Сайт гальмує, адмінка відкривається через раз, а в логах, десятки спроб підбору пароля за хвилину. Хостинг пише: «перевищено ліміт CPU». Знайома картина?

WordPress, найпопулярніша CMS у світі, і саме тому вона ж є головною мішенню для атак. Щодня сканери вразливостей обходять мільйони сайтів у пошуках дірявого плагіна чи слабкого пароля. Без файрвола сайт тримається на чесному слові.

Нижче, дев’ять плагінів файрвола для WordPress, які реально захищають: від легковажних рішень «встановив і забув» до enterprise-комбайнів із хмарним WAF. Кожен перевірено на практиці, у кожного, чесні мінуси. Наприкінці, матриця: що брати під вашу задачу.

💡 Швидкий огляд:

• Перевірте, чи не зламано сайт прямо зараз: Wordfence і AIOS роблять це безплатно за лічені хвилини.
• Якщо сервер регулярно лягає під навантаженням, поставте хмарний файрвол (Cloudflare або Sucuri): трафік фільтрується до потрапляння на хостинг.
• Не хочете розбиратися в налаштуваннях, BBQ Firewall захищає одразу після активації, без жодної галочки.
• Для максимального захисту комбінуйте: ендпоінт-файрвол (Wordfence) + хмарний WAF (Cloudflare) + легковажний фільтр запитів (BBQ).

Порівняльна таблиця

1. Wordfence Security

Wordfence, найпопулярніший плагін безпеки WordPress: 5+ мільйонів активних встановлень і власна команда дослідників загроз. Це не просто файрвол, а повноцінний захисний комбайн з ендпоінт-файрволом, сканером malware і двофакторною автентифікацією.

Головна перевага Wordfence перед хмарними конкурентами, ендпоінт-архітектура. Файрвол працює всередині WordPress, а не на зовнішньому проксі-сервері. Це означає, що він не може «зламати» шифрування, його не можна обійти і він не може «витекти» даними. Плата за це, навантаження на сервер: на слабкому хостингу сканер може з’їдати CPU.

На практиці Wordfence, золотий стандарт для тих, кому потрібен максимальний захист із коробки. Безплатна версія включає ендпоінт-файрвол, сканер malware (із затримкою правил на 30 днів відносно Premium) і захист від brute force. Premium дає real-time оновлення правил, country blocking і пріоритетну підтримку з годинним відгуком.

• Плюси: власна команда security-дослідників, real-time правила (Premium), глибока інтеграція з WordPress, не ламає шифрування, 2FA з коробки.
• Мінуси: навантажує слабкий хостинг, real-time правила, тільки в Premium, безплатна версія отримує сигнатури із затримкою 30 днів.
• Ціна: Free-версія в каталозі WordPress.org, Premium від $149 на рік.
• Завантажити: 🔗 Wordfence на WordPress.org | 🔗 Wordfence Premium

2. All-In-One Security (AIOS)

All-In-One Security (AIOS), плагін від команди UpdraftPlus, який будує захист навколо простої ідеї: у сайту є рахунок безпеки. Вмикаєте фічу, бал зростає. Три рівні: Beginner, Intermediate та Advanced. Новачок не заплутається в сотні налаштувань, а досвідчений адміністратор знайде тонкі інструменти, як-от зміна префікса БД і ротація солей.

Після ребрендингу (раніше, All In One WP Security & Firewall) плагін зберіг головну перевагу: прозорість. Ви бачите, яке налаштування і наскільки підвищує захист. Файрвол використовує правила 6G від Perishable Press, ті самі, що в BBQ, плюс власні PHP-правила і захист.htaccess.

У AIOS понад мільйон активних встановлень і рейтинг 4,7 на WordPress.org. Підтримка відповідає протягом 24 годин навіть на безплатні тікети, для безплатного плагіна це рідкість.

• Плюси: система балів, зрозуміло навіть новачкові, сильна команда (ті самі, що роблять UpdraftPlus), 6G-файрвол, чесна підтримка на халяву.
• Мінуси: Premium-версія менш багата відносно Wordfence Premium, немає хмарного WAF, сканер malware, тільки в Premium.
• Ціна: Free в каталозі WordPress.org, Premium від $70 на рік.
• Завантажити: 🔗 AIOS на WordPress.org | 🔗 AIOS Premium

3. Cloudflare

Cloudflare — це не просто плагін, а глобальна мережа доставки контенту (CDN) із вбудованим хмарним файрволом. Трафік фільтрується на рівні DNS, до того як досягає сервера. Для високонавантажених сайтів це подвійна вигода: захист від DDoS і прискорення за рахунок кешування.

На практиці Cloudflare ставлять у пару до ендпоінт-файрволу. Wordfence або AIOS захищають на рівні WordPress, а Cloudflare відсікає атаки ще на підльоті: боти, сканери вразливостей і DDoS-трафік не доходять до хостингу. Безплатний тариф містить базовий WAF і CDN. Pro, згідно з тарифами Cloudflare, від $20/міс додає Web Application Firewall із правилами OWASP і custom-правила.

Важливий нюанс: WAF на безплатному тарифі Cloudflare, базовий, без можливості писати свої правила. Для повноцінного захисту застосунків потрібен щонайменше Pro. Імена хостів при цьому приховуються за Cloudflare, що створює додатковий рівень анонімності.

• Плюси: фільтрація ДО сервера (економія CPU), глобальний CDN пришвидшує сайт, потужний захист від DDoS, безплатний тариф робочий.
• Мінуси: повноцінний WAF тільки в Pro ($20/міс), не захищає на рівні WordPress (потрібен другий плагін), DNS має бути делегований Cloudflare.
• Ціна: Free (базовий захист + CDN), Pro від $20/міс, Business від $200/міс.
• Завантажити: 🔗 Cloudflare на WordPress.org | 🔗 Cloudflare Pro

4. BBQ Firewall

BBQ Firewall, чемпіон за простотою. Плагін важить менше 10 кілобайт і починає працювати одразу після активації. Жодних налаштувань: встановили, захист увімкнено. BBQ розшифровується як Block Bad Queries, він перевіряє кожен вхідний запит (GET, POST, PUT, DELETE) і блокує шкідливі патерни: eval(), base64_, directory traversal, XSS і надто довгі рядки.

BBQ побудований на правилах 7G/8G Джеффа Старра, одного з найавторитетніших фахівців із безпеки WordPress. Ці самі правила використовуються в AIOS, але BBQ виконує рівно одне завдання і робить це миттєво. На слабкому хостингу, де Wordfence задихається під час повного сканування, BBQ працює як годинник.

BBQ Pro, за даними розробника, за $25 додає кастомні правила, email-сповіщення та можливість банити IP. Безплатної версії достатньо як другого ешелону: файрвол застосунків + BBQ = подвійна фільтрація без overhead.

• Плюси: надлегкий (менше 10 КБ), plug-&-play без налаштувань, правила 7G/8G Джеффа Старра, сумісний із будь-якими іншими плагінами безпеки.
• Мінуси: немає сканера malware, немає журналу атак у безплатній версії, немає UI для редагування правил.
• Ціна: Free у каталозі WordPress.org, Pro $25.
• Завантажити: 🔗 BBQ на WordPress.org | 🔗 BBQ Pro

5. Sucuri Security

Sucuri — це хмарна безпекова платформа, відома своєю послугою видалення malware «під ключ». На відміну від Wordfence, який працює на рівні WordPress, трафік через Sucuri проходить через проксі-сервери: кожен запит сканується, а шкідливий блокується ще до потрапляння на хостинг.

Безплатний плагін Sucuri Scanner не містить хмарного WAF, він безплатно виконує аудит безпеки, моніторинг цілісності файлів, перевірку чорних списків та гарденінг. Хмарний WAF і очищення сайту, у платних тарифах. Головна відмінність Sucuri від конкурентів: якщо сайт уже зламано, вони його чистять (у тарифах Platform і вище). Ні Wordfence, ні AIOS такої послуги не надають.

На практиці Sucuri — це вибір тих, хто вже обпікся. Якщо сайт падав або був зламаний, хмарний WAF із проксіюванням трафіку та послугою очищення повністю перекриває ризики.

• Плюси: хмарний WAF + очищення malware у тарифі, фільтрація до сервера, CDN пришвидшує сайт, власна команда реагування.
• Мінуси: безплатний плагін — це лише сканер (без WAF), ціна на WAF стартує від $199.99/рік, трафік проходить через зовнішній проксі (підходить не всім).
• Ціна: Free-сканер у WordPress.org, Platform від $199.99/рік.
• Завантажити: 🔗 Sucuri на WordPress.org | 🔗 Sucuri Platform

6. Jetpack

Jetpack — це модульний комбайн від Automattic (команди WordPress.com): безпека, продуктивність, маркетинг і дизайн в одному плагіні. Фаєрвол тут, одна з багатьох функцій, а не головна фіча. Але для тих, хто хоче закрити всі потреби сайту одним плагіном, Jetpack, осмислений вибір.

У частині безпеки Jetpack надає кінцевий фаєрвол (як у Wordfence), захист від brute force, моніторинг простоїв та автоматичні бекапи. Платний тариф Personal, згідно з сайтом Jetpack, від $4.95/міс додає щоденні бекапи та спам-фільтр. Головний мінус, ресурсоємність: Jetpack важчий за більшість аналогів і тягне за собою код, не пов’язаний із безпекою.

На практиці Jetpack хороший, якщо сайт уже використовує інші модулі Jetpack (CDN для зображень, статистику, Related Posts). Але ставити його лише заради фаєрвола — це як купувати швейцарський ніж заради відкривачки.

• Плюси: один плагін для всього (фаєрвол, бекапи, спам, статистика), офіційна розробка Automattic, кінцевий фаєрвол як у Wordfence.
• Мінуси: важкий, фаєрвол, не головна функція, безплатний тариф, лише базовий brute force, за бекапи треба платити.
• Ціна: Free (базовий захист), Personal від $4.95/міс (додає бекапи та спам-фільтр).
• Завантажити: 🔗 Jetpack на WordPress.org | 🔗 Jetpack Plans

7. Security Ninja

Security Ninja починався як аудитор безпеки: 50+ тестів, які за хвилину знаходять слабкі місця сайту. Зараз це повноцінний плагін із файрволом 8G, сканером уразливостей і просунутим WAF у Pro-версії.

Безплатна версія містить базовий файрвол 8G (той самий підхід, що й у BBQ, але з візуальним інтерфейсом), сканер ядра WordPress і журнал подій. Pro, за інформацією розробника, за $49 додає хмарний файрвол із базою 600+ мільйонів зловмисних IP, двофакторну автентифікацію та сканер malware.

З унікальних фіч, AI Security Advisor (WordPress 7+): плагін генерує зрозумілий аудит безпеки через підключеного LLM-провайдера. Не галочки й циферки, а конкретні кроки українською мовою.

• Плюси: 50+ тестів безпеки в один клік, файрвол 8G у безплатній версії, AI-аудит (WordPress 7), хмарний WAF у Pro.
• Мінуси: хмарний WAF і 2FA, лише Pro, AI-радник потребує WordPress 7 і власний API-ключ до LLM, безплатних засобів очищення malware немає.
• Ціна: Free у каталозі WordPress.org, Pro від $49.
• Завантажити: 🔗 Security Ninja на WordPress.org | 🔗 Security Ninja Pro

8. Astra Web Security

Astra Web Security — це хмарний WAF, який захищає сайт у реальному часі від понад 100 типів кібератак. На відміну від плагінів, що працюють усередині WordPress, Astra встановлюється як розширення і не потребує зміни DNS-налаштувань, підходить тим, хто не хоче делегувати домен сторонньому сервісу.

Astra не має безплатної версії — це свідоме рішення. Ціна, згідно із сайтом Astra, стартує від $25/міс, і за ці гроші клієнт отримує цілодобовий захист із командою реагування, блокування за країнами та білими списками, а також IP-профілювання: можна відстежити, звідки і як атакують сайт.

Продукт, як заявлено на сайті, використовують компанії рівня Ford і Gillette. Але для власника скромного блогу $25/міс — це забагато, коли є Wordfence і BBQ безплатно.

• Плюси: захист у реальному часі, 100+ типів атак, встановлення без зміни DNS, цілодобова команда.
• Мінуси: безплатної версії немає взагалі, надлишковий для простих сайтів, ціна від $25/міс.
• Ціна: від $25/міс, повний пакет.
• Завантажити: 🔗 Astra Web Security

9. Kadence Security

Kadence Security — це спадкоємець легендарного iThemes Security. У 2024 році плагін змінив назву та власника (тепер це продукт Nexcess, як і тема Kadence), але зберіг найкращі напрацювання: 30+ заходів безпеки, захист від brute force, двофакторну автентифікацію та журнал аудиту.

Унікальна фіча Kadence Security — це шаблони захисту під тип сайту. Вибираєте профіль (eCommerce, блог, портфоліо, некомерційний, брокерський або мережевий), і плагін сам вмикає релевантні налаштування. Для магазину на WooCommerce він увімкне більше захисту, для простого блогу, менше. Це економить години налаштування.

Pro-версія, згідно з тарифами Kadence, від $99 на рік додає інтеграцію з Patchstack: віртуальні патчі для вразливостей, які закривають дірку ще до того, як розробник плагіна випустить оновлення. Плюс CAPTCHA, магічні посилання для входу та журналювання дій користувачів.

• Плюси: шаблони захисту під тип сайту (економія часу), Patchstack у Pro (віртуальні патчі), спадщина iThemes, налагоджена кодова база з мільйонами встановлень.
• Мінуси: Pro, $99 на рік, налаштування базової версії скромніші, ніж у Wordfence, хмарного WAF немає.
• Ціна: Free в каталозі WordPress.org (Kadence Security), Pro від $99.
• Завантажити: 🔗 Kadence Security на WordPress.org | 🔗 Kadence Security Pro

Подивіться коротке відео про базове налаштування захисту WordPress, щоб закрити питання за пару хвилин:

⁉️🤔 Часті запитання

Чи можна використовувати кілька плагінів брандмауера одночасно?

Так, і на практиці це поширений патерн. Брандмауер кінцевої точки (Wordfence або AIOS) захищає на рівні WordPress. Хмарний WAF (Cloudflare або Sucuri) фільтрує трафік до сервера. Легкий BBQ, як другий контур фільтрації запитів. Головне, не ставте два брандмауери кінцевої точки одночасно: їхні сканери та правила можуть конфліктувати, а навантаження на сервер подвоїться.

Чим брандмауер кінцевої точки відрізняється від хмарного WAF?

Брандмауер кінцевої точки працює всередині WordPress: він «бачить» запит після того, як той досяг сервера, і глибше розуміє контекст (який плагін уразливий, хто авторизований). Хмарний WAF фільтрує трафік на зовнішньому проксі, до хостингу. Плюс хмари, zero-day захист без навантаження на сервер. Мінус, трафік проходить через чужий сервер. Найкращий захист, обидва рівні.

Безплатного брандмауера достатньо, чи треба платити?

Для особистого блогу або простого сайту-візитівки вистачає Wordfence Free + Cloudflare Free. Для інтернет-магазину або сайту, який приносить гроші, варто взяти Premium хоча б одного плагіна: real-time правила та пріоритетна підтримка окупаються першим же запобіглим зламу.

Який плагін найкращий для новачка?

AIOS (All-In-One Security), система балів наочно показує, наскільки захищений сайт, а налаштування розбиті за рівнями: Beginner, Intermediate, Advanced. Не треба гадати, що вмикати. На другому місці, BBQ Firewall: поставив і забув, налаштувань нуль.

Чи допоможе брандмауер, якщо сайт уже зламано?

Брандмауер запобігає атакам, але не чистить наслідки. Якщо сайт уже заражений, потрібен сканер malware (Wordfence або Security Ninja) для виявлення, а потім ручне або автоматичне чищення. Sucuri в тарифах Platform і вище робить чищення «під ключ» силами своєї команди. Після чищення обов’язково поставте брандмауер, щоб не повторилося.

Що ставити у 2026 році: підсумковий розклад

Пройдіться за цим списком, він за п’ять хвилин закриє більшість типових загроз:

• Якщо сайт на дешевому хостингу і кожен мегабайт пам’яті на рахунку, BBQ Firewall. Важить менше 10 КБ, захищає без навантаження.
• Якщо потрібно «поставив і забув» із візуальним інтерфейсом, AIOS. Система балів сама підкаже, що ввімкнути.
• Якщо хочете максимальний захист і готові платити, Wordfence Premium як кінцева точка + Cloudflare Pro як хмарний WAF. Подвійний контур.
• Якщо сайт уже зламували і потрібне гарантоване чищення, Sucuri Platform. Єдиний, хто чистить за вас.
• Якщо сайт на WooCommerce, Kadence Security. Шаблон eCommerce містить рівно те, що потрібно магазину.

Почніть із безплатного Wordfence або AIOS прямо зараз: повний скан покаже, чи є проблема взагалі. А який плагін брандмауера виручав вас, діліться в коментарях.