Как отключить доступ к wp-login.php для определённых ролей пользователей в WordPress

Проблема: почему нужно ограничивать доступ к wp-login.php по ролям

В стандартной установке WordPress любой пользователь с корректным логином и паролем может попытаться войти через wp-login.php. Иногда возникает задача полностью запретить вход для определённых ролей — например, для подписчиков или клиентов WooCommerce, чтобы они не могли попасть в админку или вообще авторизоваться через стандартную форму. Это повышает безопасность и упрощает управление доступом.

Диагностика: как понять, что доступ по ролям нужно ограничить

Если вы замечаете, что пользователи с определёнными ролями получают доступ к админке или авторизуются, хотя по бизнес-логике они не должны, стоит проверить:

• Какие роли у пользователей, которым не нужно разрешать вход.
• Можно ли их заблокировать именно на уровне wp-login.php, а не через редиректы после входа.
• Существуют ли плагины, которые могут конфликтовать с ограничениями.

Пошаговое решение: как запретить доступ к wp-login.php для выбранных ролей

Самый простой и надёжный способ — добавить фильтр в functions.php или в кастомный плагин. Пример кода ниже запрещает вход для пользователей с ролью «subscriber» и «customer» (типичная роль для WooCommerce):

add_action('login_init', function() {
    // Получаем данные пользователя из запроса
    $username = isset($_POST['log']) ? $_POST['log'] : '';
    if (!$username) {
        return; // Нет имени пользователя, пропускаем
    }

    $user = get_user_by('login', $username);
    if (!$user) {
        return; // Пользователь не найден
    }

    // Список запрещённых ролей
    $blocked_roles = ['subscriber', 'customer'];

    foreach ($blocked_roles as $role) {
        if (in_array($role, $user->roles)) {
            wp_die('Доступ запрещён для вашей роли пользователя.', 'Ошибка доступа', ['response' => 403]);
            exit;
        }
    }
});

Этот код проверяет роль пользователя при попытке входа и блокирует попытку, если роль есть в списке $blocked_roles. Сообщение можно заменить на любое другое, либо сделать редирект.

Альтернативный способ — редирект вместо ошибки

add_action('login_init', function() {
    $username = isset($_POST['log']) ? $_POST['log'] : '';
    if (!$username) return;

    $user = get_user_by('login', $username);
    if (!$user) return;

    $blocked_roles = ['subscriber', 'customer'];

    foreach ($blocked_roles as $role) {
        if (in_array($role, $user->roles)) {
            wp_redirect(home_url());
            exit;
        }
    }
});

Проверка результата: как убедиться, что ограничение работает

• Создайте тестового пользователя с ролью из списка $blocked_roles.
• Попробуйте войти через wp-login.php под этим пользователем.
• Должно отображаться сообщение об ошибке или происходить редирект на главную страницу.
• Попробуйте войти под пользователем с ролью, не запрещённой кодом — вход должен пройти успешно.

Частые ошибки и как их исправить

• Ошибка: заблокированы администраторы или редакторы. Проверьте список ролей в $blocked_roles. Убедитесь, что там отсутствуют нужные роли.
• Ошибка: код не срабатывает, пользователи всё равно могут войти. Проверьте, что код добавлен в актуальный functions.php активной темы или в активный плагин. Убедитесь, что нет других плагинов, которые перехватывают вход и отменяют ваши проверки.
• Ошибка: пользователи получают белый экран или 500 ошибку. Проверьте синтаксис PHP и логи сервера. Возможно, забыли exit; после wp_die() или wp_redirect().

Практические советы по безопасности и производительности

• Проверяйте роли пользователя на сервере, а не на клиенте — это надёжнее.
• Не используйте плагины с избыточным функционалом, если требуется только ограничение входа по ролям.
• Если нужно более гибкое управление доступом, рассмотрите комбинирование с плагинами типа Clearfy Pro для чистки и оптимизации сайта.
• Добавьте логирование заблокированных попыток входа для анализа безопасности.

Сравнение вариантов реализации ограничения доступа к wp-login.php