Toore jõud ei ole WordPressi saidi jaoks hüpoteetiline oht. Iga värsket blogi või poodi hakkavad robotid skannima juba esimeste tundide jooksul pärast avaldamist. Saitide vahel pole vahet: skripte ei huvita, kelle wp-login.php-d nad pommitavad. 20 000 katset paari minutiga ja sait on kas ohustatud või odaval hostingul koormuse all maas.

Tavaline WordPress ei loe sisselogimiskatseid. Sada tuhat korda, miljon korda, sisselogimisvorm töötleb piiranguteta. See on lukuta välisuks. Parool arvatakse varem või hiljem ära, see on aja, mitte tõenäosuse küsimus.

Oleme kokku kogunud 13 toimivat pistikprogrammi toore jõu rünnete blokeerimiseks: alates kergetest katsete loenduritest kuni täisfunktsionaalsete komplektideni koos tulemüüride, pahavaraskannerite ja kaheastmelise autentimisega. Kõik koos reaalajas ekraanipiltide, kehtivate hindade ja päris saitide kogemustega.

💡 Kiirülevaade:

• Kerge katsete loendur (Loginizer, Limit Login Attempts Security) blokeerib ainult toore jõu rünnet, ilma serverit koormamata.
• Komplekt (Wordfence, AIOS, Defender) lisab tulemüüri ja pahavaraskanneri.
• Poodide puhul on kohustuslik kaheastmelise autentimise pistikprogramm koos WooCommerce'i vormikaitsega (miniOrange, Kadence Security).
• Ärge paigaldage korraga kahte tulemüüriga pistikprogrammi, vastuolulised reeglid lukustavad teid administraatoriliidesest välja.

Pistikprogrammide võrdlustabel

1. Wordfence Security

Wordfence ei ole lihtsalt pistikprogramm, see on de facto WordPressi turvalisuse standard. Üle 5 miljoni aktiivse paigalduse, oma ohuluure meeskond ja 24/7 intsidentidele reageerimise grupp. Kui vajate ühte „seadista ja unusta" tööriista, siis see ongi see.

Sees: lõpp-punkti tulemüür (töötab WordPressi sees, mitte väljaspool, seega ei riku krüptimist ja välistab andmelekked), pahavaraskanner, toore jõu kaitse sisselogimiskatsete piiramise kaudu, kaheastmeline autentimine mis tahes TOTP rakenduse kaudu ja reaalajas liikluse jälgimine.

Praktikas on Wordfence hea, sest tasuta versioon katab valdava osa väikese kuni keskmise saidi vajadustest. Tulemüürireeglid ja pahavara signatuurid jõuavad tasuta versiooni 30-päevase viitega, mis on blogi või maandumislehe jaoks vastuvõetav. Poe jaoks on Premium parem: reaalajas Threat Defense Feed, riikide blokeerimine ja blokeerimisnimekirjade kontroll.

Varjuküljed: skanner annab mõnikord valjuhäälselt märku kahtlastest failidest, mis on tegelikult ohutud, kohandatud teemad, vahemälufailid. Neid tuleb käsitsi valgesse nimekirja lisada.

• Toore jõu kaitse: katsete piiramine + IP blokeerimine + 2FA + reCAPTCHA sisselogimisel
• Tulemüür: lõpp-punkti WAF, reegleid uuendatakse Threat Defense Feedi kaudu
• Skanner: kontrollib tuuma, teemasid ja pistikprogramme pahavara suhtes + failide terviklikkust wordpress.org-i vastu
• Hind: tasuta; Premium, $149/aasta

🔗 Wordfence WordPress.org-is

2. Loginizer

Loginizer on kerge ja fokusseeritud tööriist. Ei mingeid tulemüüre ega skannereid, ainult sisselogimiskaitse. Sellega saab see suurepäraselt hakkama: 1 miljon aktiivset paigaldust ja ühilduvus kuni WordPress 7.0-ni.

Põhimõte on lihtne: 3 ebaõnnestunud katset, IP blokeeritakse 15 minutiks. Pärast mitut blokeeringut järgneb 24-tunnine keeld. Kõik on paindlikult seadistatav: katsete arv, blokeeringu kestus, IP-de valge ja must nimekiri.

Pro versioon lisab 2FA e-posti või autentimisrakenduse kaudu, reCAPTCHA (v2/v3 + Cloudflare Turnstile), wp-login.php ja wp-admin ümbernimetamise, sotsiaalmeedia kaudu sisselogimise (Google, GitHub, Facebook) ja riigipõhise blokeerimise. Palju Pro funktsioone, kuid tuum, katsete loendur, töötab veatult tasuta versioonis.

• Toore jõu rünnete kaitse: katsete loendur + IP blokeerimine + reCAPTCHA (Pro)
• 2FA: e-posti kood / TOTP rakendus (Pro)
• Funktsioon: sisselogimislingi, wp-admin, XML-RPC muutmine
• Hind: tasuta; Pro, $24/aasta

🔗 Loginizer WordPress.org-is

3. Sucuri Security

Sucuri on saidi turvalisusele spetsialiseerunud ettevõte ja nende plugin toimib ökosüsteemi esitlusena. Tasuta versioon pakub sündmuste auditit, failide terviklikkuse jälgimist, kaugpahavaraskannimist SiteChecki kaudu, blokeerimisnimekirjade kontrolli ja komplekti turvasoovitusi. Kuid Sucuri peamine tugevus peitub tasulises WAF-is.

Sucuri pilvepõhine tulemüür suunab kogu liikluse läbi oma kohalolekupunktide enne, kui see teie serverisse jõuab. DDoS, toore jõu rünnakud ja ärakasutamiskatsed tõrjutakse enne nende kohalejõudmist. Lisaks CDN kiirenduseks ja haavatavuste virtuaalne paikamine enne ametlike paikade väljastamist.

Miinus neile, kes soovivad kõike ühes pluginas: tasuta Sucuri on seire, mitte aktiivne kaitse. Toore jõu blokeerimine on saadaval ainult WAF-iga.

• Toore jõu rünnete kaitse: pilve WAF-i kaudu (tasuline)
• Tulemüür: pilve WAF + DDoS kaitse + CDN (tasuline)
• Skanner: kaug-SiteCheck + failide terviklikkus
• Hind: tasuta; WAF, $199.99/aasta

🔗 Sucuri WordPress.org-is | 🔗 Sucuri tulemüür

4. Jetpack

Automatticu (WordPress.com-i meeskond) Jetpack on Šveitsi armee nuga, kus turvalisus on vaid üks kümnest moodulist. Sees: toore jõu rünnete kaitse tasuta Protect mooduli kaudu, varundus, CDN piltidele, rämpspostifilter, analüütika ja e-posti turundus.

Toore jõu rünnete kaitse toimib globaalse võrgustiku kaudu: kui mõni IP ründas teist Jetpacki saiti, blokeeritakse see ka teie omal. See on tugevam kui lokaalne katsete loendur. Protect moodul on tasuta.

Kuid Jetpacki liides on lülitite ja alammenüüde labürint. Esimesel korral on raske sellest aru saada ja mõned funktsioonid nõuavad WordPress.com-iga ühendamist. Neile, kes vajavad ainult turvalisust ilma lisamahuta, on see raske.

• Toore jõu rünnete kaitse: globaalne Protect võrgustik + katsete loendur
• Tulemüür: Protect mooduli kaudu
• Skanner: pahavara skannimine + tööaja jälgimine (tasuline)
• Hind: tasuta; Security, $99/aasta

🔗 Jetpack WordPress.org-is | 🔗 Jetpack Security

5. MiniOrange 2FA, Two Factor Authentication

miniOrange 2FA on kitsalt spetsialiseerunud plugin. See ei tegele tulemüüride ega pahavara skannimisega. Ainus ülesanne on lisada sisselogimisele teine aste. Ja seda teeb ta paremini kui enamik komplektlahendusi.

Kümmekond meetodit: Google Authenticator, Microsoft Authenticator, Authy, Duo, OTP e-posti, SMS-i, WhatsAppi, Telegrami, turvaküsimuste kaudu. Kõik seadistatakse rollipõhiselt: administraatorid saavad range 2FA, autorid valikulise. WooCommerce'i sisselogimisvorm on toetatud.

Tasuta versioon töötab 5 kasutajaga, mis on piisav väikesele blogile paari toimetajaga. Pro eemaldab piirangu ja lisab usaldatud seadmed, mitmikvõrgustiku (multisite) ja valge sildi (white label).

Oluline: see on ainult teine aste. Plugin ei kaitse paroolide brute force rünnete eest, paigalda see koos katsete loenduriga.

• Brute force kaitse: 2FA kaudu (äraarvatud parool ei anna juurdepääsu ilma teise astmeta)
• 2FA meetodid: TOTP, e-post, SMS, WhatsApp, Telegram, turvaküsimused
• Omadus: WooCommerce, Elementor, BuddyPress, täielik ühilduvus
• Hind: tasuta (kuni 5 kasutajat); Pro, $99

🔗 miniOrange 2FA WordPress.org-is | 🔗 miniOrange Premium

6. Shield Security

Shield Security kasvas välja lõpetatud WP Cerberi asendusena ja ületas seda paljudes parameetrites. Peamine omadus: plugin teeb blokeerimisotsused automaatselt, ilma administraatori sekkumiseta. Iga külastaja saab maineskoori, mis põhineb signaalidel, ebaõnnestunud sisselogimisel, tulemüüri käivitumisel, silentCAPTCHA läbikukkumisel. Kui lävi ületatakse, blokeeritakse IP automaatselt.

silentCAPTCHA on passiivne robotituvastaja, mis ei näita päris külastajatele mingeid märkeruutusid. Töötab vaikselt, ilma väliste päringute ja JavaScriptita.

Eelised: tasuta versioon taastab automaatselt muudetud WordPressi tuumafailid saidilt wordpress.org ja suudab eristada legitiimseid roboteid (Google, Bing) võltsingutest. Pro lisab AI-põhise pahavara skanneri, pääsmevõtmed (paroolita sisselogimine Face ID / Touch ID / Windows Hello kaudu), CrowdSec integratsiooni ja pluginatega ning teemadega seotud turvaaukude skaneerimise.

• Toore jõu rünnete kaitse: automaatne blokeerimine maineskoori + silentCAPTCHA + katsete loenduri alusel
• Tulemüür: 8G reeglid + CrowdSec integratsioon (Pro)
• Skanner: tuuma terviklikkus + PHP pahavara tuvastaja (Pro: AI skanner)
• Hind: tasuta; ShieldPRO, 99 $/aastas

🔗 Shield Security WordPress.org-is | 🔗 ShieldPRO

7. Limit Login Attempts Security

See plugin kandis varem nime Limit Login Attempts Reloaded ning sai pärast brändivahetust kaasaegse liidese ja pilvekaitse premium-versioonis. 2 miljonit aktiivset paigaldust, mis on nišilahenduse kohta tõsine number.

Tuumik on klassikaline katsete loendur: IP, kasutajanimi, blokeerimisaeg. Kuid on nüansse, mida konkurentidel pole: WooCommerce'i sisselogimise kaitse, XML-RPC ja kohandatud sisselogimisvormide tugi kohe karbist välja. Lisaks sisseehitatud 2FA tasuta versioonis.

Premium viib kaitse pilve: blokeeringud sünkroniseeritakse saitide vahel, globaalsed mustad nimekirjad uuenevad reaalajas ning toore jõu rünnete koormus läheb WPChefi pilve, mitte sinu serverisse. Algpaketi limiit on 100 000 päringut kuus, mis on enamiku saitide jaoks enam kui piisav.

• Toore jõu rünnete kaitse: katsete loendur IP ja kasutajanime alusel + pilv (Premium)
• 2FA: sisseehitatud, tasuta
• Funktsioon: WooCommerce + XML-RPC + kohandatud vormide kaitse
• Hind: tasuta; Premium, 60 $/aastas

🔗 Limit Login Attempts Security WordPress.org-is | 🔗 Premium

8. WP Ghost

WP Ghost (endine Hide My WP Ghost) läheneb turvalisusele teisiti: rünnete tõrjumise asemel muudab see saidi skaneerimisrobotitele nähtamatuks. Plugin muudab WordPressi standardseid aadresse: /wp-admin muutub kohandatud nimeks, /wp-content kaustaks /media ja wp-login.php tagastab 404 kõigile peale sinu.

See ei ole turvalisus läbi varjamise, vaid arhitektuuriline peitmine. Valdav osa rünnetest algab luurega: robotid skaneerivad miljoneid saite tunnis, otsides faili wp-login.php. WP Ghost teeb nii, et skanner ei saa aru, kas tegu on WordPressiga.

Lisaks: 8G/7G tulemüür, pääsmevõtmed (paroolita sisselogimine Face ID / Touch ID / Windows Hello kaudu), AI-robotite blokeerimine (GPTBot, ClaudeBot) ja GEO ohukaart. Töötab koos Wordfence'i, AIOS-i, Sucuriga ilma konfliktideta.

• Toore jõu rünnete kaitse: sisselogimise URL-i muutmine + 8G tulemüür + reCAPTCHA + katsete loendur
• Maskeerimine: /wp-admin, /wp-content, /wp-login.php, pluginatega ja teemadega ümbernimetamine
• Funktsioon: pääsmevõtmed, AI-robotite blokeerimine, CDN-ühilduvus
• Hind: tasuta; Premium, 29,99 $/aastas

🔗 WP Ghost WordPress.org-is | 🔗 WP Ghost Premium

9. Security Ninja

Security Ninja alustas kerge turvaaudittorina CodeCanyonis ja kasvas täissviidiks. Ühe skaneerimisega tehakse üle 50 turvatesti, alates nõrkadest paroolidest kuni failiõiguste ja aegunud pluginaversioonideni.

Tasuta versioon pakub 8G reeglitel põhinevat tulemüüri, pluginate ja teemade haavatavuste skannerit ning tuuma terviklikkuse kontrolli. Pro lisab pilvetulemüüri (üle 600 miljoni teadaoleva pahatahtliku IP), pahavaraskanneri ühe klõpsuga puhastamisega, kaheastmelise autentimise ja sisselogimiskaitse.

Omadus: Security Ninja ei kuva lihtsalt probleemide nimekirja, vaid prioriteetse tegevuskava, mida esimesena parandada. See säästab algajatel tunde.

• Toore jõu rünnete kaitse: sisselogimiskaitse + kaheastmeline autentimine (Pro)
• Tulemüür: 8G (tasuta), pilvetulemüür (Pro)
• Skanner: 50+ testi + pahavaraskanner (Pro) + tuumaskanner
• Hind: tasuta; Pro, 39,99 $/aasta

🔗 Security Ninja WordPress.org-is | 🔗 Security Ninja Pro

10. Kadence Security

Kadence Security on iThemes Security otsene järeltulija Nexcessi meeskonnalt. Toode taaskäivitati uue nime ja ümbermõtestatud lähenemisega: sadade laialipillutatud seadete asemel on turvamallid saidi tüübi järgi. e-pood, blogi, portfoolio, mittetulundusühing, brošüür, valid malli ja plugin lubab automaatselt piisava kaitsetaseme.

Tasuta versioon pakub: lokaalset ja võrgupõhist toore jõu rünnete kaitset (ligi 1 miljon saiti jagatud võrgus), kaheastmelist autentimist Google Authenticatoriga, paroolinõudeid, failimuutuste jälgimist ja saidi skaneerimist Google Safe Browsingi kaudu. Pro laiendab seda reCAPTCHA, paroolita sisselogimise, usaldusväärsete seadmete, Patchstacki integratsiooniga virtuaalseks haavatavuste paikamiseks ja kasutajate logimisega.

Oluline: Kadence Security muudab faile .htaccess ja wp-config.php, enne aktiveerimist tee varukoopia.

• Toore jõu rünnete kaitse: lokaalne + võrgupõhine (kogukond ~1M saiti)
• Kaheastmeline autentimine: Google Authenticator + e-post (tasuta), reCAPTCHA + paroolita sisselogimine (Pro)
• Skanner: failimuutuste jälgimine + Google Safe Browsing (tasuta), Patchstack (Pro)
• Hind: tasuta; Kadence Security Pro, 80 $/aasta

🔗 Kadence Security WordPress.org-is | 🔗 Kadence Security Pro

11. All-In-One Security (AIOS)

All-In-One Security (AIOS), endise nimega All In One WP Security & Firewall, kuulub nüüd UpdraftPlus'i meeskonda. 4,7 tärni ja üle 1 miljoni installi, ja seda täiesti teenitult.

Funktsioonide hulgas on punktipõhine turvalisuse hindamissüsteem (arusaadav isegi algajatele), kolm funktsioonitaset: Basic, Intermediate, Advanced, ning tasuta kaheastmeline autentimine (2FA) Google Authenticatori, Microsoft Authenticatori ja Authy toega. Tulemüür kasutab Perishable Pressi 6G reegleid, mis on ajaproovile vastu pidanud komplekt.

Tasuta versioonil on kõik sisselogimise kaitseks vajalik olemas: katsete loendur, 2FA, sunnitud väljalogimine jõudeoleku korral, kasutajate loendamise kaitse, administraatori kasutajanime tuvastamine. Premium lisab nutika 404 blokeerimise, riigipõhise blokeerimise, pahavara skannimise ja tööaja jälgimise.

• Toore jõu rünnete kaitse: katsete loendur + 2FA + sunnitud väljalogimine + kasutajate loendamise kaitse
• Tulemüür: 6G reeglid +.htaccess + PHP tulemüür
• Skanner: failimuutuste jälgimine (tasuta), pahavara skanner (Premium)
• Hind: tasuta; Premium, $49/aastas

🔗 AIOS WordPress.org-is | 🔗 AIOS Premium

12. Defender Security

WPMU DEV-i Defender on veel üks komplekt, mis üllatab tasuta funktsioonide mahuga. Pahavara skanner, tulemüür, 2FA, katsete loendur, sisselogimise maskeerimine, Google reCAPTCHA, turvapäised ja 404 piiraja, kõik minimaalse mõjuga saidi kiirusele.

Eraldi äramärkimist väärib AntiBot Global Firewall, tasuta ühendus WPMU DEV pilvega, mis blokeerib pahatahtlikud IP-d 750 000 saidi andmete põhjal.

Pro laiendab seda: ajastatud pahavara skannimine, Safe Repair kahtlaste failide jaoks (ühe klõpsuga taastamine), teadaolevate haavatavuste tuvastamine ja Google Blocklist Monitoring. Defender rõõmustab sellega, et ei koorma liidest üle, kõik on loogiliselt grupeeritud, mitut turvameetmete soovitust rakendatakse samaaegselt.

• Toore jõu rünnete kaitse: katsete loendur + 2FA + sisselogimise maskeerimine + reCAPTCHA
• Tulemüür: lokaalne + AntiBot Global Firewall (pilv üle 750 tuhande saidi)
• Skanner: pahavara + tuuma terviklikkus (tasuta), Safe Repair + haavatavused (Pro)
• Hind: tasuta; Pro, WPMU DEV-is alates $5/kuus

🔗 Defender WordPress.org-is | 🔗 WPMU DEV

13. BulletProof Security

BulletProof Security on veteran, millel on üle 10 aasta ajalugu ja versioon 7.2 WordPress 7.0 jaoks. Peamine omadus: .htaccess tulemüür, mis töötab serveri tasemel enne WordPressi laadimist. See on kiirem kui ükski PHP tulemüür.

BPS ei ole kõige kasutajasõbralikum plugin. Liides on spartalik, seadistusloogika eeldab .htaccess tundmist. Kuid neile, kes asja tunnevad, on see võimas tööriist. Pro versioon sisaldab ARQ IDPS-i (AutoRestore sissetungituvastus- ja ennetussüsteem): plugin jälgib kõiki failimuudatusi ja taastab automaatselt originaalid karantiinist.

Oluline: BPS kirjutab .htaccess ümber ja võib konflikti minna teiste pluginatega, mis samuti .htaccess-i kirjutavad. Seadista püsilingid enne paigaldamist.

• Toore jõu rünnete kaitse: .htaccess tulemüür + sisselogimisturve ja -seire
• Tulemüür: .htaccess reeglid (serveri tase) + PHP tulemüür
• Skanner: MScan pahavaraskanner + tuumafailide skanner
• Hind: tasuta; Pro, $69.95

🔗 BulletProof Security WordPress.org-is | 🔗 BPS Pro

⁉️🤔 Korduma kippuvad küsimused

Mis on toore jõu rünne WordPressi vastu?

Toore jõu rünne on automatiseeritud paroolide äraarvamine. Bott saadab päringuid wp-login.php-le erinevate kasutajanime ja parooli kombinatsioonidega, kuni leiab õige. Vaikimisi WordPress katsete arvu ei piira, 20 000 päringut mõne minutiga ei ole boti jaoks probleem. Majutus lämbub selle käigus ja sait kas ohustatakse või langeb maas.

Kas ühest pluginast piisab täielikuks kaitseks?

Väikese kuni keskmise saidi puhul jah. Wordfence, AIOS või Defender katavad valdava osa ohtudest: katsete loendur, tulemüür, 2FA. Poe puhul on parem kombineerida: katsete loendur (Limit Login Attempts Security) + 2FA (miniOrange) + pilvepõhine WAF (Sucuri). Ära paigalda korraga kahte tulemüüriga pluginat, vastuolulised reeglid võivad su admin-ist välja lukustada.

Kas tasulist pluginat on vaja, kui on olemas tasuta Wordfence?

Tasuta Wordfence katab põhivajadused. Erinevus Premiumiga on reaalajas: tulemüürireeglid ja pahavara signatuurid jõuavad tasuta versiooni 30-päevase viitega. Blogi jaoks on see okei, maksetega poe jaoks on see risk. Lisaks pakub Premium riigipõhist blokeerimist, mis on kasulik, kui peamine ründevoog tuleb ühest piirkonnast.

Mida teha, kui plugin blokeeris mu enda IP?

Lülita telefonis VPN sisse (Opera brauseril on sisseehitatud) ja logi sisse teiselt IP-lt. Admin-is lisa oma IP valgesse nimekirja. Kui VPN-i pole, siis FTP või majutuse failihalduri kaudu nimeta pluginakaust wp-content/plugins/ ümber, logi adminisse, taasta nimi ja lisa IP valgesse nimekirja.

Milline plugin on serverile kõige kergem?

Loginizer ja Limit Login Attempts Security, ainult katsete loendur, ei mingeid tulemüüre ega skannereid. Minimaalne koormus, maksimaalne sisselogimiskaitse. Kui vajad tulemüüri kiirust kaotamata, siis Shield Security (8G reeglid töödeldakse serveri tasemel) või WP Ghost (ainult ümberkirjutusreeglid, failide muutmist ei toimu).

Kas saab hakkama ilma pluginata?

Saab, aga see on keerulisem. Käsitsi .htaccess seadistamine katsete piiramiseks, HTTP Basic Auth wp-admin-il, Cloudflare WAF, kõik see toimib. Kuid plugin teeb sama 5 minutiga, koos liidese ja logidega. Kliendisaitide puhul on plugin ainus variant.

Mida paigaldada 2026. aastal?

Pärast tosina lahenduse testimist reaalsetel saitidel on reegel lihtne: üks tasuta komplekt pluss üks spetsialiseeritud 2FA plugin, kui on pood.

Wordfence on standard neile, kes tahavad valmiskaitse ilma seadistamise vaevata. Loginizer on minimalistidele, kes vajavad ainult katsete loendurit. WP Ghost on juhuks, kui saiti skannivad regulaarselt botid ja on mõtet WordPressi jälgi peita.

Kui vajad ühte universaalset tasuta varianti, võta Wordfence. Katab toore jõu rünnete kaitse, tulemüüri, pahavaraskanneri ja 2FA. WooCommerce'i poe jaoks on usaldusväärsem kombinatsioon: Limit Login Attempts Security (kaitseb kõiki sisselogimisvorme) + miniOrange 2FA (teine aste). Ja kui sait on sihitud rünnaku all ja loendur ei tule toime, päästab Shield Security automaatse blokeerimisega maineskoori alusel ilma käsitsi sekkumiseta.

Ja mis kõige tähtsam: toore jõu rünne ei ole ainus oht. Plugin ei asenda regulaarseid varukoopiaid, tugevaid paroole ja õigeaegseid tuumavärskendusi. Kuid ilma katsete loendurita kaotab kõik muu mõtte, uks on lahti.