Безопасное подключение к WordPress через SFTP

Почему FTP опасен и что такое SFTP

FTP передаёт логин и пароль в открытом виде. Любой, кто перехватит трафик, увидит ваши данные. Это риск для безопасности сайта и пользовательских данных.

SFTP (SSH File Transfer Protocol) создаёт зашифрованное соединение поверх SSH. Данные и учётные данные шифруются, поэтому перехватчик увидит только набор бессмысленных символов.

Важно: не все хостеры поддерживают SFTP. Сначала уточните у провайдера, можно ли использовать SFTP и какой порт открыт для подключения.

Кому это нужно

• Владельцам сайтов на self-hosted WordPress
• Разработчикам и администраторам, которые выкладывают файлы на сервер
• Любому, кто хранит конфиденциальные данные на сайте

Быстрая проверка поддержки SFTP у хостера

1. Откройте панель поддержки вашего хостера или справочный центр.
2. Поиск по запросам: “SFTP”, “SSH File Transfer Protocol”, “SFTP port”.
3. Если в документации указан порт — используйте его. Часто это 22, но некоторые хосты назначают другой (например, порт 2222 у некоторых провайдеров).

Примечание: если хостер не поддерживает SFTP, рассмотрите переход к хостеру, который поддерживает безопасное соединение.

Инструменты: почему FileZilla

FileZilla — кроссплатформенный FTP/SFTP-клиент, простой и удобный. Он поддерживает как ввод пароля, так и аутентификацию по ключам.

Шаги: настройка SFTP в FileZilla

1. Скачайте и установите FileZilla Client для вашей ОС (пропустите, если уже установлен).
2. Откройте FileZilla и откройте Диспетчер сайтов: Файл → Диспетчер сайтов или клик по первой иконке на панели инструментов.

3. Нажмите “Новый сайт” для создания новой конфигурации.

4. В правой части введите:

   • Хост: IP-адрес или домен, указанный хостером.
   • Порт: используйте 22 по умолчанию или порт, рекомендованный хостером.
   • Тип сервера: выберите “SFTP — SSH File Transfer Protocol”.
   • Логин и пароль: укажите ваш FTP/SFTP логин и пароль (если используете аутентификацию по паролю).

5. Нажмите “Подключиться”. При первом подключении появится запрос на подтверждение публичного ключа сервера. Примите его (и при возможности сохраните в кэше).

Если соединение установлено — вы в безопасности: трафик шифруется.

Пошаговая инструкция для публичного/приватного ключа (ключевая аутентификация)

Публично-приватная аутентификация устраняет необходимость в пароле и уменьшает риск брутфорса.

Важно: не все хостеры позволяют создавать SSH-ключи в панели. Пример ниже — на базе Hostgator cPanel. Для других хостеров процесс похож, но интерфейс и названия могут отличаться.

1. Войдите в cPanel и найдите раздел SSH/Shell Access.

2. Нажмите “Manage SSH keys” или аналог.

3. Нажмите “Generate a new key”.

4. Укажите имя ключа и надёжный пароль-фразу (passphrase). Нажмите “Generate”.

5. После генерации пометьте публичный ключ как авторизованный (Manage Authorization → Authorize), чтобы SSH-сервер принимал подключение по ключу.

6. Скачайте приватный ключ на свой компьютер и сохраните в защищённой папке.

7. В FileZilla откройте Редактирование → Настройки → SFTP и добавьте файл ключа через кнопку “Add Keyfile”.

8. В настройках сайта в Диспетчере сайтов уберите сохранённый пароль и подключитесь. FileZilla будет использовать приватный ключ для аутентификации.

Примечание: при использовании ключей храните приватный ключ надёжно и делайте бэкап. Никому не отправляйте приватный ключ по e-mail.

Критерии приёмки

• Установлено защищённое соединение (SFTP), при подключении видна шифрованная сессия.
• Доступ с использованием пароля работает только если это разрешено; при использовании ключей — вход по паролю отключён для этой учётной записи (опционально).
• Приватный ключ хранится в защищённом каталоге и имеет корректные права доступа (только владелец может читать файл).

Ролевая чеклист‑таблица

Администратор:

• Подтвердить у хостера поддержку SFTP и порт.
• Сгенерировать ключи, авторизовать публичный ключ на сервере.
• Настроить права доступа и резервную копию приватных ключей.

Разработчик:

• Проверить, что FileZilla или другой клиент использует SFTP.
• Выполнить загрузку/скачивание тестовых файлов.
• Верифицировать целостность файлов после передачи.

Владелец сайта:

• Обновить инструкции для команды по доступу.
• Убедиться, что пароли/ключи обновлены и хранятся безопасно.

Тест-кейсы и приёмочные проверки

1. Попытаться подключиться по порту 22 и порту, указанному хостером. Ожидаемо — подключение только к допустимому порту.
2. Попытаться подключиться с неправильным паролем — доступ должен быть запрещён.
3. Подключиться по ключу: при добавленном приватном ключе доступ должен быть разрешён без ввода пароля.
4. Провести передачу тестового файла и сравнить хеш (например, SHA256) на локальной машине и на сервере.

Частые ошибки и способы устранения

• Неправильный порт: уточните порт у хостера.
• Приватный ключ в неподдерживаемом формате: конвертируйте ключ в OpenSSH/PPK, как требует клиент.
• Права доступа к приватному ключу слишком открытые: установите права 600 (только владелец).
• Публичный ключ не авторизован: в cPanel убедитесь, что ключ отмечен как Authorize.

Когда SFTP не подходит и альтернативы

Когда SFTP не подходит:

• Хостер не поддерживает SSH/SFTP.
• Политики компании требуют других протоколов.

Альтернативы:

• FTPS (FTP over TLS) — шифрует FTP-сессию через TLS/SSL.
• WebDAV через HTTPS — удобен для монтирования как сетевой диск.
• SCP — простой перенос файлов по SSH (без синхронизации).

Выбор зависит от совместимости с хостером и ваших рабочих процессов.

Набор практик по безопасности (короткий чеклист)

• Всегда используйте SFTP или FTPS, а не FTP.
• Предпочитайте аутентификацию по ключу с passphrase.
• Отключите вход по паролю для SSH, если практика работы позволяет.
• Ограничьте доступ по IP, если это возможно.
• Делайте бэкап приватных ключей и защищайте их паролем.

Важно: если вы потеряете приватный ключ и не имеете резервного доступа, восстановление доступа потребует вмешательства хостера.

Модель угроз и простая эвристика

Угроза: перехват сетевого трафика, подбор пароля, компрометация учетной записи.
Эвристика: если коммутация критична для безопасности сайта, используйте шифрование + ключи + ограничение по IP.

Быстрая инструкция по миграции к новому хостеру (high‑level)

1. Убедитесь, что новый хост поддерживает SFTP/SSH.
2. Настройте тестовый сайт и проверьте передачу файлов по SFTP.
3. Перенесите содержимое, проверьте работу и откатный план.
4. Обновите DNS и уведомите команду о смене метода доступа.

Короткое резюме

SFTP — простой и эффективный способ защитить передачу файлов на ваш WordPress-сайт. FileZilla позволяет быстро настроить соединение по паролю или по ключам. Ключевая аутентификация повышает безопасность и снижает риск брутфорс‑атак. Проверяйте поддержку у хостера и храните приватные ключи в безопасности.

Изображения в статье используются для иллюстрации интерфейса FileZilla и cPanel.

Image credit: beefranck