Если на сайте пошли массовые регистрации ботов или вам просто больше не нужны свободные аккаунты, в WordPress это можно ограничить без сложной доработки. Обычно задача сводится к трём вещам: закрыть открытую регистрацию, оставить доступ только нужным людям и добавить защиту от автоматических заявок, если регистрация всё-таки нужна.
Ниже — рабочие способы, которые реально применяют на обычных сайтах WordPress. Начинать лучше с самого жёсткого и простого варианта, а затем добавлять только те меры, которые подходят вашему сценарию.
Сначала определите, что именно нужно ограничить
В WordPress под «ограничить регистрацию» могут иметь в виду разные вещи:
- полностью отключить регистрацию новых пользователей;
- разрешить регистрацию только в определённый период;
- оставить регистрацию, но проверять каждую заявку вручную;
- разрешить регистрацию только по приглашению или по специальной ссылке;
- снизить поток ботов, если регистрация нужна открыто.
От этого зависит решение. Если вам не нужны новые аккаунты вообще, не стоит ставить капчу и надеяться, что этого хватит. Проще и надёжнее закрыть регистрацию на уровне настроек WordPress. Если же пользователи должны регистрироваться, но не все подряд, тогда нужны дополнительные ограничения.
Отключите открытую регистрацию в настройках WordPress
Самый прямой способ — убрать возможность создавать аккаунты всем посетителям. Для этого откройте админку WordPress и перейдите в раздел Настройки → Общие. Найдите пункт Членство и снимите галочку Любой может зарегистрироваться.
После этого форма регистрации по стандартному адресу WordPress перестанет быть доступной для новых пользователей. Это базовая мера, и она подходит почти для любого сайта, где регистрация не нужна постоянно.
Здесь же проверьте роль нового пользователя по умолчанию. Если регистрация всё же включена, не оставляйте роль выше необходимой. Для обычного сайта безопаснее всего, чтобы новым пользователям назначалась минимальная роль, обычно Подписчик. Если оставить более широкую роль без необходимости, вы сами создадите лишний риск.
Если регистрация нужна, включите ручное одобрение
На сайтах с закрытым доступом, клубами, учебными проектами и внутренними порталами часто нельзя просто открыть регистрацию всем подряд. В таком случае удобнее не запрещать её полностью, а перевести заявки в режим ожидания.
Стандартный WordPress сам по себе не умеет полноценное ручное одобрение новых пользователей через настройки. Для этого обычно используют плагин, который добавляет проверку регистрации администратором. Схема работы простая: пользователь заполняет форму, аккаунт не активируется сразу, а вы подтверждаете его вручную после проверки.
Это полезно, когда:
- нужно отсеивать ботов и случайные регистрации;
- доступ к сайту должен быть только у реальных людей;
- важно контролировать, кто получает аккаунт;
- сайт уже атакуют массовыми регистрациями.
При выборе плагина смотрите не на количество функций, а на то, как он вписывается в вашу схему входа. Если у вас уже есть отдельная форма регистрации от темы или другого плагина, убедитесь, что ручное одобрение работает именно с ней, а не только со стандартной формой WordPress.
Ограничьте регистрацию по приглашению или по закрытой форме
Если вам нужен не просто фильтр, а именно ограниченный доступ, лучше не использовать открытую регистрацию вообще. Вместо этого делают регистрацию по приглашению: пользователь получает ссылку, код приглашения или доступ к закрытой форме.
Такой подход особенно полезен, когда сайт рассчитан на ограниченный круг людей — клиентов, сотрудников, участников сообщества. В этом случае регистрация становится управляемой: вы сами решаете, кто и как получает доступ.
Практически это реализуют через плагин, который умеет:
- создавать одноразовые или ограниченные приглашения;
- скрывать форму регистрации от всех остальных;
- проверять код приглашения перед созданием аккаунта;
- ограничивать регистрацию по домену почты или по списку разрешённых адресов.
Если сайт корпоративный, ещё один рабочий вариант — вообще не давать пользователям регистрироваться самостоятельно, а создавать аккаунты вручную из админки WordPress.
Добавьте защиту от ботов, если регистрация должна оставаться открытой
Когда регистрация нужна публично, одной галочки в настройках уже недостаточно. Боты обычно атакуют стандартные страницы регистрации, и без дополнительной защиты они быстро создают мусорные аккаунты.
Здесь помогают несколько мер, и лучше использовать их вместе:
- CAPTCHA или reCAPTCHA — добавляет проверку, которую сложнее пройти автоматическим скриптам;
- honeypot-поле — скрытое поле, которое заполняют боты, а человек не видит;
- ограничение частоты отправки форм — снижает поток повторных попыток с одного IP;
- проверка email — не даёт активировать аккаунт без подтверждения почты.
Из этого набора чаще всего достаточно CAPTCHA и подтверждения email. Но если у вас уже идёт атака, лучше смотреть на защиту в комплексе, а не на один плагин. Иногда проблема не в самой форме, а в том, что регистрация доступна по стандартному адресу и ничем не ограничена.
Если используете CAPTCHA, проверьте, как она влияет на реальных пользователей. Слишком жёсткая защита может отсеивать не только ботов, но и людей с мобильных устройств или из регионов с нестабильным соединением.
Спрячьте или закройте стандартную страницу регистрации
Даже если вы оставили регистрацию открытой, не всегда стоит держать на виду стандартный адрес входа и регистрации. Это не панацея, но для массовых ботов лишний барьер полезен.
В WordPress стандартная регистрация обычно доступна по адресу /wp-login.php?action=register. Если регистрация отключена, эта страница не должна принимать новых пользователей. Если регистрация нужна, но вы используете собственную форму, имеет смысл перенаправлять пользователей на неё и не светить стандартный путь без необходимости.
Технически это делают через плагин безопасности, плагин для кастомной формы или небольшую настройку на уровне сайта. Но здесь важно не переусердствовать: если вы меняете адреса входа и регистрации, обязательно проверьте, как это влияет на восстановление пароля, ссылки из писем и доступ администраторов.
Проверьте, что ограничение действительно работает
После настройки не ограничивайтесь визуальной проверкой в админке. Нужно убедиться, что обычный пользователь не может создать аккаунт там, где вы этого не хотите.
Проверка зависит от выбранного сценария:
- если регистрацию отключили, откройте страницу регистрации в режиме инкогнито и убедитесь, что форма недоступна или не создаёт новый аккаунт;
- если включили ручное одобрение, создайте тестовую учётную запись и проверьте, что она не получает полный доступ сразу;
- если поставили CAPTCHA, отправьте форму несколько раз и посмотрите, блокируются ли автоматические попытки;
- если ограничили регистрацию по приглашению, попробуйте открыть форму без кода или по старой ссылке.
После теста проверьте почту администратора и список пользователей в WordPress. Если мусорные аккаунты уже были созданы до настройки, их придётся удалить вручную или массово через инструменты управления пользователями.
Что делать, если боты продолжают регистрироваться
Если после всех настроек новые аккаунты всё равно появляются, проблема обычно в одном из трёх мест: регистрация включена в другом плагине, форма создаётся не стандартным способом, либо сайт атакуют через отдельный endpoint, который вы не закрыли.
В такой ситуации проверьте:
- не использует ли тема или плагин собственную форму регистрации;
- не включена ли регистрация в плагине сообщества, форума или LMS;
- не создаются ли аккаунты через сторонний сервис, который синхронизируется с WordPress;
- не осталась ли открытой старая регистрационная страница в кеше или в меню сайта.
Если сайт под постоянной атакой, одного плагина может быть мало. Тогда имеет смысл дополнительно ограничить доступ на уровне хостинга, включить защиту от ботов в веб-приложении или обратиться к провайдеру за фильтрацией подозрительного трафика. Но начинать всё равно стоит с отключения ненужной регистрации в самом WordPress — это самый надёжный и быстрый шаг.
Для большинства сайтов рабочая схема выглядит так: сначала отключить открытую регистрацию, затем оставить только нужный способ доступа — ручное создание аккаунтов, приглашения или подтверждение заявки. Если регистрация нужна публично, добавьте CAPTCHA и проверку email. Так сайт останется управляемым, а поток лишних аккаунтов заметно сократится.