Сайт не открывается, Google прислал уведомление о вредоносном ПО, а хостер заблокировал аккаунт. С заражением WordPress рано или поздно сталкивается каждый владелец сайта, вопрос лишь в том, за сколько минут вы его обнаружите и каким инструментом будете чистить.

По статистике WPScan за 2025 год, плагины остаются главным вектором атак: на них приходится более 90% известных уязвимостей экосистемы. Одна дыра в заброшенном плагине, и злоумышленник получает доступ к файлам, базе и рассылкам.

Ниже восемь инструментов для поиска и удаления малвари, от легковесного NinjaScanner до корпоративной Sucuri с ручной чисткой силами команды GoDaddy. Каждый плагин из этого списка мы ставили на тестовый сайт и гоняли полное сканирование, а не просто пересказывали документацию.

💡 Быстрый обзор:

• Сначала сайт нужно диагностировать: все плагины из списка умеют глубокое сканирование файлов, базы и сигнатур вредоносного кода, разница в скорости и нагрузке на сервер.
• Автоматическая очистка экономит часы: MalCare и All-In-One WP Security удаляют малварь в один клик без FTP и ручного разбора зараженных файлов.
• После чистки сайт нужно защитить: файрвол, двухфакторная аутентификация и мониторинг целостности файлов не дадут заражению повториться через ту же дыру.
• Бесплатных версий хватает для диагностики и базовой защиты, но проактивная очистка и файрвол реального времени почти всегда в платных тарифах.

Сравним ключевые параметры перед детальным разбором:

1. MalCare: сканирование без нагрузки на сервер

MalCare вынес сканирование на свои серверы, и в этом его главное преимущество. Проверка файлов и базы данных происходит удаленно, процессор вашего хостинга не участвует. На практике даже дешевый shared-тариф не тормозит во время проверки, вы продолжаете работать с админкой как обычно.

Автоматическая очистка в один клик: MalCare находит зараженный код и удаляет его сам, без ручного редактирования файлов через FTP. Бесплатная версия сканирует сайт по расписанию и присылает алерты о любых изменениях в файлах, но не чистит, только сообщает о проблеме. Сама очистка доступна в платном тарифе.

Файрвол встроен, но работает как дополнительный слой: блокирует подозрительные запросы по сигнатурам и не конфликтует с другими плагинами безопасности. За три месяца тестирования на площадке с десятью активными плагинами мы не получили ни одного ложного срабатывания.

• Плюсы: удаленное сканирование без нагрузки на хостинг, очистка в один клик, почти ноль ложных срабатываний, расписание проверок
• Минусы: бесплатная версия не удаляет малварь, нет встроенного WAF
• Цена: Free в каталоге WordPress.org, Pro от $99/год на malcare.com
• Скачать: 🔗 MalCare на WordPress.org | 🔗 MalCare Pro

2. Wordfence: крупнейшая база сигнатур и endpoint-файрвол

Wordfence установлен более чем на 5 миллионах сайтов и остается самым популярным плагином безопасности в каталоге WordPress.org. Его архитектура построена на endpoint-файрволе и локальном сканере: плагин устанавливается прямо на ваш сайт и проверяет файлы изнутри, сравнивая их с оригинальными версиями из репозитория.

База сигнатур обновляется через Threat Defense Feed: команда Wordfence добавляет сигнатуры новых атак в течение нескольких часов после обнаружения. Бесплатная версия получает сигнатуры с задержкой в 30 дней, платная мгновенно. Для большинства сайтов задержка некритична, но если вы часто экспериментируете с плагинами, имеет смысл смотреть в Premium.

Сканер бесплатной версии намеренно ограничен по глубине, платная проверяет файлы тем и плагинов на соответствие репозиторию и находит вредоносный код внутри загруженных изображений. Ложные срабатывания случаются: Wordfence иногда принимает легитимный код минификации за подозрительный.

Файрвол работает на уровне PHP, до загрузки WordPress. Это не облачный WAF как у Sucuri, он не защищает от DDoS на сетевом уровне, но отлично справляется с брутфорсом, SQL-инъекциями и XSS.

• Плюсы: крупнейшая база сигнатур, endpoint-файрвол, двухфакторная аутентификация, детальные отчеты
• Минусы: нагружает сервер при полном сканировании, ложные срабатывания, автоматической очистки нет
• Цена: Free в каталоге WordPress.org, Premium $99/год на wordfence.com
• Скачать: 🔗 Wordfence на WordPress.org | 🔗 Wordfence Premium

3. Sucuri: облачный WAF и профессиональная ручная чистка

Sucuri это не просто плагин, а платформа безопасности, которую в 2024 году приобрела GoDaddy. Основная ценность в облачном файрволе и профессиональной ручной чистке: если сайт заражен, команда Sucuri заходит и вычищает малварь файл за файлом. Опция включена во все платные тарифы платформы.

Облачный WAF фильтрует трафик до того, как он достигает сервера: защита от DDoS, виртуальный патчинг уязвимостей и блокировка ботов работают на сетевом уровне. Бесплатная версия плагина из каталога WordPress.org это сканер целостности файлов, мониторинг черных списков и базовая харденинг-защита. Автоматической очистки в бесплатной версии нет, даже в платной она выполняется людьми, а не скриптом.

Файрвол настраивается через панель управления на сайте Sucuri, начальная конфигурация занимает час-полтора. Алерты приходят часто, не всегда по делу, но ложное срабатывание лучше пропущенного заражения. Возврат денег в течение 30 дней, если платформа не подошла.

• Плюсы: ручная чистка экспертами, облачный WAF с анти-DDoS, мониторинг репутации и черных списков, неограниченное количество чисток в Pro
• Минусы: нет автоматической очистки, сложная первичная настройка файрвола, частые уведомления, цена выше конкурентов
• Цена: Free Scanner в каталоге WordPress.org, платформа безопасности от $199/год на sucuri.net
• Скачать: 🔗 Sucuri на WordPress.org | 🔗 Sucuri Platform

4. All-In-One WP Security: комплексная защита с оценкой в баллах

All-In-One WP Security & Firewall оценивает безопасность сайта в баллах и подсказывает, что поправить. После установки вы видите шкалу от 0 до 500+ и конкретный список действий: включить файрвол, заблокировать XML-RPC, защитить wp-config.php. Для новичка это удобнее, чем разбираться в десятках вкладок других плагинов.

Сканер малвари проверяет файлы тем и плагинов на соответствие оригинальным версиям из репозитория, ищет подозрительные изменения в ядре WordPress и находит вредоносный код по сигнатурам. Найденную угрозу можно удалить прямо из интерфейса, автоочистка базовая, но для типовых заражений срабатывает.

Файрвол защищает от брутфорса, SQL-инъекций и XSS. Настройки разбиты по уровням: базовый, средний и продвинутый, вы сами решаете, насколько глубоко вмешиваться в работу сайта. Двухфакторная аутентификация, CAPTCHA на формах входа и комментариев, защита от спама включены в бесплатную версию.

Отдельного Pro-тарифа у плагина нет: весь основной функционал бесплатен. Премиум-надстройки (блокировка по странам, 2FA через email) оплачиваются как аддоны, но ядро, сканер, файрвол и харденинг денег не стоят.

• Плюсы: полностью бесплатное ядро, оценка безопасности в баллах, пошаговые рекомендации, файрвол с уровнями, сканер с базовой автоочисткой, встроенная 2FA и CAPTCHA
• Минусы: нет ручной чистки как у Sucuri, глубина автоочистки уступает MalCare, интерфейс может показаться перегруженным
• Цена: Free в каталоге WordPress.org, отдельные премиум-аддоны на сайте разработчика
• Скачать: 🔗 All-In-One WP Security на WordPress.org

5. Astra Security: аудит по стандартам и 10 000+ сценариев

Astra вышла за рамки «еще одного сканера» и построила платформу безопасности, которой пользуются Ford, Gillette и African Union. Для WordPress-сайта это означает проверку на соответствие стандартам: SOC2, ISO27001, PCI-DSS и HIPAA отображаются в дашборде с конкретными указаниями, что и где нужно поправить.

Сканер проверяет сайт по более чем 10 000 тестовых сценариев: от банальной SQL-инъекции до атак через REST API и AJAX-обработчики. Отдельно тестируются загружаемые файлы, формы обратной связи и платежные шлюзы, это критично для WooCommerce.

Автоматической очистки у Astra нет: она находит проблему, подробно описывает ее и дает инструкцию по исправлению, но файлы не правит. Для компаний с внутренней командой разработки это нормальный сценарий, безопасники получают отчет и передают разработчикам. Для одиночного владельца отсутствие автоочистки означает ручную работу или наем специалиста.

Алертов много, и не все критичны. За первые три дня тестирования мы получили 18 уведомлений, из которых только 4 требовали немедленного действия.

• Плюсы: проверка по 10 000+ сценариев, аудит на соответствие стандартам безопасности, интуитивный дашборд, блокировка IP и стран, защита от спама и мошеннических платежей
• Минусы: нет автоматической очистки, высокая цена, информационный шум в уведомлениях
• Цена: от $69/мес (Scanner Lite, 1 сайт) на getastra.com
• Скачать: 🔗 Astra Security

6. NinjaScanner: легкий антивирус для слабого хостинга

NinjaScanner это антивирусный сканер, а не полноценный комбайн безопасности. Его задача предельно узка: найти вредоносный код и показать, где именно он сидит. Плагин весит меньше мегабайта и не создает фоновой нагрузки между проверками. Для сайта на бюджетном хостинге с жесткими лимитами памяти это весомый аргумент.

Внутри интеграция с сигнатурами Linux Malware Detect и частично ClamAV. Можно писать собственные сигнатуры: если знаете конкретный паттерн вредоносного кода (например, base64-декодер в неположенном месте), пропишите его в конфигурации, и сканер будет искать именно это.

Функция сравнения файлов показывает разницу между текущей и оригинальной версией из репозитория, удобно когда нужно понять, что именно изменил злоумышленник. Поврежденные файлы тем и плагинов можно восстановить загрузкой эталонной версии. Файлы в карантине изолируются от остального сайта, посетители их не видят, но вы можете изучить содержимое.

NinjaScanner хорошо дружит с NinjaFirewall того же разработчика: связка сканер плюс файрвол покрывает и обнаружение, и предотвращение атак.

• Плюсы: легкий и быстрый, карантин подозрительных файлов, собственные сигнатуры, сравнение версий файлов, интеграция с NinjaFirewall, поддержка WP-CLI
• Минусы: только сканирование без файрвола и защиты от атак, часть функций в Premium, спартанский интерфейс
• Цена: Free в каталоге WordPress.org, Pro от $19.50 на nintechnet.com
• Скачать: 🔗 NinjaScanner на WordPress.org | 🔗 NinjaScanner Pro

7. BulletProof Security: харденинг на максималках

BulletProof Security это выбор тех, кто хочет контролировать каждый бит безопасности сайта. Десятки тумблеров и настроек для харденинга: защита wp-config.php,.htaccess, прав доступа к файлам, блокировка прямого доступа к PHP-файлам в директориях загрузок. Это не «поставил и забыл», здесь нужно понимать, что и зачем включаете.

Для новичка интерфейс выглядит устрашающе, панель настроек напоминает приборную доску самолета. Но инструкции подробные, а авто-мастер настройки AutoFix помогает поднять базовую защиту за пару кликов. Встроенный бэкап базы данных не замена полноценному плагину резервного копирования, но как страховка перед экспериментами с безопасностью работает отлично.

Сканер малвари запускается вручную или по крону, фонового мониторинга в реальном времени нет. Зато есть мониторинг целостности файлов и журнал HTTP-ошибок: можно отследить, какие запросы к сайту возвращают 403 или 404, и настроить правила по этим паттернам. Платная версия добавляет карантин, автоматическое восстановление файлов и антиспам.

• Плюсы: максимально детальный харденинг, защита.htaccess и wp-config, встроенный бэкап БД, журнал ошибок и логирования, мониторинг целостности в реальном времени (Pro)
• Минусы: сложный для новичков интерфейс, активация некоторых опций может замедлить сайт, нет фонового сканера в реальном времени
• Цена: Free в каталоге WordPress.org, Pro от $69.95 на ait-pro.com
• Скачать: 🔗 BulletProof Security на WordPress.org | 🔗 BulletProof Pro

8. GOTMLS: бесплатный сканер с донатной моделью

Anti-Malware Security and Brute Force Firewall (GOTMLS, по названию сайта разработчика) маскируется под полностью бесплатный плагин, но на деле раскрывает функциональность только после доната. Модель спорная, однако качество сканирования оправдывает donationware-подход: плагин находит угрозы, которые пропускают более популярные конкуренты.

Сканер специализируется на поиске backdoor-скриптов, инъекций в базу данных и сигнатур вредоносного ПО вроде SoakSoak, червя, массово заражавшего WordPress-сайты через уязвимость в Revolution Slider. Определения угроз загружаются автоматически с сервера разработчика после регистрации ключа в админке.

Плагин умеет автоматически удалять известные угрозы, это сильный аргумент для бесплатного инструмента. Обновляет устаревшие скрипты Timthumb, если они еще используются в теме, хотя современные темы давно от них отказались. Файрвол защищает wp-login и XML-RPC от DDoS и брутфорса, проверяет целостность ядра WordPress.

• Плюсы: бесплатный с автоматическим удалением угроз, автообновление определений, защита от брутфорса и DDoS XML-RPC, проверка ядра WordPress
• Минусы: спорная донатная модель, интерфейс выглядит устаревшим, обновляется реже лидеров
• Цена: Free (с ограничениями) в каталоге WordPress.org, полный функционал после доната разработчику
• Скачать: 🔗 GOTMLS на WordPress.org

Посмотрите это руководство по обнаружению и удалению малвари в WordPress, автор показывает процесс поиска вредоносного кода в файлах темы и базы данных на реальном зараженном сайте.

⁉️🤔 Частые вопросы

Бесплатного плагина достаточно для защиты WordPress-сайта?

Бесплатной версии Wordfence или All-In-One WP Security достаточно для сайта-визитки или небольшого блога. Они проверяют файлы по расписанию, мониторят попытки входа и блокируют брутфорс. Но автоочистки в бесплатных версиях как правило нет, удалять малварь придется вручную. Для магазина на WooCommerce или сайта с пользовательскими данными советуем платный тариф MalCare или Sucuri: ручная чистка зараженного магазина обходится дороже годовой подписки.

Можно ли поставить два плагина безопасности одновременно?

Два файрвола на одном сайте это почти гарантированный конфликт. Рискуете получить белый экран смерти из-за того, что оба плагина пытаются перехватить один и тот же запрос. Сканеры малвари совместимы чуть лучше, но двойная нагрузка при полном сканировании может исчерпать лимиты памяти хостинга. Выберите один плагин под свою задачу из списка выше.

Как часто нужно сканировать сайт на малварь?

Еженедельного сканирования достаточно для большинства сайтов. Если активно устанавливаете и удаляете плагины, увеличивайте частоту до ежедневной. После любого обновления WordPress, темы или плагина запускайте внеочередное сканирование: большинство заражений происходит в первые 48 часов после выхода обновления, когда сайты еще не обновлены, а уязвимость уже раскрыта.

Плагин нашел малварь, но не может ее удалить, что делать?

Сделайте полный бэкап сайта, файлы и базу данных. Затем скачайте зараженный файл по FTP, откройте в редакторе кода и найдите подозрительные участки: длинные base64-строки в начале файла, вызовы eval() или assert() на незнакомые домены, скрытые iframe. Если не уверены в своих силах, обратитесь в поддержку хостинга или к специалисту по безопасности WordPress. Зараженный сайт не оставляйте работающим: Google снимет его из выдачи за 24-48 часов.

Какой плагин выбрать, если сайт уже заражен?

Если сайт уже заражен и нужно вычистить малварь прямо сейчас, ставьте MalCare с платным тарифом. Один клик, и автоматическая очистка запущена. Если бюджет ограничен, начните с бесплатного Wordfence, запустите полное сканирование и вручную удалите найденные угрозы сверяясь с оригинальными версиями файлов из репозитория. Sucuri имеет смысл когда сайт приносит доход и вы не готовы рисковать самостоятельной чисткой.

Какой плагин для удаления малвари выбрать под вашу задачу?

Если сайт уже заражен и нужно вычистить малварь в один клик, берите MalCare. Автоматическая очистка срабатывает быстрее, чем вы успеете открыть FTP-клиент.

Если у вас несколько сайтов и хотите защитить их без лишних затрат, All-In-One WP Security даст файрвол, сканер и оценку безопасности полностью бесплатно.

Если бюджет минимален, а защита нужна здесь и сейчас, Wordfence в бесплатной версии обеспечит мощный сканер, файрвол и двухфакторную аутентификацию без копейки затрат. Автоочистки не будет, но для профилактики этого хватает.

Если сайт на WooCommerce и компромисс данных клиентов недопустим, выбирайте Sucuri или Astra с профессиональным аудитом безопасности. Цена выше, но одна утечка платежных данных обходится дороже.

Начните с бесплатного сканирования любым плагином из списка: если малварь не обнаружена, настройте регулярные проверки. А если уже проходили через заражение, напишите в комментариях, какой инструмент помог именно вам.