У WordPress швидкість і безпека залежать не лише від коду: важливо, наскільки рано запускаються захисні механізми. Must-Use (MU) плагіни вирішують задачу для проєктів, де критично блокувати шкідливий трафік ще до завантаження ядра, тем і звичайних плагінів.
Що таке MU-плагіни?
MU (Must-Use) це особливий тип плагінів WordPress:
- будь-який PHP-файл у теці
wp-content/mu-plugins/підключається за кожного звернення до сайту; - завантажується раніше за звичайні плагіни, теми й основну частину ядра;
- його не можна вимкнути через адмінку, лише видалити файл із сервера;
- використовується для критичних задач: захисту, тонкого налаштування середовища, глобальних функцій.
Як BotBlocker використовує MU-режим
Більшість плагінів безпеки працюють після ініціалізації движка, коли частину ресурсів уже витрачено. BotBlocker у режимі MU запускається якнайраніше.
У MU-режимі BotBlocker:
- аналізує кожен запит до завантаження плагінів, тем і ядра;
- блокує ботів, сканерів, brute force і підозрілий трафік за частки мілісекунди;
- економить процесор, пам’ять і звернення до бази ще до старту основних процесів WordPress.
Чим MU відрізняється від early-init
Early-init це код у wp-config.php, який виконується ще раніше. MU-плагін підключається одразу після нього, але до звичайних плагінів і теми.
Обидва варіанти дають захист до завантаження CMS. MU зручніший тим, що не потребує правки конфігураційного файлу, а early-init корисний, коли потрібен найраніший можливий запуск.
Як увімкнути MU-режим
- Створіть теку
wp-content/mu-plugins/, якщо її немає. - Скопіюйте туди основний файл BotBlocker.
- Відкрийте сайт і перевірте журнал: записи мають з’являтися.
Додаткові налаштування не потрібні: BotBlocker запускається першим за кожного запиту.
Як MU-режим прискорює й підсилює захист
1. Блокування до завантаження WordPress
За звернення до сайту BotBlocker працює до ініціалізації середовища, підключення бази, завантаження тем і плагінів.
- Шкідливий трафік відсікається миттєво: жодного рядка PHP, з’єднання з базою немає.
2. Максимальна економія ресурсів
- Сервер витрачає потужності лише на реальних відвідувачів.
- Бот-трафік, DDoS і brute force фільтруються до помітного навантаження.
3. Підвищена безпека
- Уразливості тем і плагінів неексплуатовані: шкідливі запити не доходять до цих компонентів.
- Захист не можна вимкнути випадково чи зловмисною дією з адмінки.
4. Завжди активний захист
- Навіть якщо всі звичайні плагіни вимкнено, MU-плагіни працюють.
- Випадкових «вікон» без захисту немає.
Що врахувати під час оновлень
MU-плагіни не оновлюються з адмінки автоматично. Файл у mu-plugins/ замінюють вручну, інакше версія відстає від поточної.
Поставте нагадування або оновлюйте файл разом зі звичайними плагінами. Застаріла копія гірша за відсутню: вона виглядає робочою, але не знає нових сигнатур.
Чому MU кращий за звичайний плагін?
- Швидкість: захист до завантаження ядра, тем і плагінів.
- Надійність: не можна вимкнути випадково чи зловмисно.
- Економія ресурсів: перевірки проходять лише для реальних відвідувачів.
Практика
- Сайти з MU-режимом BotBlocker витримують у два або три рази більше реальних відвідувачів на тому самому сервері.
- Завантаження сторінок під час атак лишається швидким: боти не доходять до ядра.
- Навантаження, помилки й алерти знижуються, стабільність зростає, а безпека не залежить від того, що відбувається в адмінці.
Часті запитання
Чи обов’язково вмикати MU-режим для BotBlocker?
Ні, але це рекомендується для бізнес-сайтів і всіх, хто дбає про захист.
Чи складно налаштовувати MU-режим?
Ні, перенесіть файл у потрібну теку, решту зробить WordPress.
Чи працює MU з multisite і звичайними сайтами?
Так, MU-плагіни працюють у всіх версіях WordPress. На multisite файл підключається до всіх сайтів мережі.
Чи можна повернутися до звичайного плагіна?
Так, видаліть файл із mu-plugins/ і активуйте плагін звичайним способом.
Що буде, якщо файл застарів?
Захист лишиться, але без нових сигнатур. Оновлюйте файл вручну й перевіряйте версію після кожного оновлення плагіна. Це займає хвилину.