку можно несколькими простыми способами способами.

Плагин Rename wp-login.php

Единственная функция плагина, с которой он хорошо справляется — меняет адрес админки. После установки и активации плагина перейдите в раздел Настройки > Постоянные ссылки и установите новый адрес админки. При этом /wp-login.php и /wp-admin/ перестанут открываться.

Clearfy Pro

Это платный плагин, но стоит он очень дешево. Рекомендую потратиться один раз, зато забудете о куче проблем. Подробнее о плагине читайте тут.

По сути это плагин-кобайн и сочетает в себе очень много функций, среди которых есть и безопасность.

• Может изменить адрес админки, полностью аналогично предыдущему плагину
• Убирает возможность узнать логин администратора, что усложняет подрбор пароля
• Прячем ошибки в форме логина WP, тем самым затрудняет подбор
• Убирает версию WP из исходного кода + убирает версии у скриптов
• Защищает от DDoS и Bruteforce аттак
• Защищает контент от воровства

Это только вопросы безопасности, там еще есть огромное количество опций по SEO-оптимизации, удалению дублей страниц, чистки исходного кода. Возможность следить за 404 ошибками, создавать нужные редиректы, выводить сообщение об использовании Cookie и многое другое.

Как спрятать папку /wp-content/

Тут нам поможет плагин Hide My WP. Он умеет прятать адимнку и скрывать пути сайта, в том чисое папку wp-content и wp-includes .

Кроме этого, плагин прячет путь к плагинам и темам. Меняет его на произвольный.

Подборка полезных материалов о том, как скрыть админку вордпресс и удалить следы использования WP

Как убрать надпись «Powered by WordPress»

WordPress – это самая популярная и удобная CMS в мире. Несмотря на ее «идеальность», бывают моменты, когда приходится немного помучаться. Например, в нижней части сайта некоторых тем возникает надпись «Powered by WordPress», что означает «Работает на WordPress». Не всем хочется такое видеть: гораздо лучше скрыть или убрать этот раздел целиком, особенно если речь идет о сайте для бизнеса.

В сегодняшней статье мы узнаем, как избавиться от подобной надписи раз и навсегда.

Способ 1: Через настройки темы

Разработчики популярных тем часто дают пользователям возможность максимально кастомизировать сайт. Чтобы избавиться от надписи «Powered by WordPress», достаточно зайти в специальное меню и выбрать настройку «Hide (скрыть)». Давайте рассмотрим на примере, как это работает:

1. Открываем браузер и переходим в административную панель WordPress. Для этого приписываем к своему домену /wp-admin. В отобразившемся окне вводим логин и пароль, затем жмем «Войти».
2. Следующим шагом переходим в левом меню во вкладку «Внешний вид» и выбираем «Настроить».
3. Перед нами отобразится дополнительное меню. Здесь нас интересует строка «Site Identity» («Свойства сайта», если используется русская версия темы).
4. В блоке «Footer Credit» («Футер сайта/Подвал сайта») выбираем настройку «Hide» («Скрыть»). И в завершение сохраняемся кнопкой «Save & Publish».

Можете проверить, надпись «Powered by WordPress» должна исчезнуть. Если ваша тема не позволяет провести данную манипуляцию, то попробуйте другие способы, о которых мы поговорим дальше.

Способ 2: Изменяем PHP-код

Не пугайтесь PHP – нам не потребуется программировать. Нужно удалить лишь один фрагмент кода. Как и в предыдущем примере, следуем инструкции:

1. Авторизуемся в административной панели и переходим во вкладку «Внешний вид». Открываем через нее редактор сайта.
2. В правой части находим блок «Подвал» и открываем его.
3. Мы попадаем в окно редактирования PHP-кода. Здесь нас интересует тег <div Чтобы избавиться от надписи «Powered by WordPress», следует стереть весь контент из данного div-а. Просто выделяем весь код до закрывающего тега </div> и удаляем его. В завершение жмем на кнопку «Обновить файл».
4. В некоторых случаях код может быть завернут в тег <p Если видите эту надпись, то также удалите ее, а затем нажмите на «Обновить файл».

Вот так мы и удалили надпись «Сделано на WordPress». Если вам не удалось обнаружить вышерассмотренный код, то нужно воспользоваться другим способом. Связано это может быть с тем, что надпись выводится из языкового или другого служебного файла установленной темы. В таких случаях можно отредактировать CSS либо удалить код в файле site-info.php через файловый менеджер.

Подробнее об этом поговорим далее.

Способ 3: Изменяем CSS

CSS – это стили сайта. Они отвечают за отображение элементов, их дизайн и так далее. Например, с помощью CSS мы можем добавить отступы между фотографиями, изменить размер текста либо отключить отображение выбранного блока. Последнее как раз нас и интересует. Надпись «Powered by WordPress», как правило, использует класс .site-info. Мы можем обратиться к этому классу и просто сказать ему, чтобы он не отображался.

Сделать это можно следующим образом:

1. Переходим в административную панель WordPress и первым делом устанавливаем плагин, который позволит нам легко отредактировать файл CSS. Для этого открываем раздел «Плагины» и в правой части вводим поисковой запрос «Simple Custom CSS», затем напротив нужного плагина нажимаем «Установить».
2. После успешной установки нам также потребуется активировать плагин – делаем это на этой же странице.
3. Теперь можно переходить к редактированию CSS – для этого открываем «Внешний вид» -> «Пользовательский CSS». На отобразившейся странице прописываем небольшую строчку кода: .site-info . Таким образом мы говорим, что содержимое класса .site-info больше не будет отображаться в браузере. В завершение не забываем нажать на кнопку «Обновить пользовательский CSS».

Способ 4: Поиск ссылки в файлах темы

В данном случае от нас потребуется следующее – установить любой FTP-клиент, например FileZilla. Затем надо подключиться к хостингу и найти файл site-info.php – в нем надо удалить код, отвечающий за надпись «Powered by WordPress».

Выполняем для этого следующее:

1. Открываем официальную страницу FileZilla и скачиваем актуальную версию клиента.
2. Запускаем программу и обращаем внимание на верхнее меню – там следует ввести хост, имя пользователя и пароль. Все эти данные вы можете найти в личном кабинете своего хостинга. Например, на Timeweb это находится на главной странице панели управления.
3. Введя необходимые данные, мы получим доступ к файлам сайта. Проходим по следующему пути: wp-content/themes/название-темы/template-parts/footer/site-info.php. Кликаем по файлу правой кнопкой мыши и выбираем «Просмотр/Правка».
4. В отобразившемся окне останется удалить содержимое тега <div src=»https://timeweb.com/media/articles/0001/04/d27a894f38bedeedb395365ad68e07b09336208c.png» alt=»Редактирование файла site-info.php» />
5. Сохраняем файл и загружаем его обратно на сервер – для этого в отобразившемся окне жмем на кнопку «Да».

После внесенных изменений проверьте сайт – надпись должна исчезнуть.

Заключение

В сегодняшнем руководстве мы разобрались в том, как избавиться от надписи «Powered by WordPress». Сделать это можно 4 способами:

1. используя настройки темы,
2. через редактирования PHP-кода,
3. средствами CSS,
4. через удаленное подключение.

На этом моя статья подходит к концу. Надеюсь, что один из способов помог вам решить проблему. Спасибо за внимание!

Похожие публикации:

1. Какой порт указывать в тинькофф мобайл
2. Почтовый сервер для организации какой выбрать
3. Как из bat сделать exe
4. Распоковать или распаковать как пишется