Как запретить автоматический вход в WordPress через cookie

Что такое автоматический вход через cookie и почему его стоит отключить

В WordPress по умолчанию реализован механизм автоматического входа пользователя, если ранее он отметил галочку «Запомнить меня» на форме авторизации. Это удобно для пользователей, но создает определенные риски безопасности, особенно если компьютер общий или незащищенный.

Автоматический вход происходит за счет сохранения в браузере cookie сессии, которые WordPress проверяет при загрузке сайта. Если эти cookie действительны, пользователь автоматически авторизуется, минуя форму входа.

Однако в некоторых случаях администраторы хотят отключить этот механизм, чтобы повысить безопасность, особенно на сайтах с конфиденциальной информацией или ограниченным доступом.

В этом материале мы рассмотрим, как запретить автоматический вход через cookie в WordPress, используя код и плагины.

Отключение автоматического входа через код в functions.php

Самый прямой способ запретить автоматический вход — отключить возможность установки постоянных cookie. Для этого можно использовать хук wp_login и удалить cookie, отвечающие за запоминание.

Добавьте следующий код в файл functions.php вашей темы или в свой плагин:

function wplogin_disable_remember_me_cookie() {
    if ( isset( $_COOKIE[LOGGED_IN_COOKIE] ) ) {
        setcookie( LOGGED_IN_COOKIE, '', time() - YEAR_IN_SECONDS, COOKIEPATH, COOKIE_DOMAIN );
    }
    if ( isset( $_COOKIE[AUTH_COOKIE] ) ) {
        setcookie( AUTH_COOKIE, '', time() - YEAR_IN_SECONDS, COOKIEPATH, COOKIE_DOMAIN );
    }
}
add_action('init', 'wplogin_disable_remember_me_cookie');

Этот код удаляет ключевые cookie авторизации при инициализации WordPress, что фактически отключает сохранение сессии между посещениями.

Также стоит запретить вывод чекбокса «Запомнить меня» в форме входа, чтобы пользователи не пытались его использовать. Для этого добавьте:

function wplogin_hide_remember_me_checkbox() {
    return false;
}
add_filter('login_remember', 'wplogin_hide_remember_me_checkbox');

Таким образом, пользователь не увидит опцию сохранения сессии, и автоматический вход будет невозможен.

Использование фильтра для изменения времени жизни cookie

Другой способ — снизить время жизни cookie авторизации до минимального значения, например, до сессии браузера (когда браузер закрывается, сессия теряется). Для этого используйте фильтр auth_cookie_expiration:

function wplogin_set_cookie_session_only( $expiration, $user_id, $remember ) {
    // Если стоит запомнить, игнорируем и ставим 0 — сессия
    return 0;
}
add_filter( 'auth_cookie_expiration', 'wplogin_set_cookie_session_only', 99, 3 );

Этот код заставит WordPress ставить cookie только на время сессии браузера, что эффективно отключает автоматический вход после закрытия вкладки или браузера.

Практические примеры плагинов для контроля сессий и автоматического входа

Если вы не хотите писать код, можно использовать готовые плагины для управления сессиями и автоматическим входом:

• Clearfy Pro — предлагает опции по управлению сессиями, в том числе отключение автологина и контроля длительности сессий. Подробнее на wpshop.ru/clearfy.
• WPRemark — плагин для безопасности, где есть возможность ограничивать время сессий и автоматически разлогинивать пользователей.
• Limit Login Attempts Reloaded — хотя в основном для ограничения попыток входа, некоторые настройки помогают контролировать сессии.

Рекомендуется внимательно изучить документацию этих плагинов, чтобы подобрать оптимальные настройки под ваши задачи.

Как проверить, что автоматический вход отключен

После внесения изменений важно проверить, что автоматический вход действительно не работает. Для этого:

1. Авторизуйтесь на сайте с любым пользователем, не ставьте галочку «Запомнить меня» (если она есть).
2. Закройте браузер или вкладку полностью.
3. Откройте сайт заново и проверьте, не выполнен ли вход автоматически.

Если вход не выполнен, значит запрет автоматического входа сработал.

Также можно проверить наличие cookie в браузере через инструменты разработчика (обычно в разделе Application > Cookies) и убедиться, что cookie авторизации либо отсутствуют, либо имеют время жизни только на сессию.

Особенности и рекомендации при отключении автоматического входа

Отключение автологина повышает безопасность, но ухудшает удобство — пользователям придется вводить логин и пароль при каждом новом посещении. Поэтому стоит сообщить об этом пользователям вашего сайта, если это публичный ресурс.

Если у вас много пользователей с разным уровнем доступа, подумайте о внедрении многофакторной аутентификации для баланса удобства и безопасности.

Также стоит учитывать, что некоторые плагины и темы могут полагаться на cookie для работы, поэтому после внесения изменений протестируйте функционал сайта.

Итоговые рекомендации

• Используйте код из примеров для быстрого отключения автологина.
• Скрывайте галочку «Запомнить меня» для пользователей.
• Проверяйте совместимость с плагинами безопасности, такими как Clearfy Pro.
• Сообщайте пользователям о новых правилах входа.