Как запретить доступ к wp-login.php для определённых ролей пользователей в WordPress

Диагностика проблемы: зачем ограничивать доступ к wp-login.php по ролям

В стандартном WordPress любой пользователь с корректными данными может пытаться войти через wp-login.php. Однако в некоторых случаях нужно ограничить возможность входа для определённых ролей, например, чтобы сотрудники с ролью «Подписчик» или «Автор» не имели доступа к административной панели через стандартную форму входа. Это повышает безопасность и снижает риск случайных или злонамеренных действий.

Как определить роли пользователей, которым нужно запретить доступ

Для начала определите, какие роли пользователей не должны входить через wp-login.php. Обычно это роли с ограниченными правами, например:

• Подписчик (subscriber)
• Автор (author)
• Пользователь с кастомной ролью, созданной вами

Для проверки ролей пользователя можно использовать функцию current_user_can() или получить объект пользователя с помощью wp_get_current_user().

Пошаговое решение: запрет доступа к wp-login.php по ролям через functions.php

Добавьте следующий код в файл functions.php вашей дочерней темы или в отдельный плагин:

add_action('login_init', function() {
    // Массив ролей, которым запрещён доступ
    $blocked_roles = ['subscriber', 'author'];

    // Проверяем, кто пытается войти
    if (isset($_POST['log'])) {
        $user = get_user_by('login', $_POST['log']);
        if ($user) {
            foreach ($blocked_roles as $role) {
                if (in_array($role, (array) $user->roles)) {
                    wp_die('Доступ к форме входа запрещён для вашей роли.', 'Доступ запрещён', ['response' => 403]);
                }
            }
        }
    }
});

Объяснение кода:

• Хук login_init срабатывает при инициализации формы входа.
• Из поля логина $_POST['log'] получаем имя пользователя.
• Получаем объект пользователя и проверяем его роли.
• Если роль пользователя есть в списке запрещённых, отображаем страницу с ошибкой и останавливаем процесс входа.

Альтернативный способ: запретить вход сразу после аутентификации

Для более надёжного ограничения можно использовать хук authenticate:

add_filter('authenticate', function($user, $username, $password) {
    if (is_wp_error($user) || !$user) {
        return $user; // Ошибка аутентификации - не трогаем
    }

    $blocked_roles = ['subscriber', 'author'];

    foreach ($blocked_roles as $role) {
        if (in_array($role, (array) $user->roles)) {
            return new WP_Error('blocked_role', 'Доступ запрещён для вашей роли');
        }
    }

    return $user;
}, 30, 3);

Этот метод проверяет роль уже после проверки логина и пароля и возвращает ошибку, если роль запрещена.

Проверка результата после внедрения

1. Попробуйте войти с аккаунтом, роль которого запрещена. Должна появиться ошибка и вход не должен пройти.
2. Попробуйте войти с ролью, которая не запрещена (например, администратор). Вход должен пройти как обычно.
3. Проверьте, что при попытке входа с запрещённой ролью код HTTP-ответа 403 (в случае wp_die) или отображается корректное сообщение об ошибке (в случае authenticate).

Частые ошибки и как их исправить

• Ошибка: запрещён доступ даже администраторам
  Проверьте, что вы не добавили роль администратора в массив $blocked_roles. Также убедитесь, что проверка ролей реализована корректно, а не через current_user_can до авторизации.
• Ошибка: доступ запрещён до ввода логина
  При использовании login_init проверяйте, что $_POST['log'] существует, иначе блокировка сработает для всех.
• Ошибка: пользователь с запрещённой ролью всё равно входит
  Проверьте, что код подключён и активен, без ошибок в логах. Используйте хук authenticate для более надёжной проверки.

Практические советы по безопасности и производительности

• Не храните список заблокированных ролей в глобальной переменной — определяйте в одном месте и при необходимости выносите в настройки.
• Если у вас много пользователей, проверка по логину при login_init может слегка замедлить форму входа. Хук authenticate более оптимален.
• Предупредите пользователей с запрещёнными ролями, почему они не могут войти, чтобы избежать путаницы.
• Для усиления безопасности можно комбинировать запрет по ролям с ограничением по IP или геолокации (например, через плагин Clearfy Pro из WPShop).

Сравнение способов реализации запрета доступа по ролям