Как разрешить доступ к wp-admin по IP-адресам в WordPress

Автор: Евгения Боброва | Опубликовано: 18.03.2026

Ограничение доступа к административной панели WordPress (wp-admin) по IP-адресам – эффективный способ повысить безопасность сайта. В этой статье мы рассмотрим, как реализовать такую фильтрацию, используя различные методы: через .htaccess, программно в functions.php и с помощью плагинов. Кроме того, приведём примеры кода и разберём, как не заблокировать себя и обеспечить удобство работы.

Зачем ограничивать доступ к wp-admin по IP-адресам

Административная панель WordPress – главная цель для злоумышленников, пытающихся получить несанкционированный доступ к сайту. Если ваш IP-адрес статический или вы работаете из ограниченного числа мест, то ограничение доступа по IP снизит риски взлома. Это дополнительно защитит от брутфорс-атак, перебора паролей и других видов угроз.

Однако важно учитывать, что при частой смене IP или работе из разных точек доступа такой метод может быть неудобен. Рассмотрим, как настроить ограничение корректно.

Ограничение доступа к wp-admin через .htaccess

Самый простой и надёжный способ — использовать файл .htaccess в каталоге wp-admin. В него можно добавить правила, разрешающие доступ только с нужных IP-адресов:

order deny,allow
deny from all
allow from 123.45.67.89
allow from 111.222.333.444

Здесь 123.45.67.89 и 111.222.333.444 — ваши доверенные IP-адреса. Можно указать несколько строк allow from для разрешения доступа с разных адресов.

Если вы используете Apache версии 2.4 и выше, синтаксис будет немного отличаться:

<RequireAll>
  Require all denied
  Require ip 123.45.67.89
  Require ip 111.222.333.444
</RequireAll>

Этот метод блокирует весь доступ к панели, кроме указанных IP. Однако важно не забыть разрешить доступ к файлам админ-ajax.php, иначе могут сломаться AJAX-запросы в админке и на сайте.

Разрешение доступа к admin-ajax.php

Добавьте в .htaccess следующие правила:

<Files admin-ajax.php>
  Require all granted
</Files>

Или для Apache 2.2:

<Files admin-ajax.php>
  Order allow,deny
  Allow from all
  Satisfy any
</Files>

Это позволит всем пользователям использовать AJAX-запросы без ограничений.

Ограничение доступа через functions.php в теме

Если у вас нет доступа к конфигурации сервера или хотите реализовать ограничение программно, можно добавить фильтр в файл functions.php активной темы или в отдельном плагине:

function wpbest_restrict_wp_admin_access() {
    if (is_admin()) {
        $allowed_ips = ['123.45.67.89', '111.222.333.444'];
        $user_ip = $_SERVER['REMOTE_ADDR'];
        if (!in_array($user_ip, $allowed_ips)) {
            wp_die('Доступ запрещён. Ваш IP: ' . esc_html($user_ip));
            exit;
        }
    }
}
add_action('init', 'wpbest_restrict_wp_admin_access');

Этот код проверяет IP пользователя при заходе в административную часть и блокирует доступ всем, кто не в списке разрешённых. Обратите внимание, что проверка делается на хук init, чтобы ограничить доступ как можно раньше.

Минус этого метода — он не защищает от прямых запросов к файлам и не снижает нагрузку на сервер так эффективно, как .htaccess.

Как учитывать работу с AJAX

Чтобы не ломать AJAX-запросы, можно добавить исключение для admin-ajax.php:

function wpbest_restrict_wp_admin_access() {
    if (is_admin() && !defined('DOING_AJAX')) {
        $allowed_ips = ['123.45.67.89', '111.222.333.444'];
        $user_ip = $_SERVER['REMOTE_ADDR'];
        if (!in_array($user_ip, $allowed_ips)) {
            wp_die('Доступ запрещён. Ваш IP: ' . esc_html($user_ip));
            exit;
        }
    }
}
add_action('init', 'wpbest_restrict_wp_admin_access');

Использование плагинов для ограничения доступа по IP

Если вы предпочитаете готовые решения, обратите внимание на следующие плагины, которые позволяют ограничивать доступ к админке по IP:

WP Cerber Security — мощный плагин безопасности с функцией ограничения доступа к wp-admin по IP, настройкой firewall и защитой от брутфорса. Подробнее на wpshop.ru.
iThemes Security — популярный плагин с функцией ограничения доступа по IP и множеством других опций безопасности.
Restrict WP Admin Access — лёгкий плагин для ограничения доступа к админке по IP, с простым интерфейсом.

Использование плагина удобно, если вы не хотите работать с кодом или .htaccess, но при этом нужно помнить о влиянии на производительность и совместимость с другими плагинами.

Как не заблокировать себя: рекомендации и советы

При настройке фильтрации по IP важно не потерять доступ к сайту. Вот несколько советов, которые помогут избежать ошибок:

Перед внесением изменений сделайте полный бэкап файлов и базы данных.
Добавляйте ваш текущий IP в список разрешённых. Узнать IP можно на сайте 2ip.ru.
Если используете динамический IP, лучше настроить VPN с постоянным IP или использовать плагин с возможностью авторизации по паролю.
После внесения изменений проверьте доступ с разрешённых IP и с другого устройства, чтобы убедиться, что ограничения работают.
Для .htaccess используйте директивы с осторожностью, чтобы не заблокировать публичную часть сайта.

Пример комбинированного решения для wpbest.ru

Для сайта на wpbest.ru можно использовать следующий подход:

В .htaccess в папке wp-admin добавить фильтр по IP с разрешением admin-ajax.php.
В файл functions.php добавить проверку IP для дополнительной защиты и информирования пользователя.
Установить WP Cerber Security с базовыми настройками.

Этот комплексный метод обеспечит хорошую защиту без потери удобства.

Заключение

Ограничение доступа к административной панели WordPress по IP-адресам — мощный и простой способ повысить безопасность сайта. Выбор метода зависит от вашего уровня доступа к серверу и удобства управления. Используйте приведённые примеры и рекомендации, чтобы настроить фильтрацию корректно и не потерять доступ к админке.