Как установить ограничения на регистрацию пользователей в WordPress

Диагностика проблемы: зачем ограничивать регистрацию пользователей

Многие сайты на WordPress сталкиваются с нежелательной регистрацией — спам-аккаунты, массовая регистрация ботами или пользователями без подтверждения email. Если регистрация открыта для всех, это может привести к нагрузке на сервер, снижению безопасности и ухудшению качества базы пользователей.

Чтобы понять, есть ли проблема, проверьте в Пользователи > Все пользователи наличие множества подозрительных аккаунтов, а также логи сервера на предмет частых POST запросов к wp-login.php?action=register.

Как ограничить регистрацию пользователей в WordPress

1. Запретить регистрацию без подтверждения Email

Стандартный WordPress не требует подтверждения email при регистрации, что облегчает спам. Для исправления добавим проверку email с отправкой письма для активации аккаунта.

Для реализации можно использовать следующий упрощённый код в файле functions.php вашей темы или в отдельном плагине:

function wptemy_custom_registration_check() {
    if ( isset($_POST['register']) ) {
        $email = $_POST['user_email'];
        if ( !is_email($email) ) {
            wp_die('Введите корректный Email.');
        }
        // Дополнительно: проверка домена, фильтрация спама
    }
}
add_action('register_post', 'wptemy_custom_registration_check', 10, 3);

// Отправка письма с активацией и блокировка активации до подтверждения требует расширенной логики и хранения временных ключей

Без плагинов реализация полноценного подтверждения email сложна, но уже проверка корректности email уменьшит количество спама.

2. Ограничение по домену Email

Если хотите разрешить регистрацию только с корпоративных или определённых доменов, добавьте фильтр:

function wptemy_restrict_registration_domains($errors, $sanitized_user_login, $user_email) {
    $allowed_domains = ['example.com', 'mysite.ru'];
    $email_domain = substr(strrchr($user_email, '@'), 1);
    if ( !in_array($email_domain, $allowed_domains) ) {
        $errors->add('domain_restricted', 'Регистрация разрешена только для корпоративных email.');
    }
    return $errors;
}
add_filter('registration_errors', 'wptemy_restrict_registration_domains', 10, 3);

3. Ограничение количества регистраций с одного IP

Для борьбы с массовой регистрацией с одного IP можно записывать IP пользователя при регистрации и блокировать повторную регистрацию в течение суток.

Пример:

function wptemy_limit_registrations_per_ip() {
    if ( isset($_POST['register']) ) {
        global $wpdb;
        $ip = $_SERVER['REMOTE_ADDR'];
        $meta_key = 'registration_ip';
        $count = $wpdb->get_var($wpdb->prepare(
            "SELECT COUNT(*) FROM {$wpdb->usermeta} WHERE meta_key = %s AND meta_value = %s AND umeta_id > (SELECT MAX(umeta_id) - 1000 FROM {$wpdb->usermeta})",
            $meta_key, $ip
        ));
        if ( $count >= 3 ) {
            wp_die('С вашего IP уже зарегистрировано максимальное количество аккаунтов.');
        }
    }
}
add_action('register_post', 'wptemy_limit_registrations_per_ip');

function wptemy_save_registration_ip($user_id) {
    if ( isset($_SERVER['REMOTE_ADDR']) ) {
        update_user_meta($user_id, 'registration_ip', $_SERVER['REMOTE_ADDR']);
    }
}
add_action('user_register', 'wptemy_save_registration_ip');

Проверка результата после внедрения

• Попробуйте зарегистрировать пользователя с некорректным email — регистрация должна быть запрещена.
• Попытайтесь зарегистрироваться с email не из списка разрешённых доменов — должна появиться ошибка.
• С одного IP попробуйте создать больше трёх аккаунтов — получите запрет на регистрацию.
• Проверьте базу пользователей на отсутствие подозрительных аккаунтов после запуска ограничений.

Частые ошибки и как их исправить

• Ошибка: После добавления фильтра регистрация перестала работать вообще.
  Причина: Некорректная обработка ошибок в хук registration_errors. Нужно убедиться, что вы правильно возвращаете объект WP_Error.
• Ошибка: Ограничение по IP не срабатывает.
  Причина: Кэширование страниц регистрации или нестандартное поведение сервера. Проверьте, что IP адрес действительно доступен через $_SERVER['REMOTE_ADDR'] и что нет прокси, меняющих IP.
• Ошибка: Пользователи жалуются на сложности с регистрацией.
  Причина: Слишком жёсткие ограничения, например, слишком узкий список доменов или высокая частота ограничений по IP. Пересмотрите правила или добавьте понятные сообщения об ошибках.

Практические советы по безопасности и производительности

• Используйте HTTPS на страницах регистрации для защиты данных пользователей.
• Регулярно очищайте базу от неактивных пользователей с неподтверждёнными email (например, старше недели).
• Для подтверждения email используйте проверенные плагины, если нужна полная функциональность (например, WP Email Verification).
• Отключайте регистрацию, если она не нужна, в Настройки > Общие.
• Проверяйте логи сервера и активность пользователей на предмет подозрительной регистрации.

Сравнение вариантов реализации ограничений регистрации