Аудит действий администраторов WordPress: полное руководство с примерами

Введение

Безопасность WordPress напрямую зависит от контроля над действиями администраторов. Каждый вход в панель, изменение темы или установка плагина оставляет след, который может спасти ваш сайт от внутренних угроз. В этой статье мы разберём, как настроить аудит действий администраторов: от готовых решений до собственного логирования в базе данных и отправки уведомлений.

1. Выбор плагина для аудита

Если вам нужен быстрый старт, лучше всего установить один из проверенных плагинов. Ниже – топ‑5, каждый из которых покрывает разные сценарии.

• WP Activity Log – детальный журнал всех действий, поддержка мультисайтов.
• Simple History – лёгкий, показывает события в админ‑баре.
• Activity Log от WP White Security – фокус на безопасности и compliance.
• Audit Log – интеграция с внешними SIEM‑системами.
• Stream – хранит логи в отдельной таблице, удобно экспортировать.

Все перечисленные плагины совместимы с кешированием BunnyCDN и работают на серверах с Nginx, что важно для высоконагруженных проектов.

2. Кастомное логирование в базе данных

Готовые плагины иногда сохраняют логи в файлы, что усложняет их анализ. Ниже пример, как записывать важные события в отдельную таблицу wp_admin_audit при помощи хуков.

prefix. 'admin_audit'; $charset_collate = $wpdb->get_charset_collate(); $sql = "CREATE TABLE IF NOT EXISTS $table ( id BIGINT(20) UNSIGNED NOT NULL AUTO_INCREMENT, user_id BIGINT(20) UNSIGNED NOT NULL, action VARCHAR(255) NOT NULL, object_type VARCHAR(50) NOT NULL, object_name VARCHAR(255) NULL, ip_address VARCHAR(45) NOT NULL, created_at DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id) ) $charset_collate;"; require_once ABSPATH. 'wp-admin/includes/upgrade.php'; dbDelta($sql); } register_activation_hook(__FILE__, 'create_audit_table'); // 2. Функция записи лога function log_admin_action($action, $object_type = '', $object_name = '') { if (!current_user_can('manage_options')) return; // только администраторы global $wpdb; $table = $wpdb->prefix. 'admin_audit'; $wpdb->insert($table, [ 'user_id' => get_current_user_id(), 'action' => $action, 'object_type' => $object_type, 'object_name' => $object_name, 'ip_address' => $_SERVER['REMOTE_ADDR'], ]); } // 3. Хуки для типовых действий add_action('admin_init', function() { if (isset($_GET['activated']) && $_GET['activated'] == 'true') { log_admin_action('Активировал плагин', 'plugin', $_GET['plugin']?? ''); } }); add_action('after_switch_theme', function() { log_admin_action('Сменил тему', 'theme', wp_get_theme()->get('Name')); }); add_action('deleted_post', function($postid) { $post = get_post($postid); if ($post && $post->post_type === 'product') { log_admin_action('Удалил товар', 'product', $post->post_title); } });?> 

Таблица wp_admin_audit легко интегрируется с инструментами аналитики, например, с Elasticsearch для быстрого поиска по логам.

3. Отправка уведомлений в реальном времени

Для реактивного реагирования на подозрительные действия настройте e‑mail или Slack‑уведомления. Ниже пример отправки письма администратору при изменении ролей.

user_login; $message = sprintf( "Пользователь %s получил роль %snIP: %snВремя: %s", $user->user_login, $new_role, $_SERVER['REMOTE_ADDR'], current_time('mysql') ); wp_mail($to, $subject, $message); } add_action('set_user_role', 'notify_role_change', 10, 2);?> 

Для интеграции со Slack замените wp_mail на запрос к Webhook‑у, используя wp_remote_post. Такой подход часто рекомендуется в политиках PCI DSS и GDPR.

4. Соответствие требованиям (Compliance)

Комплаенс‑требования (GDPR, CCPA, PCI) требуют сохранения журналов минимум 90 дней и возможности их экспорта. Реализуйте автоматическое архивирование:

1. Создайте CRON‑задачу, которая раз в сутки копирует записи старше 30 дней в отдельную таблицу wp_admin_audit_archive.
2. Настройте wp_schedule_event в functions.php или в мини‑плагине.
3. Обеспечьте экспорт в CSV через кнопку в админ‑баре для быстрой передачи аудиторам.

prefix. 'admin_audit'; $dst = $wpdb->prefix. 'admin_audit_archive'; $sql = $wpdb->prepare( "INSERT INTO $dst SELECT * FROM $src WHERE created_at query($sql); $wpdb->query($wpdb->prepare("DELETE FROM $src WHERE created_at  

Таким образом, вы сохраняете данные в течение требуемого периода и облегчаете их последующий экспорт.

5. Практический кейс: аудит в магазине WooCommerce

Для интернет‑магазинов критически важно фиксировать изменения товаров, цен и заказов. Ниже список действий, которые стоит добавить в аудит:

• Создание/удаление продукта.
• Изменение цены или наличия.
• Обновление статуса заказа.
• Изменение скидок и купонов.

Для каждого из пунктов используйте соответствующие хуки (save_post_product, woocommerce_update_order и т.д.) и вызывайте log_admin_action() из секции 2. Пример для изменения цены:

post_title}: $old_price → $new_price"); } }, 10, 3);?> 

Такой аудит поможет быстро отследить потенциальные ошибки ценообразования и подготовить отчёт для бухгалтерии.

Заключение

Настройка аудита действий администраторов WordPress – это сочетание готовых решений и кастомного кода. Выбирайте надёжный плагин, добавляйте собственные записи в БД, отправляйте мгновенные уведомления и обеспечьте соответствие требованиям compliance. При правильном подходе вы получаете полную картину всех административных операций и повышаете общий уровень безопасности сайта.