Представьте: вы заходите утром в админку, а там, редирект на фишинговую страницу. Либо Google присылает уведомление: «Сайт может быть взломан». Либо хостинг молча отключает площадку за рассылку спама, который вы не отправляли. Всё это, не страшилки, а рядовые сценарии для WordPress, который крутит 43% интернета и остаётся мишенью номер один для автоматизированных атак.

Проблема в том, что вредоносный код умеет сидеть тихо. Он не ломает вёрстку, не пишет вам в Telegram, он потихоньку ворует трафик, подсовывает посетителям рекламу казино или майнит крипту на чужом железе. И часто владелец узнаёт об этом спустя месяцы.

Мы собрали 8 бесплатных инструментов, которые проверят сайт по десяткам параметров и покажут, где тонко, от мгновенных онлайн-сканеров до плагинов с доступом к файлам и базе данных. Все работают без вложений в базовой версии, а на запуск уходит от пары минут до получаса.

💡 Быстрый обзор:

• Выберите тип сканера: удалённый (быстро, без установки) или плагин (глубокая проверка файлов и базы данных)
• Запустите онлайн-сканер вроде Sucuri SiteCheck, мгновенный внешний осмотр без регистрации
• Установите плагин (Wordfence или MalCare) для полного аудита серверной части и авто-сканирования по расписанию
• Разберите отчёт, закройте найденные дыры и настройте повторные проверки

Способы сканирования WordPress: удалённо или изнутри

Прежде чем переходить к инструментам, важно понять разницу между двумя подходами. Они не конкурируют, они дополняют друг друга.

Удалённые сканеры работают как поисковый робот: вы вводите URL на веб-странице сервиса, и сканер анализирует то, что видно в браузере, финальную отрисованную версию страниц. Метод быстр и безопасен: ничего не устанавливается, логины не передаются, сервер не нагружается. Но он не заглядывает на сервер. Если вредоносный код спрятан в базе данных или в файлах за пределами публичной части, удалённый сканер его не увидит.

Плагины безопасности устанавливаются прямо в WordPress и получают доступ ко всей среде хостинга: ядру, темам, плагинам, базе данных и даже файлам, не относящимся к WordPress. Это гораздо более глубокое сканирование с настраиваемыми правилами и автоматизацией. Плата за глубину, плагин потребляет ресурсы сервера, хотя современные решения (MalCare) выносят нагрузку в облако.

По нашему опыту, минимальный стек для большинства сайтов, один онлайн-сканер для быстрых внешних проверок и один плагин для глубокого аудита. Дальше разберём конкретные инструменты.

1. MalCare

MalCare, это облачный сканер безопасности, который выносит всю тяжёлую работу на свои серверы. Вы ставите бесплатный плагин, а само сканирование происходит удалённо, хостинг не нагружается. Плагин проверяет все файлы сайта и базу данных, включая скрытые вредоносные программы, которые не видны при внешнем осмотре.

На практике это означает, что даже на слабом shared-хостинге полное сканирование не кладёт сайт. Бесплатная версия включает ежедневное авто-сканирование и базовый файрвол. Премиум-тарифы добавляют удаление вредоносного ПО в один клик, CAPTCHA, блокировку IP, защиту папки uploads, отключение редактора файлов и white-label-отчёты для агентств.

Плюсы: облачное сканирование без нагрузки на сервер, удобная панель, white-label для клиентов. Минусы: удаление вредоносного ПО, только в премиуме, нет двухфакторной аутентификации в бесплатной версии.

Цена: бесплатно (базовое сканирование + файрвол); премиум, по подписке, актуальные тарифы на сайте.

🔗 MalCare на WordPress.org | 🔗 Сайт MalCare

2. Sucuri SiteCheck

Sucuri, одно из самых известных имён в веб-безопасности. Их бесплатный онлайн-сканер SiteCheck проверяет любой сайт (не только WordPress) на известные вредоносные программы, устаревшее ПО, ошибки конфигурации и статус в чёрных списках.

Сканер сравнивает страницы сайта с базой данных сигнатур Sucuri и выдаёт отчёт по аномалиям. Вы также увидите статус сайта у Google Safe Browsing, AVG, McAfee, Norton и других сервисов, это полезно, если подозреваете, что сайт уже мог попасть под санкции. По нашему опыту, SiteCheck отлично работает как «первая линия»: запустили за 30 секунд, увидели критичное, приняли решение.

Главное ограничение: удалённый формат не видит файлы на сервере. Поэтому SiteCheck хорош для быстрой проверки «снаружи», а для глубокого аудита Sucuri предлагает отдельный WordPress-плагин.

Плюсы: мгновенный запуск без регистрации, проверка по всем чёрным спискам, детальный отчёт. Минусы: только внешний осмотр, нет доступа к серверной части.

Цена: бесплатно (онлайн-сканер); плагин с firewall, по подписке, точные тарифы на сайте.

🔗 Sucuri SiteCheck

3. WP Sec

WP Sec, узконаправленный онлайн-сканер, заточенный именно под WordPress. В отличие от универсальных инструментов вроде Sucuri, он отслеживает базу данных уязвимостей конкретно для ядра, тем и плагинов WordPress.

Можно разово отсканировать сайт, введя URL, либо зарегистрировать бесплатный аккаунт для автоматического еженедельного сканирования. Для тех, кто управляет несколькими сайтами, WP Sec предлагает единую панель мониторинга и уведомления по email при обнаружении уязвимостей или необходимости обновления.

База данных WP Sec постоянно пополняется свежими CVE и багами, наиболее распространённые угрозы детектятся стабильно. Базовый отчёт показывает уязвимость и способ её устранения.

Плюсы: специализация на WordPress, авто-сканирование по расписанию, email-оповещения. Минусы: антибот-защита может блокировать заход с некоторых IP, базовый отчёт без глубокого анализа.

Цена: бесплатно (1 сайт, еженедельное сканирование); премиум, по подписке, точные тарифы на сайте.

🔗 WP Sec

4. HackerTarget WordPress Security Scan

HackerTarget предлагает бесплатный базовый и расширенный премиум-тариф. Сканер делает серию HTTP-запросов к страницам сайта и анализирует HTML-исходники, примерно так же, как поисковый бот.

Бесплатная версия проверяет: версию WordPress и её видимость в исходном коде, репутацию хостинга, геолокацию сервера, репутацию сайта по данным Google Safe Browsing, внешние ссылки, список плагинов, индексацию директорий плагинов, наличие iframe и связанного JavaScript. Последние два пункта особенно важны: через iframe и сторонние скрипты часто доставляется вредоносный код.

Плюсы: детальная проверка заголовков и внешних зависимостей, выявление подозрительных скриптов. Минусы: только пассивный анализ HTML, не проверяет серверную часть.

Цена: бесплатно (базовое сканирование); премиум, по подписке, точные тарифы на сайте.

🔗 HackerTarget WordPress Security Scan, откройте сайт hackertarget.com и выберите WordPress Security Scan в меню инструментов

5. Security Ninja

Security Ninja проводит более 50 автоматических тестов безопасности вашего WordPress-сайта. Он проверяет всё: от очевидных вещей вроде версии PHP и стандартного префикса таблиц wp_ до тонких настроек, отключения XML-RPC, защиты файла wp-config.php, проверки прав доступа к директориям.

Плагин не просто показывает проблему, а объясняет, как её исправить, с конкретными шагами и ссылками на документацию. Бесплатная версия даёт одно полное сканирование, после чего можно пройтись по каждому пункту и закрыть дыры. Этого достаточно для разового аудита сайта, который никогда не проверялся на безопасность.

В премиум-версии добавляются авто-фиксы в один клик, расписание сканирований и больше тестов. Для разработчиков и агентств есть модуль с отчётами для клиентов.

Плюсы: 50+ тестов в одном плагине, понятные инструкции к каждому пункту, не грузит сервер. Минусы: бесплатная версия ограничена одним сканированием, авто-фикс только в премиуме.

Цена: бесплатно (1 полное сканирование); премиум, по подписке, точные тарифы на сайте.

🔗 Security Ninja на WordPress.org

6. Wordfence

Wordfence, самый популярный бесплатный плагин безопасности для WordPress: более 5 миллионов активных установок на середину 2025 года по данным WordPress.org. Плагин сканирует исходный код, файлы изображений, темы, плагины и, опционально, файлы за пределами WordPress.

База сигнатур Wordfence насчитывает более 44 000 известных вредоносных программ, бэкдоров и фишинговых URL. Сканер проверяет не только файлы, но и комментарии, записи и страницы сайта. Отдельная функция, сравнение ваших файлов ядра, тем и плагинов с оригинальными версиями из репозитория WordPress: если файл изменён, вы увидите это сразу.

Встроенный Web Application Firewall (WAF) работает на уровне endpoint и защищает от брутфорса, XSS, SQL-инъекций и других атак. Threat Defense Feed обновляется постоянно, новые правила приходят на сайт автоматически.

Плюсы: максимальный охват (файлы + БД + комментарии), WAF из коробки, огромная база сигнатур. Минусы: может заметно нагружать слабый хостинг при полном сканировании, интерфейс перегружен для новичков.

Цена: бесплатно (полнофункциональный сканер + базовый WAF); премиум, по подписке, точные тарифы на сайте.

🔗 Wordfence на WordPress.org

7. VirusTotal

VirusTotal, не сканер в классическом понимании, а агрегатор: он прогоняет URL вашего сайта через 70+ антивирусных движков и сканеров репутации одновременно. Среди них, Avira, Comodo, Bitdefender, Kaspersky, а также Sucuri, Quttera и другие специализированные инструменты.

Главное преимущество такого подхода, мгновенный консенсус. Если один движок посчитал файл вредоносным, а остальные 69 молчат, скорее всего, это ложное срабатывание. Если красным горят десяток движков, пора бить тревогу. В нашей практике VirusTotal не раз выручал, когда SiteCheck показывал чисто, а один из антивирусных движков находил скрытый шелл.

VirusTotal не привязан к WordPress и подходит для любых сайтов. Важный нюанс: URL и файлы, отправленные в VirusTotal, передаются партнёрам по безопасности для улучшения их баз данных. Для конфиденциальных внутренних ресурсов учитывайте это.

Плюсы: 70+ движков одновременно, мгновенный консенсус, детект ложных срабатываний. Минусы: не WP-специфичный (не проверяет версии плагинов), данные доступны партнёрам.

Цена: бесплатно.

🔗 VirusTotal

8. Quttera

Quttera использует гибридный подход: можно запустить быстрое онлайн-сканирование без установки, а можно поставить плагин и получить полный доступ к проверке серверной части. Плагин ищет подозрительные скрипты, вредоносные медиафайлы, скрытые угрозы в базе данных и проверяет, не попал ли сайт в чёрные списки.

Само сканирование выполняется на удалённых серверах Quttera, как и у MalCare, это снижает нагрузку на хостинг. По завершении вы получаете отчёт, где каждый найденный элемент классифицирован: Clean (чисто), Potentially Suspicious (потенциально подозрительно), Suspicious (подозрительно) или Malicious (вредоносно). Для каждого пункта дана рекомендация по исправлению.

Отчёты Quttera публичны, плюс для прозрачности, но учитывайте этот момент при проверке чувствительных проектов.

Плюсы: гибридный формат (онлайн + плагин), классификация угроз по уровням, облачное сканирование. Минусы: публичные отчёты, AJAX-обработчики плагина требуют дополнительного аудита безопасности.

Цена: бесплатно (базовое сканирование); премиум, по подписке, точные тарифы на сайте.

🔗 Quttera на WordPress.org

Посмотрите, как WPScan, профессиональный сканер уязвимостей WordPress, находит дыры за минуты, от установки до первого отчёта:

Кстати, у нас есть подробное руководство по использованию WPScan для поиска уязвимостей WordPress, загляните, если хотите освоить инструмент глубже.

⁉️🤔 Частые вопросы

Достаточно ли только бесплатного онлайн-сканера для защиты сайта?

Онлайн-сканер, это быстрая проверка «снаружи». Он покажет видимые проблемы: устаревшую версию WordPress, известное вредоносное ПО в коде страниц, попадание в чёрные списки. Но он не видит, что творится в базе данных и на сервере. Для полной картины комбинируйте онлайн-сканер (Sucuri SiteCheck) с плагином (Wordfence или MalCare), это закроет и внешний, и внутренний контур. Для максимальной глубины добавьте ручной аудит через WPScan по нашему руководству.

Как часто нужно сканировать WordPress-сайт на уязвимости?

Минимальная периодичность, раз в неделю. Именно такой интервал у бесплатного тарифа WP Sec, и это не случайно: новые уязвимости в плагинах и ядре публикуются постоянно. Если сайт принимает платежи или хранит пользовательские данные, настройте ежедневное сканирование, MalCare и Wordfence умеют это в бесплатных версиях. После каждого обновления плагинов или тем внеплановое сканирование обязательно.

Какой сканер выбрать для слабого хостинга?

MalCare, ваш выбор. Сканирование выполняется на облачных серверах, а не на вашем хостинге. Даже на дешёвом shared-тарифе сайт не ляжет. Альтернатива, онлайн-сканеры (Sucuri SiteCheck, WP Sec): они вообще не нагружают сервер, но и глубина проверки у них меньше.

Чем отличается сканирование от активной защиты (файрвола)?

Сканирование, это диагностика: оно находит уже существующие проблемы (вредоносное ПО, уязвимости, подозрительные файлы). Файрвол (WAF), профилактика: он блокирует атаки до того, как они достигнут сайта. Wordfence включает и то и другое в бесплатной версии. MalCare, преимущественно сканер (файрвол в премиуме). Онлайн-сканеры, только диагностика, без активной защиты.

Обязательно ли ставить плагин, если я использую онлайн-сканер?

Онлайн-сканер смотрит на сайт глазами посетителя. Если вредоносный код спрятан в functions.php или в базе данных, онлайн-сканер его не обнаружит. Поэтому плагин обязателен для полной картины. Минимальный стек: один онлайн-сканер для быстрых проверок + один плагин для глубокого аудита.

Что делать, если сканер нашёл уязвимость?

Первым делом, не паниковать. Приоритеты: 1) обновить проблемный плагин, тему или ядро до последней версии (большинство известных уязвимостей уже исправлены вендором); 2) если обновления нет или проблема не в версии, временно отключить компонент; 3) сменить все пароли (WP-админа, FTP, хостинга, базы данных); 4) запустить полное сканирование плагином вроде Wordfence для поиска последствий; 5) если сайт уже пострадал, обратиться в поддержку хостинга или к специалисту по очистке.

Что ставить в 2026 году: итоговый расклад

Для большинства сайтов мы рекомендуем связку: Wordfence (глубокий аудит + WAF) + Sucuri SiteCheck (быстрая внешняя проверка). Оба инструмента бесплатны и покрывают серверную и клиентскую часть.

Если хостинг слабый, замените Wordfence на MalCare, он не грузит сервер. Если нужно разово проверить сайт, который никогда не аудировался, начните с Security Ninja (50+ тестов за одно сканирование). А для мониторинга десятков сайтов с единой панели, WP Sec с премиум-подпиской.

Не откладывайте: пройдитесь хотя бы одним онлайн-сканером прямо сейчас. Если нужна помощь с настройкой глубокой защиты, загляните в нашу статью о лучших плагинах для сканирования WordPress на вредоносные программы.