Плагин сканирует или меняет сайт?

Нет. Он читает список плагинов и тем, который WordPress уже хранит, считает контрольные суммы файлов на диске и отправляет результат. Он не добавляет вывод на страницы, REST-маршруты и обработчики AJAX; пишет только свою строку настроек и своё ежедневное задание, при удалении стираются обе.

Не замедлит ли он сервер?

Отправка идёт раз в день через планировщик WordPress. Проверка целостности занимает не больше 20 секунд за отправку и каждый раз смотрит до восьми плагинов; все плагины проверяются за несколько дней.

Что если токен утечёт?

Токен умеет только отправлять данные для своего домена и не может читать отчёт. Отзовите его или создайте новый на странице домена, и старый сразу перестанет работать.

Отличающийся файл значит, что сайт взломан?

Не всегда. Файл могли изменить вручную или пропатчить на хостинге. Отчёт даёт путь к файлу и предлагает сравнить его с официальным пакетом; если изменение необъяснимо, замените файл официальной версией и смените пароли администраторов.

Видит ли он платные плагины?

Видит их версии и сопоставляет с записями об уязвимостях. У платных плагинов нет официальных контрольных сумм на WordPress.org, поэтому проверка целостности их не охватывает.

Можно ли использовать на тестовом сайте?

У каждого сайта свой домен и свой токен. Токен, отправленный с другого домена, отклоняется, поэтому копия сайта не перезапишет отчёт рабочего сайта.

Плагин безопасности WordPress только для чтенияУвидеть изнутри сайта то, что не видно снаружи

Внешнее сканирование видит только то, что показывает сайт: плагины без следов на страницах и скрытые версии остаются в отчёте «возможными». Noroxi Connector (только чтение) раз в день сообщает точную версию каждого компонента, и отчёт сопоставляет точные версии, а не догадки.

Подключить с бесплатным аккаунтом Скачать плагин (.zip)

Бесплатно на любом тарифе · GPLv2+ · ничего не записывает на сайт · v1.1.0

Что это даёт

Точные версии вместо возможных записей

Приходит точная версия каждого плагина, темы и ядра. Записи, которые снаружи остаются «возможными», становятся подтверждёнными или чистыми; видны и неактивные плагины, и статус автообновления.

Целостность файлов

Плагин сверяет файлы ядра WordPress и каждый день несколько плагинов с официальными контрольными суммами WordPress.org. Отличающиеся или лишние файлы видны в отчёте по пути; содержимое файлов не отправляется.

Уведомление в течение часа

Когда новая запись об уязвимости попадает в Noroxi, находка и уведомление приходят в том же ежечасном цикле, если на сайте эта версия. Повторно сканировать не нужно.

Настройки, которые не видны снаружи

Версия PHP (закончилась ли поддержка безопасности), режим автообновления ядра, показ ошибок посетителям и редактирование файлов из админки; всё простым языком в отчёте.

Что именно отправляется

Страница настроек плагина показывает отправляемые данные как есть. Формат такой (домен в примере вымышленный):

Имя сайта (чтобы проверить, что токен принадлежит этому сайту), версии WordPress и PHP
Для каждого плагина и темы: слаг, версия, активен ли, включено ли автообновление
Четыре настройки: режим автообновления ядра, вывод ошибок (WP_DEBUG), редактирование файлов из админки (DISALLOW_FILE_EDIT)
Целостность: относительные ПУТИ файлов, отличающихся от официальных контрольных сумм, и число отсутствующих файлов ядра

Не отправляется

Пользователи, адреса почты, записи и другой контент, содержимое файлов, другие настройки, IP-адреса, названия и авторы плагинов.

{
  "v": 2,
  "agent": "1.1.0",
  "site": "kuzey-yazilim.example",
  "core": "6.8.1",
  "plugins": [
    {
      "slug": "contact-form-7",
      "version": "6.0.6",
      "active": true,
      "auto_update": true
    },
    {
      "slug": "woocommerce",
      "version": "9.8.5",
      "active": true,
      "auto_update": false
    }
  ],
  "themes": [
    {
      "slug": "twentytwentyfive",
      "version": "1.2",
      "active": true,
      "auto_update": true
    }
  ],
  "env": {
    "php": "8.3.14",
    "core_auto": "minor",
    "debug_display": false,
    "file_edit": true
  },
  "integrity": {
    "core": {
      "modified": [],
      "missing": 0,
      "unknown": []
    },
    "plugins": [
      {
        "slug": "contact-form-7",
        "version": "6.0.6",
        "modified": []
      }
    ],
    "checked": 1
  }
}

Подключение в три шага

01
Создайте токен
В аккаунте Noroxi, в карточке «Коннектор WordPress» на странице домена. Токен действует только для этого домена и умеет только отправлять; прочитать отчёт он не может.
02
Установите плагин
«Плагины → Добавить новый → Загрузить плагин», загрузите zip-файл и активируйте.
03
Вставьте токен
В «Инструменты → Noroxi Connector» нажмите «Сохранить и отправить». Токен можно задать и в wp-config.php константой NOROXI_CONNECTOR_TOKEN; тогда он не хранится в базе данных.

Ведёте десятки сайтов?

Страница «Плагины» в аккаунте показывает сайты WordPress без коннектора и за один раз создаёт токены для выбранных. Вместе с токенами вы скачиваете готовый сценарий WP-CLI и CSV; установить можно и через массовую загрузку плагинов в MainWP, ManageWP и похожих инструментах. Там же в одной таблице видно, какой плагин у какого клиента и в какой версии.

Открыть страницу «Плагины»

Частые вопросы

Плагин сканирует или меняет сайт?: Нет. Он читает список плагинов и тем, который WordPress уже хранит, считает контрольные суммы файлов на диске и отправляет результат. Он не добавляет вывод на страницы, REST-маршруты и обработчики AJAX; пишет только свою строку настроек и своё ежедневное задание, при удалении стираются обе.
Не замедлит ли он сервер?: Отправка идёт раз в день через планировщик WordPress. Проверка целостности занимает не больше 20 секунд за отправку и каждый раз смотрит до восьми плагинов; все плагины проверяются за несколько дней.
Что если токен утечёт?: Токен умеет только отправлять данные для своего домена и не может читать отчёт. Отзовите его или создайте новый на странице домена, и старый сразу перестанет работать.
Отличающийся файл значит, что сайт взломан?: Не всегда. Файл могли изменить вручную или пропатчить на хостинге. Отчёт даёт путь к файлу и предлагает сравнить его с официальным пакетом; если изменение необъяснимо, замените файл официальной версией и смените пароли администраторов.
Видит ли он платные плагины?: Видит их версии и сопоставляет с записями об уязвимостях. У платных плагинов нет официальных контрольных сумм на WordPress.org, поэтому проверка целостности их не охватывает.
Можно ли использовать на тестовом сайте?: У каждого сайта свой домен и свой токен. Токен, отправленный с другого домена, отклоняется, поэтому копия сайта не перезапишет отчёт рабочего сайта.

Noroxi Connector — не межсетевой экран и не антивирус: он не блокирует атаки и не смотрит в содержимое файлов. Он сообщает версии и отличия от официального выпуска; решение принимают отчёт и ваша проверка.