Вход в админку WordPress — лучший детектор лжи

Самсон Ярдов решил слегка «допилить» плагин для своего сайта «Строим крутые дома» и нанял фрилансера. Разработчик отозвался молниеносно и с чарующей скромностью: «Мне понадобится только доступ в админку». Самсон уже мысленно выписал парню премию за сервис: никаких тебе страшных аббревиатур вроде FTP, SSH и баз данных, от которых веет высшей математикой. Просто логин и пароль, как от любимой почты.

Пальцы Самсона уже порхали над клавиатурой, готовые отправить доступы, как вдруг из-за плеча со зловещим сопением материализовался штатный сисадмин. Заглянув в экран, он меланхолично поинтересовался:

— Послушайте, а этот гений программирования случайно не собирается накатить туда тот самый WP File Manager, который в 2020 году открыл двери сайта всем хакерам планеты и стал легендой кибербезопасности?

Самсон медленно отложил телефон.

— Погоди, а зачем ему вообще админка для правки кода?

наморщил лоб босс.Техник философски пожал плечами:

— Вот и мне безумно интересно.

Слово «только» в ТЗ фрилансера прозвучало удивительно невинно. Примерно так же невинно, как фраза «мне только ключи от вашей квартиры», услышанная от электрика, который пришёл просто поменять лампочку в коридоре.

Если коротко: вход в админку WordPress — это доступ ко всему сайту сразу: к контенту, плагинам, пользователям и настройкам. Для обычной работы с контентом он нужен, а вот для доработки кода и плагинов, как правило, нет. И то, как разработчик просит такой доступ, говорит о его квалификации больше любого резюме. Ниже разберём, почему так, как войти в админку, если доступ потерян, что находится внутри панели и кто из пользователей что может. А в конце — бонус: функция, которая создаёт доступ администратора.

В этой статье:

• Почему просьба о пароле от админки — тревожный сигнал
• Пять способов войти в админку WordPress
• Что внутри панели управления
• Роли пользователей: кто что может
• Чем всё закончилось и что запомнил Самсон
• Бонус: функция, которая добавляет администратора

Запросил доступ к WP — признал свою профнепригодность

Звучит провокационно, зато запоминается. Если разработчик, которого вы наняли для доработки, просит логин и пароль от админки WordPress, это повод насторожиться. Вот пять причин:

1. Вносить доработки через админку небезопасно. Единственный способ править код из админки — встроенный редактор файлов, где нет резервной копии, нет проверки синтаксиса и нет отката. Одна пропущенная скобка — и вместо сайта белый экран на живом проекте. Это как менять колесо у автомобиля на ходу: теоретически возможно, практически — зрелищно. Профессионал работает на копии для разработки и заливает проверенные файлы точечно. Почему редактор файлов темы в консоли WordPress — плохая идея, мы разбирали в отдельной статье: Почему нельзя править файлы темы в админке WordPress.
2. Доступ в админку разработчик может сделать себе сам. Если у него есть доступ к файлам сайта, он добавит себе пользователя одной функцией, как в бонусе в конце статьи. А на копии для разработки это делается за минуту. Значит, просьба выдать ваш пароль — не необходимость, а невежество.
3. Для надёжного резервного копирования доступа в админку недостаточно. Полная копия сайта — это файлы и дамп базы данных, а они снимаются на уровне сервера. Плагин резервного копирования из админки копирует не всё и падает вместе с сайтом. В админской среде есть неписаное правило: пока бэкап не развернули на тестовом стенде, считайте, что его нет. Если в качестве «бэкапа» разработчик называет кнопку в админке, ему вряд ли можно доверить боевой проект.
4. Такой разработчик может утяжелить сайт ненужными плагинами. Для того, кто работает «через админку», любая задача решается установкой очередного плагина: файловый менеджер, редактор кода, импортёр. Знакомое «для этого есть плагин» превращается в образ жизни. Плагины остаются на сайте после завершения работ, увеличивают нагрузку, открывают новые уязвимости и захламляют панель.
5. Такой разработчик может сломать сайт, а чинить вам. Нажал, сайт упал, разработчик пропал. Резервной копии нет, откатить нечем, а счёт за восстановление придёт вам. Первое правило релизов — не выкатывать изменения в пятницу вечером. У такого подрядчика пятница наступает каждый день.

Оговорка для честности: речь именно о доработке функционала и кода. Для наполнения сайта текстами, работы с SEO и публикаций доступ в админку, конечно, нужен. Но в этом случае выдают не права администратора, а роль редактора или автора — о ролях подробно ниже.

Самсон прочитал эти пять причин и помолчал. Потом сформулировал по-деловому:

— Это как просить у прораба ключи от сейфа, чтобы поменять розетку.

Как войти в админку WordPress: пять способов

Допустим, доступ действительно нужен: вы владелец сайта, потеряли пароль или хотите зайти сами. Пароль, который вы «точно запомнили», по закону подлости забывается именно в тот день, когда он срочно нужен. Вот варианты, как выполнить вход в админку WordPress.

Способ 1. Стандартный адрес

Откройте в браузере один из этих адресов и введите логин и пароль:

https://ваш-сайт.ру/wp-admin/
https://ваш-сайт.ру/wp-login.php

WordPress также перенаправляет на страницу входа адреса /admin и /login. Если вы не авторизованы, система сама отправит вас на форму.

Способ 2. Восстановление пароля

На странице входа нажмите «Забыли пароль?», введите логин или почту, и на адрес пользователя придёт ссылка для сброса. Способ работает, если на сервере исправно отправляется почта.

Способ 3. Прямая запись в базе данных

Если письма не доходят, а доступа в админку нет, пользователя можно создать напрямую в базе данных через phpMyAdmin или консоль MySQL. Перед любыми манипуляциями с базой сделайте резервную копию. Замените wp_ на ваш префикс таблиц, а логин, пароль и почту на свои:

INSERT INTO `wp_users` (`user_login`, `user_pass`, `user_nicename`, `user_email`, `user_registered`, `user_status`, `display_name`)
VALUES ('admind', MD5('super-nadezhnii-password'), 'admind', 'mail@mail-site.ru', NOW(), 0, 'admind');

SET @uid = LAST_INSERT_ID();

INSERT INTO `wp_usermeta` (`user_id`, `meta_key`, `meta_value`)
VALUES (@uid, 'wp_capabilities', 'a:1:{s:13:"administrator";b:1;}');

INSERT INTO `wp_usermeta` (`user_id`, `meta_key`, `meta_value`)
VALUES (@uid, 'wp_user_level', '10');

Пароль здесь записан в виде MD5-хеша. WordPress принимает такой хеш и при первом входе сам заменяет его на более надёжный. Если префикс таблиц отличается от wp_, замените его и в именах таблиц, и в значениях wp_capabilities и wp_user_level.

Способ 4. Функция в коде сайта

Если база недоступна, а файлы вы можете править по FTP, пользователя создаёт функция из бонуса в конце статьи. Это самый удобный способ для тех, у кого есть доступ к файлам, но нет доступа к админке.

Способ 5. Одна команда WP-CLI

Для продвинутых: пользователь создаётся одной командой в консоли. Как запустить WordPress в консоли, мы рассказывали в статье Как запустить WordPress в режиме терминатора.

wp user create admind mail@mail-site.ru --role=administrator --user_pass='super-nadezhnii-password' --path=/home/ПОЛЬЗОВАТЕЛЬ/web/ВАШ_САЙТ.РУ/public_html/

Кстати, многие хостинги умеют пускать в админку в один клик прямо из панели управления. Если вы пользуетесь таким хостингом, возможно, пароль вообще не понадобится.

Панель управления WordPress — пульт от всего сайта

Что вы увидите после того, как войдёте в админку? Сначала «Консоль» со сводкой, затем боковое меню, где собрано всё управление. Админка ворд пресс — это панель управления WordPress, и вот её основные разделы:

• Записи и Страницы. Создание и редактирование контента, рубрики и метки.
• Медиафайлы. Загруженные изображения, документы, видео.
• Комментарии. Модерация обсуждений.
• Внешний вид. Темы оформления, меню, виджеты, редактор сайта.
• Плагины. Установка, активация и удаление расширений.
• Пользователи. Учётные записи и их роли.
• Инструменты. Импорт, экспорт, проверка состояния сайта.
• Настройки. Общие параметры, постоянные ссылки, чтение и обсуждение.

В меню «Внешний вид» и «Плагины» есть редакторы файлов, которые позволяют менять код прямо в браузере. Именно они делают админку опасным инструментом в неумелых руках. Любой, у кого есть права администратора, может установить плагин, изменить код и создать других администраторов. Права администратора в руках случайного человека — как кот рядом с краем стола: рано или поздно что-нибудь упадёт. Вот почему к выдаче такого доступа нужно относиться как к передаче ключей от всего здания.

Если встроенные редакторы вам не нужны, их можно отключить одной строкой в файле wp-config.php (перед правкой сделайте его копию):

define('DISALLOW_FILE_EDIT', true);

Эта константа убирает из админки редакторы файлов тем и плагинов — и соблазн для неумелых рук, и лишний инструмент для злоумышленника. Установку плагинов она не блокирует (за это отвечает отдельная константа), так что это страховка, а не броня.

Роли пользователей админки WordPress

Чтобы не раздавать всем ключи от всего здания, в WordPress придуманы роли — пропуска разного уровня. У каждой роли свой набор возможностей. Для обычной установки одного сайта картина такая:

Если на сайте включён режим мультисайта, добавляется ещё роль Суперадминистратор: она управляет всей сетью сайтов. На обычном сайте высшая роль — администратор.

Золотое правило: выдавайте минимально необходимую роль. Копирайтеру достаточно «Автора», контент-менеджеру — «Редактора». А разработчику, как мы выяснили, для работы не нужна ни одна из них: хватает доступа к файлам. Пользователь с лишними правами — это инцидент, который ещё не случился.

Чем всё закончилось и что запомнил Самсон

Самсон вернулся к переговорам с фрилансером и написал ему короткое сообщение:

Админку не выдаю. Работаете на копии для разработки, готовые файлы передаёте мне, заливаем по FTP.

Фрилансер ответил быстро и неожиданно покладисто. Через два дня доработанный плагин был на сайте, а в списке пользователей не прибавилось ни одного администратора.

Выводы Самсон записал в блокнот:

• Админка WordPress — это ключи от всего сайта, а не гостевой пропуск.
• Для доработки кода нужен FTP-доступ к файлам: он необходимый и достаточный.
• Доступ выдаём по минимально необходимой роли и на минимально необходимый срок.
• Резервная копия — до начала работ, а не после первой аварии.

Если вам нужна доработка сайта без передачи ключей от админки, направьте задачу в свободной форме в dev-team Форсаж. Мы работаем на копии для разработки, делаем резервную копию до начала работ и заливаем только проверенные изменения.

Бонус: функция, которая добавляет администратора

Если вы потеряли доступ в админку, но можете править файлы по FTP, добавьте этот код в конец файла functions.php активной темы (лучше дочерней). Редактировать файл нужно локально и загружать по FTP, а не через встроенный редактор админки:

add_action('init', function () {
    $user = 'admin';
    $pass = 'super-nadezhnii-password';
    $mail = 'mail@mail-site.ru';

    if (!username_exists($user)) {
        $uid = wp_create_user($user, $pass, $mail);
        $user_obj = new WP_User($uid);
        $user_obj->set_role('administrator');
    }
});

Функция при первом же обращении к сайту создаёт в базе данных пользователя с правами администратора. Дальше действуем по порядку:

1. Подставьте свои логин, пароль и почту. Пароль придумайте сложный и уникальный: до удаления функции он лежит в файле открытым текстом. Варианты вроде admin123 не предлагать: брутфорсеры знают их наизусть.
2. Адрес электронной почты должен быть уникальным. Если такая почта уже есть в базе, пользователь не создастся.
3. Загрузите файл на сервер, откройте любую страницу сайта и войдите в админку с новыми данными.
4. Сразу после получения доступа удалите функцию из functions.php. Пока она в файле, любой вызов сайта проверяет, существует ли пользователь, и создаёт его заново, если вы его удалили. А пароль в файле остаётся лишней уязвимостью.
5. Когда задача выполнена, смените пароль и удалите временного пользователя, если он больше не нужен.

Относитесь к этой функции как к огнетушителю: достали, потушили, вернули на место. Держать её в файле «на всякий случай» — всё равно что хранить запасной ключ под ковриком.