Fail2ban для WordPress: Автоматическая защита от брутфорса и ботов

Знаете, что происходит с вашим сайтом прямо сейчас? Пока вы читаете эту статью, десятки ботов сканируют wp-login.php, подбирая пароли. Тысячи запросов в час. И каждый из них — это нагрузка на PHP, запрос к базе данных, место в логах.

Вы можете скрыть URL логина, поставить двухфакторную аутентификацию, ограничить попытки входа через Nginx. Но всё это — защита на уровне приложения. А что если заблокировать атакующих ещё до того, как они доберутся до WordPress?

Вот тут на сцену выходит Fail2ban. Это как швейцар в ночном клубе, который смотрит на список нежелательных гостей и просто не пускает их внутрь. Не объясняет, не спорит — блокирует на уровне firewall.

Сегодня настроим Fail2ban для защиты WordPress. Автоматическая блокировка IP после неудачных попыток входа, защита от спам-ботов, интеграция с Nginx и уведомления в Telegram. Всё на уровне сервера — WordPress даже не узнает, что его атакуют.

Что такое Fail2ban и почему он круче плагинов безопасности

Fail2ban — это демон для Linux, который мониторит логи и автоматически блокирует IP-адреса, которые ведут себя подозрительно. Он читает логи в реальном времени, находит паттерны (например, «неудачная попытка входа») и добавляет правила в iptables или firewalld.

Звучит сложно? На самом деле всё просто. Вы говорите Fail2ban: «Смотри в лог Nginx. Если увидишь 5 неудачных попыток входа с одного IP за 10 минут — заблокируй этот IP на час». И он делает именно это. Автоматически. Без вашего участия.

Сравнение с плагинами безопасности:

Разница колоссальная. Fail2ban блокирует атакующих до того, как они вообще доберутся до WordPress. Это как поставить забор вокруг дома, а не ждать, пока взломщик войдёт в комнату.

Шаг 1: Установка Fail2ban

Fail2ban есть в репозиториях всех популярных дистрибутивов Linux. Установка занимает минуту.

Ubuntu/Debian:

sudo apt update
sudo apt install fail2ban

CentOS/RHEL:

sudo yum install epel-release
sudo yum install fail2ban

Проверяем, что Fail2ban запущен:

sudo systemctl status fail2ban

# Должно быть: Active: active (running)

Если не запущен — запускаем:

sudo systemctl start fail2ban
sudo systemctl enable fail2ban  # Автозапуск при загрузке

Шаг 2: Базовая конфигурация

Fail2ban работает через «jails» (тюрьмы) — правила, которые определяют, что мониторить и как блокировать. Каждый jail читает определённый лог, ищет паттерны и блокирует IP.

Открываем главный конфиг:

sudo nano /etc/fail2ban/jail.conf

Но! Не редактируем jail.conf напрямую. Вместо этого создаём jail.local — он переопределяет настройки и не теряется при обновлениях:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Находим секцию [DEFAULT] и настраиваем базовые параметры:

[DEFAULT]
# Игнорируем свои IP (чтобы случайно не заблокировать себя)
ignoreip = 127.0.0.1/8 ::1 123.45.67.89

# Время блокировки по умолчанию (1 час)
bantime = 1h

# Интервал, в течение которого считаем неудачные попытки (10 минут)
findtime = 10m

# Количество попыток перед блокировкой
maxretry = 5

# Бэкенд для чтения логов. "auto" сам выбирает pyinotify (эффективное
# отслеживание изменений файла) и откатывается на polling, если pyinotify
# недоступен. Не используйте здесь "systemd" — этот backend читает journal
# через journalmatch и игнорирует logpath, а все джейлы в этой статье
# читают файл /var/log/nginx/access.log, а не journal.
backend = auto

# Действие при блокировке (бан + уведомление)
banaction = iptables-multiport
# На системах с nftables как основным firewall (Ubuntu 22.04+/24.04+ и
# новее) вместо iptables-multiport может больше подойти nftables-multiport —
# зависит от того, что реально установлено в системе.
mta = sendmail

Разберём, что здесь происходит:

• ignoreip — IP, которые никогда не блокируются. Обязательно добавьте свой IP, иначе можете заблокировать сами себя
• bantime — на сколько блокировать IP (1 час, 1 день, навсегда)
• findtime — окно времени, в течение которого считаем попытки
• maxretry — сколько попыток допустимо перед блокировкой
• backend — как читать логи (auto, polling, pyinotify, systemd)

⚠️ Важно: если сайт работает через Cloudflare или другой proxy/CDN

Это касается практически всех джейлов из этой статьи, поэтому проверьте перед тем, как идти дальше. Если перед вашим сайтом стоит Cloudflare (или любой другой reverse proxy / CDN), Nginx по умолчанию видит в логах IP-адрес edge-сервера Cloudflare, а не реального посетителя — все запросы технически приходят с одного из IP Cloudflare. Это значит, что фильтр <HOST> во всех джейлах ниже будет матчить не атакующего, а сам Cloudflare.

Cloudflare сама официально предупреждает об этом в документации по IP Access Rules: fail2ban поддерживается, но чтобы не банить случайно сам Cloudflare и не ломать доступ другим посетителям, нужно восстановить реальный IP посетителя в логах origin-сервера.

Если ваш сайт не за Cloudflare/CDN (хостинг отдаёт трафик напрямую) — эта секция вас не касается, переходите к Шагу 3.

Если за Cloudflare — добавьте модуль ngx_http_realip_module (он собран по умолчанию в стандартных пакетах Nginx из Ubuntu/Debian и с nginx.org; проверить можно через nginx -V 2>&1 | grep -o http_realip_module):

# Генерируем конфиг с актуальными диапазонами IP Cloudflare
{
  for ip in $(curl -s https://www.cloudflare.com/ips-v4); do echo "set_real_ip_from $ip;"; done
  for ip in $(curl -s https://www.cloudflare.com/ips-v6); do echo "set_real_ip_from $ip;"; done
  echo "real_ip_header CF-Connecting-IP;"
  echo "real_ip_recursive on;"
} | sudo tee /etc/nginx/conf.d/cloudflare-realip.conf

sudo nginx -t && sudo systemctl reload nginx

После этого $remote_addr в логах Nginx и, соответственно, всё, что fail2ban извлекает как <HOST>, будет реальным IP посетителя, а не Cloudflare. Диапазоны IP Cloudflare периодически меняются — стоит время от времени перегенерировать этот файл (например, раз в месяц через cron).

Шаг 3: Защита wp-login.php от брутфорса

Теперь создаём jail для защиты WordPress. Открываем jail.local и добавляем в конец:

[wordpress]
enabled = true
port = http,https
filter = wordpress
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 10m
bantime = 1h

Разберём параметры:

• enabled — включён ли jail
• port — какие порты мониторить (HTTP и HTTPS)
• filter — имя фильтра (создадим ниже)
• logpath — путь к логу Nginx
• maxretry — 5 попыток = бан
• findtime — считаем за 10 минут
• bantime — блокируем на 1 час

Эту секцию [wordpress] мы будем дальше дополнять в Шагах 6 и 8 — не создавайте её копию заново, просто добавляйте новые строки в неё же. INI-формат, на котором держится fail2ban, не разрешает две секции с одинаковым именем в одном файле — будет ошибка при старте.

Создаём фильтр для WordPress

Теперь нужно сказать Fail2ban, что именно искать в логах. Создаём файл фильтра:

sudo nano /etc/fail2ban/filter.d/wordpress.conf

Добавляем:

[Definition]
# Ищем POST-запросы к wp-login.php с кодом 401 или 403
failregex = ^ .* "POST /wp-login.php HTTP.*" (401|403) .*$
            ^ .* "POST /xmlrpc.php HTTP.*" (401|403) .*$

# Игнорируем успешные входы
ignoreregex =

Что здесь происходит?

• failregex — регулярное выражение для поиска неудачных попыток входа
• <HOST> — плейсхолдер для IP-адреса
• POST /wp-login.php — ищем POST-запросы к странице входа
• (401|403) — коды ошибок (неавторизован или запрещено)

Но есть проблема!

По умолчанию WordPress возвращает код 200 даже при неудачном входе. Поэтому Fail2ban не видит ошибок. Нужно научить WordPress возвращать правильный код.

Добавляем в functions.php:

/**
 * Возвращаем код 401 при неудачном входе.
 *
 * Хук wp_login_failed — это родное событие WordPress, оно срабатывает
 * ровно один раз на каждую реальную неудачную попытку входа (внутри
 * wp_authenticate(), которую и так вызывает wp-login.php). Не нужно
 * дополнительно вызывать wp_authenticate() самостоятельно на init —
 * это привело бы к двойной проверке пароля за один запрос и, как
 * следствие, к двойному срабатыванию wp_login_failed (а значит и к
 * задвоенным счётчикам в любых security-плагинах, которые на него
 * подписаны).
 */
add_action( 'wp_login_failed', function( $username ) {
    status_header( 401 );
} );

Теперь при неудачном входе WordPress возвращает код 401, и Fail2ban видит это в логах.

Шаг 4: Защита от спам-ботов

Боты не только подбирают пароли — они ещё и спамят в комментариях. Fail2ban может блокировать и их.

Добавляем ещё один jail в jail.local (это отдельная секция, не путать с [wordpress]):

[wordpress-spam]
enabled = true
port = http,https
filter = wordpress-spam
logpath = /var/log/nginx/access.log
maxretry = 3
findtime = 1h
bantime = 24h

Создаём фильтр /etc/fail2ban/filter.d/wordpress-spam.conf:

[Definition]
# Ищем POST-запросы к wp-comments-post.php
failregex = ^ .* "POST /wp-comments-post.php HTTP.*" (403|400) .*$

ignoreregex =

Но опять проблема — WordPress не возвращает 403 при спаме. Нужно добавить код в functions.php:

/**
 * Блокируем спам-комментарии и возвращаем 403
 */
function customcode_block_spam_comments( $commentdata ) {
    // wp_blacklist_check() устарела с WordPress 5.5 — актуальная функция
    // называется wp_check_comment_disallowed_list() (старая всё ещё
    // работает как обёртка, но пишет deprecation-нотис в лог при каждом
    // вызове)
    if ( wp_check_comment_disallowed_list(
        $commentdata['comment_author'],
        $commentdata['comment_author_email'],
        $commentdata['comment_author_url'],
        $commentdata['comment_content'],
        $commentdata['comment_author_IP'],
        $commentdata['comment_agent']
    )) {
        status_header( 403 );
        wp_die( 'Comment blocked', 'Spam detected', array( 'response' => 403 ));
    }
    return $commentdata;
}
add_filter( 'preprocess_comment', 'customcode_block_spam_comments', 1 );

Теперь спам-боты будут получать 403, и Fail2ban заблокирует их IP на 24 часа.

Шаг 5: Защита XML-RPC

XML-RPC — это старая дыра в безопасности WordPress. Через неё можно подбирать пароли пачками. Если вы не используете XML-RPC (а вы скорее всего не используете) — заблокируем его.

Добавляем jail:

[wordpress-xmlrpc]
enabled = true
port = http,https
filter = wordpress-xmlrpc
logpath = /var/log/nginx/access.log
maxretry = 3
findtime = 10m
bantime = 24h

Фильтр /etc/fail2ban/filter.d/wordpress-xmlrpc.conf:

[Definition]
failregex = ^ .* "POST /xmlrpc.php HTTP.*" .*$

ignoreregex =

Этот jail блокирует любой IP, который обращается к xmlrpc.php. Просто, эффективно, без компромиссов.

Шаг 6: Уведомления в Telegram

Fail2ban может отправлять уведомления при блокировке IP. Но по умолчанию он использует email. Давайте настроим уведомления в Telegram.

Создаём скрипт /etc/fail2ban/action.d/telegram.conf:

[Definition]
actionstart =
actionstop =
actioncheck =
actionban = curl -s -X POST "https://api.telegram.org/bot/sendMessage" -d chat_id="" -d text="🚨 Fail2ban: jail  banned  ( failures). Reason: "

actionunban = curl -s -X POST "https://api.telegram.org/bot/sendMessage" -d chat_id="" -d text="✅ Fail2ban: jail  unbanned "

[Init]
BOT_TOKEN = your_bot_token_here
CHAT_ID = your_chat_id_here

Здесь важная правка по сравнению с «наивной» версией такого файла: текст уведомления должен быть в одну строку. INI-парсер, на котором работает fail2ban, поддерживает многострочные значения только если продолжающиеся строки имеют отступ — без отступа парсинг файла просто ломается. Поэтому вместо переносов строк внутри text="..." — один длинный текст.

Замените <BOT_TOKEN> и <CHAT_ID> на свои значения. Как получить токен бота и chat_id — читайте в нашей статье про уведомления.

Теперь открываем jail.local, находим секцию [wordpress], которую мы создали в Шаге 3, и дополняем именно её (не вставляем второй блок [wordpress] ниже!) двумя новыми строками — banaction и action:

[wordpress]
enabled = true
port = http,https
filter = wordpress
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 10m
bantime = 1h
banaction = iptables-multiport
action = %(action_)s
         telegram[name=%(__name__)s]

Обратите внимание: в action передаётся только name=%(__name__)s. <ip>, <matches> и <failures> — это теги, которые fail2ban и так автоматически подставляет в любое действие при срабатывании; их не нужно (и нельзя — это сломает конфиг) передавать через %(ip)s, поскольку такой опции в конфиге попросту не существует и интерполяция упадёт с ошибкой при загрузке.

Теперь при каждой блокировке вы получаете сообщение в Telegram:

🚨 Fail2ban: jail wordpress banned 192.168.1.100 (5 failures). Reason: 192.168.1.100 - - [21/Jun/2026:14:30:00 +0000] "POST /wp-login.php HTTP/2.0" 401 1234

Шаг 7: Проверка и мониторинг

Fail2ban настроен. Но как понять, что он работает? Есть несколько команд для проверки.

Статус всех jails:

sudo fail2ban-client status

# Ожидаемый вывод:
# Status
# |- Number of jail:      3
# `- Jail list:           wordpress, wordpress-spam, wordpress-xmlrpc

Статус конкретного jail:

sudo fail2ban-client status wordpress

# Ожидаемый вывод:
# Status for the jail: wordpress
# |- Filter
# |  |- Currently failed: 2
# |  |- Total failed:     47
# |  `- File list:        /var/log/nginx/access.log
# `- Actions
#    |- Currently banned: 1
#    |- Total banned:     12
#    `- Banned IP list:   192.168.1.100

Здесь видно:

• Currently failed — сколько неудачных попыток прямо сейчас
• Total failed — всего попыток с момента запуска
• Currently banned — сколько IP заблокировано сейчас
• Total banned — всего заблокировано IP

Разблокировать IP вручную:

sudo fail2ban-client set wordpress unbanip 192.168.1.100

Перезагрузить Fail2ban после изменений в конфиге:

sudo fail2ban-client reload

Шаг 8: Продвинутая настройка

Базовая настройка работает. Но можно сделать ещё лучше.

Рецидивисты получают более долгий бан

Если IP блокируется повторно — увеличиваем время бана. Снова открываем jail.local и дополняем ту же секцию [wordpress] (а не создаём новую) тремя строками:

bantime.increment = true
bantime.factor = 2
bantime.formula = ban.Time * (1 + (ban.Count * ban.Factor))

Итоговая секция [wordpress] после Шагов 3, 6 и 8 должна выглядеть так целиком — один блок, без повторов:

[wordpress]
enabled = true
port = http,https
filter = wordpress
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 10m
bantime = 1h
banaction = iptables-multiport
action = %(action_)s
         telegram[name=%(__name__)s]
bantime.increment = true
bantime.factor = 2
bantime.formula = ban.Time * (1 + (ban.Count * ban.Factor))

Что здесь происходит:

• bantime.increment — включаем увеличение времени бана
• bantime.factor — множитель (2 = удваиваем каждый раз)
• bantime.formula — формула расчёта

Теперь:

• Первый бан: 1 час
• Второй бан: 2 часа
• Третий бан: 4 часа
• Четвёртый бан: 8 часов
• И так далее…

Рецидивисты получают всё более долгие баны. Справедливо.

Whitelist для доверенных IP

Если у вас есть офис или VPN, добавьте их в whitelist:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 123.45.67.89 10.0.0.0/8

Эти IP никогда не будут заблокированы.

Интеграция с Cloudflare

Если вы используете Cloudflare и уже настроили восстановление реального IP (см. предупреждение после Шага 2) — fail2ban банит атакующих локально на вашем сервере. Но запросы всё равно идут через сеть Cloudflare, так что для атак, которые вы хотите остановить ещё на уровне CDN (например, перед прокси, не доходя до вашего origin вообще), можно дополнительно создавать блокирующее правило прямо в Cloudflare через её API — IP Access Rules.

Несколько практических поправок к «наивной» версии такого действия:

• Современный путь эндпоинта — с привязкой к зоне или аккаунту: /zones/{zone_id}/firewall/access_rules/rules, а не старый /user/firewall/access_rules/rules.
• Cloudflare сама рекомендует авторизацию через API-токен (Authorization: Bearer ...) вместо устаревшей пары Global API Key + Email — токен можно ограничить ровно нужными правами (Firewall Access Rules: Edit), а Global API Key даёт полный доступ ко всему аккаунту.
• <rule_id> в действии разбана — это не тег, который fail2ban умеет подставлять сам; такого тега просто нет, и команда unban в исходном виде не сработает. Чтобы реально найти и удалить правило при разбане, нужно сначала получить его id — для этого при создании правила пишем IP прямо в поле notes, а при разбане ищем правило по этому полю через документированный параметр поиска notes в Cloudflare API.

Создаём /etc/fail2ban/action.d/cloudflare.conf:

[Definition]
actionban = curl -s -X POST "https://api.cloudflare.com/client/v4/zones//firewall/access_rules/rules" -H "Authorization: Bearer " -H "Content-Type: application/json" --data "{\"mode\":\"block\",\"configuration\":{\"target\":\"ip\",\"value\":\"\"},\"notes\":\"fail2ban::\"}"

actionunban = bash -c 'RULE_ID=$(curl -s -G "https://api.cloudflare.com/client/v4/zones//firewall/access_rules/rules" -H "Authorization: Bearer " --data-urlencode "notes=" | grep -o "\"id\":\"[a-f0-9]*\"" | head -1 | cut -d"\"" -f4); if [ -n "$RULE_ID" ]; then curl -s -X DELETE "https://api.cloudflare.com/client/v4/zones//firewall/access_rules/rules/$RULE_ID" -H "Authorization: Bearer "; fi'

[Init]
cfzoneid = your_cloudflare_zone_id
cfapitoken = your_cloudflare_api_token

cfzoneid — Zone ID вашего домена, найдёте на вкладке Overview в панели Cloudflare. cfapitoken — API-токен (не Global API Key): My Profile → API Tokens → Create Token → права Zone → Firewall Services → Edit, ограниченный нужной зоной.

(Парсинг ответа здесь сделан через grep/cut без внешних зависимостей; если на сервере есть jq, надёжнее переписать через jq -r '.result[0].id' — меньше шансов споткнуться о неожиданный формат JSON.)

Шаг 9: Мониторинг и алерты

Fail2ban работает, но нужно следить, чтобы он не сломался. Создаём скрипт мониторинга /usr/local/bin/fail2ban-monitor.sh:

#!/bin/bash

# Проверяем, запущен ли Fail2ban
if ! systemctl is-active --quiet fail2ban; then
    curl -s -X POST "https://api.telegram.org/bot$BOT_TOKEN/sendMessage" \
        -d chat_id="$CHAT_ID" \
        -d text="🚨 CRITICAL: Fail2ban is not running!"
    exit 1
fi

# Считаем заблокированные IP
BANNED=$(sudo fail2ban-client status wordpress | grep "Currently banned" | awk '{print $4}')

# Алерт, если слишком много банов (возможно, DDoS)
if [ "$BANNED" -gt 100 ]; then
    curl -s -X POST "https://api.telegram.org/bot$BOT_TOKEN/sendMessage" \
        -d chat_id="$CHAT_ID" \
        -d text="⚠️ Fail2ban: $BANNED IPs currently banned (possible DDoS)"
fi

# Проверяем логи на ошибки
ERRORS=$(sudo grep -c "ERROR" /var/log/fail2ban.log 2>/dev/null || echo 0)
if [ "$ERRORS" -gt 10 ]; then
    curl -s -X POST "https://api.telegram.org/bot$BOT_TOKEN/sendMessage" \
        -d chat_id="$CHAT_ID" \
        -d text="⚠️ Fail2ban: $ERRORS errors in log"
fi

Делаем исполняемым и добавляем в cron:

chmod +x /usr/local/bin/fail2ban-monitor.sh

# Каждые 15 минут
*/15 * * * * /usr/local/bin/fail2ban-monitor.sh

Шаг 10: Решение частых проблем

Fail2ban не блокирует IP

Проверьте четыре вещи (четвёртый пункт — самая частая причина на сайтах за Cloudflare):

1. Правильный ли logpath:
   

   sudo fail2ban-client get wordpress logpath
   # Должно быть: /var/log/nginx/access.log

2. Работает ли фильтр:
   

   sudo fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/wordpress.conf
   # Должно показать найденные совпадения

3. Не добавлен ли ваш IP в ignoreip:
   

   sudo fail2ban-client get wordpress ignoreip

4. Если сайт за Cloudflare — настроен ли real IP: откройте /var/log/nginx/access.log и посмотрите, какой IP там стоит при заходе с вашего телефона через мобильный интернет. Если это не ваш реальный IP — смотрите блок про Cloudflare после Шага 2, без него вся остальная настройка бессмысленна.

Fail2ban заблокировал меня

Если вы случайно заблокировали свой IP:

1. Зайдите на сервер через консоль хостинга (не по SSH)
2. Разблокируйте IP:
   

   sudo fail2ban-client set wordpress unbanip YOUR_IP

3. Добавьте свой IP в ignoreip в jail.local
4. Перезагрузите Fail2ban:
   

   sudo fail2ban-client reload

Fail2ban ест много CPU

Если у вас огромный лог (гигабайты), Fail2ban может тормозить. Решения:

• Ротируйте логи чаще (настройте logrotate)
• Убедитесь, что используется эффективный backend, а не polling: установите python3-pyinotify (sudo apt install python3-pyinotify) и оставьте backend = auto — тогда fail2ban будет реагировать на изменения файла через inotify вместо периодического перечитывания всего файла, что и снимает основную нагрузку на CPU
• Если pyinotify по какой-то причине недоступен и используется polling — других штатных настроек для тонкой подстройки частоты опроса в jail.local нет (директивы типа pollinterval в fail2ban не существует); единственный надёжный путь снизить нагрузку — это ротация логов и переход на inotify

Fail2ban не видит логи Nginx

Если Nginx пишет логи в другом формате, Fail2ban не может их распарсить. Проверьте формат логов в конфиге Nginx:

log_format main '$remote_addr - $remote_user [$time_local] '
                '"$request" $status $body_bytes_sent '
                '"$http_referer" "$http_user_agent"';

Fail2ban ожидает именно такой формат. Если у вас другой — измените фильтр или формат логов.

Чек-лист настройки Fail2ban

• ✅ Fail2ban установлен и запущен
• ✅ Создан jail.local с базовыми настройками, backend оставлен auto (не systemd)
• ✅ Если сайт за Cloudflare/CDN — настроен ngx_http_realip_module, и в логах Nginx виден реальный IP посетителя, а не IP Cloudflare
• ✅ Добавлен jail для защиты wp-login.php
• ✅ Добавлен jail для защиты от спам-ботов
• ✅ Добавлен jail для блокировки XML-RPC
• ✅ Созданы фильтры для каждого jail
• ✅ WordPress возвращает код 401 при неудачном входе (через wp_login_failed, без дублирующего вызова аутентификации)
• ✅ Настроены уведомления в Telegram (текст в одну строку, без лишних ip/matches в Init)
• ✅ Добавлены доверенные IP в ignoreip
• ✅ Включено увеличение времени бана для рецидивистов
• ✅ Настроен мониторинг работоспособности Fail2ban
• ✅ Протестирована блокировка (попробуйте 5 раз неправильно ввести пароль)

Реальные цифры (до и после)

Вот что получилось на сайте с 10 000 посетителей в день:

Разница колоссальная. Нагрузка на сервер упала на 30-40%, спам практически исчез, а атаки на логин стали бесполезны — ботов блокируют после 5 попыток.

Итог

Fail2ban — это не просто «ещё один инструмент безопасности». Это фундаментальный слой защиты, который работает на уровне сервера и блокирует атакующих до того, как они доберутся до WordPress.

Настройка занимает 30 минут. Но эффект вы почувствуете сразу. Нагрузка на сервер упадёт. Спам исчезнет. Атаки на логин станут бесполезны. А вы получите уведомления в Telegram о каждой блокировке.

И самое главное: это бесплатно. Не нужно покупать Wordfence за $100 в год. Не нужно ставить тяжёлые плагины. Всё уже есть в Linux. Нужно только настроить.

Откройте терминал прямо сейчас. Установите Fail2ban. Создайте первый jail. И посмотрите, как ваш сайт становится неприступной крепостью.

Вы удивитесь, сколько атак происходило прямо сейчас. И как легко было от них защититься.