Если злоумышленник получит доступ к панели управления WordPress, встроенный редактор файлов станет для него самым коротким путём к изменению темы или плагина. Через него можно внедрить вредоносный код, скрыть следы взлома или просто сломать сайт. Поэтому отключение этого редактора — нормальная базовая мера защиты, а не «лишняя паранойя».
В WordPress речь идёт о двух встроенных редакторах: редакторе тем и редакторе плагинов. Оба доступны из админки, если у пользователя есть достаточные права. Полностью убрать эту возможность можно одной строкой в конфигурации сайта.
Как отключить редактор файлов в WordPress
Надёжный способ — добавить константу DISALLOW_FILE_EDIT в файл wp-config.php. После этого WordPress скрывает пункты редактирования файлов темы и плагинов в админке.
Откройте wp-config.php в корне сайта и добавьте строку перед комментарием /* That's all, stop editing! Happy publishing. */:
define( 'DISALLOW_FILE_EDIT', true );Если такой строки уже нет, просто вставьте её в файл. Если она уже есть, проверьте, что значение действительно true.
После сохранения обновите админку WordPress. В меню Внешний вид больше не должен отображаться редактор тем, а в разделе Плагины — редактор файлов плагинов.
Почему именно wp-config.php, а не плагин
Отключать редактор через код в wp-config.php предпочтительнее, чем через плагин, по простой причине: этот файл загружается раньше большинства плагинов и не зависит от их работы. Если сайт уже скомпрометирован, плагин могут отключить, удалить или подменить. Константа в конфигурации надёжнее и меньше зависит от состояния самой админки.
Кроме того, это штатная возможность WordPress. Никаких дополнительных расширений ставить не нужно, а значит, не появляется лишняя точка отказа.
Что именно отключается, а что нет
Важно не путать этот параметр с полным запретом на изменение файлов сайта. DISALLOW_FILE_EDIT отключает только встроенный редактор кода в админке. При этом:
- загрузка и обновление плагинов и тем через админку остаются доступны, если не ограничены отдельно;
- редактирование файлов через FTP, SSH, файловый менеджер хостинга или панель управления сервером по-прежнему возможно;
- автоматические обновления WordPress, если они настроены, не затрагиваются.
Если вам нужно запретить именно установку и обновление плагинов и тем из админки, это уже другая задача. Для неё используется другая константа — DISALLOW_FILE_MODS. Но она отключает не только редактор, а гораздо больше функций, поэтому применять её стоит осознанно.
Как проверить, что всё сработало
Проверка занимает меньше минуты. После изменения wp-config.php войдите в админку и откройте:
- Внешний вид → Редактор файлов темы — этого пункта быть не должно;
- Плагины → Редактор файлов плагинов — этого пункта тоже быть не должно.
Если пункты остались, обычно причина одна из трёх: строка добавлена не в тот файл, файл сохранён с ошибкой синтаксиса или сайт использует нестандартную сборку/кэширование панели, из-за чего вы смотрите не на ту установку WordPress. В обычной ситуации достаточно проверить, что строка действительно находится в wp-config.php и записана без опечаток.
Если после правки сайт перестал открываться, значит в wp-config.php допущена синтаксическая ошибка. В этом случае верните файл в исходное состояние из резервной копии и проверьте кавычки, точки с запятой и скобки. Для такой правки резервная копия особенно важна: ошибка в конфиге может временно положить весь сайт.
Когда этого недостаточно
Отключение редактора файлов — полезный, но не единственный шаг. Если у злоумышленника уже есть доступ к админке, он может использовать другие способы навредить сайту: установить вредоносный плагин, создать нового администратора, изменить настройки или загрузить опасный файл через другие разрешённые механизмы. Поэтому эту меру стоит рассматривать как часть общей защиты, а не как полную страховку.
На практике этого обычно достаточно для типового сайта, где владелец хочет убрать самый опасный и самый простой путь ручного внедрения кода через админку. Если у сайта несколько администраторов или доступ к панели есть у подрядчиков, отключение редактора особенно оправдано: им всё равно не нужен доступ к правке PHP-файлов прямо из WordPress.
Если нужно быстро вернуть редактор обратно
Иногда редактор нужен на короткое время — например, для срочной правки на тестовом сайте. Тогда достаточно удалить строку define( 'DISALLOW_FILE_EDIT', true ); из wp-config.php или изменить значение на false. После сохранения пункты редактирования снова появятся в админке.
На рабочем сайте лучше не оставлять редактор включённым без необходимости. Если правки файлов действительно нужны, безопаснее делать их через Git, SFTP или файловый менеджер хостинга, а не через встроенный редактор WordPress. Так меньше риск случайно испортить сайт или оставить в админке удобный инструмент для атаки.