Сценарий типичный: файл загружен в медиабиблиотеку, но его URL можно открыть напрямую из браузера. Для публичных изображений это нормально, а вот для PDF, прайсов, договоров, внутренних документов и вложений из закрытых разделов — уже проблема. Часто владельцы сайта думают, что достаточно скрыть запись или убрать ссылку из контента. На практике файл остается доступен по прямому адресу в /wp-content/uploads/.
Если задача именно в том, чтобы убрать прямую выдачу файлов, нужно сначала понять, что вы хотите защитить: весь каталог uploads, отдельные типы файлов или только документы, прикрепленные к конкретным записям. От этого зависит решение. Универсальной кнопки в WordPress нет, и это нормально: у публичного сайта и у внутреннего архива разные требования.
Когда прямой доступ к файлам становится проблемой
Чаще всего это всплывает в трех случаях. Первый — на сайте есть закрытые материалы, но ссылка на PDF попала в лог, историю браузера или поисковую выдачу. Второй — файлы используются в форме заявки, и их нельзя отдавать всем подряд. Третий — после миграции или настройки CDN старые URL продолжают открываться без проверки прав.
Важно не путать прямой доступ к файлу и индексацию. Даже если вы закроете страницы вложений от индексации, сам файл по URL может продолжать открываться. И наоборот: можно запретить доступ к файлу, но оставить attachment-страницу доступной. Это разные задачи.
Что именно нужно проверить перед изменениями
- Какие типы файлов должны быть публичными, а какие — нет.
- Используются ли файлы в контенте, письмах, PDF-генерации или на CDN.
- Есть ли у сайта кэш на уровне сервера, Nginx, Cloudflare или другого прокси.
- Нужно ли ограничение только для гостей или для всех, кроме определенных ролей.
Диагностика: как понять, что файл открыт без ограничений
Самый простой тест — открыть URL файла в приватном окне браузера или через curl. Если файл отдается с кодом 200 OK, значит прямой доступ работает. Если вы ожидаете защиту, но видите содержимое файла, значит на уровне WordPress или сервера нет проверки прав.
curl -I https://example.com/wp-content/uploads/2026/01/internal-price-list.pdfСмотрите на статус ответа. Для закрытого файла обычно нужен 403 Forbidden или редирект на страницу авторизации. Если приходит 200, файл доступен всем. Если 301/302, проверьте, куда именно ведет редирект: иногда защита настроена частично и просто уводит пользователя на главную, не закрывая сам ресурс.
Еще один практический признак — файл можно скачать, даже если удалить его ссылку из записи, блока или меню. Это значит, что проблема не в контенте, а в публичной раздаче из uploads.
Какие есть рабочие подходы
Для WordPress обычно используют три варианта: ограничение на уровне PHP, правила веб-сервера или хранение закрытых файлов вне публичного каталога. У каждого подхода есть компромиссы. Если нужен быстрый контроль без перестройки инфраструктуры, подойдет PHP-проверка. Если файлов много и они чувствительные, лучше уводить их из публичного каталога. Если нужен баланс, можно закрыть только конкретные расширения или подкаталог.
| Подход | Плюсы | Минусы |
|---|---|---|
| PHP-проверка через WordPress | Гибко, можно учитывать роли и мета-данные | Дополнительная нагрузка, не защищает файлы вне WordPress |
| Правила Nginx/Apache | Быстро и надежно на уровне сервера | Сложнее делать исключения по ролям |
| Хранение вне uploads | Лучше для закрытых документов | Нужна отдельная логика выдачи файлов |
Пошаговое решение через WordPress: закрываем файлы по роли
Если вам нужно закрыть доступ к документам для гостей, но оставить его для авторизованных пользователей, можно перехватывать запрос к файлу и проверять права. Этот вариант подходит, когда файлы лежат в публичном каталоге, но доступ к ним должен контролироваться приложением.
Ниже пример для functions.php дочерней темы или собственного плагина. Он блокирует прямой доступ к PDF в uploads для неавторизованных пользователей. Логику можно расширить под другие расширения.
add_action('template_redirect', function () {
if (is_admin()) {
return;
}
$request_uri = $_SERVER['REQUEST_URI'] ?? '';
$path = wp_parse_url($request_uri, PHP_URL_PATH);
if (!$path) {
return;
}
// Блокируем только PDF в uploads.
if (preg_match('#/wp-content/uploads/.+\.pdf$#i', $path)) {
if (!is_user_logged_in()) {
status_header(403);
nocache_headers();
wp_die('Доступ к файлу ограничен.', '403 Forbidden', ['response' => 403]);
}
}
});Это не идеальная защита для высоконагруженного сайта, потому что запрос все равно доходит до WordPress. Но для небольших и средних проектов это рабочий способ быстро закрыть доступ без изменения структуры хранения.
Как расширить правило на несколько типов файлов
Если нужно закрыть не только PDF, а, например, doc, docx и xlsx, добавьте массив расширений и проверку по нему. Так код проще поддерживать, чем плодить отдельные условия.
add_action('template_redirect', function () {
$path = wp_parse_url($_SERVER['REQUEST_URI'] ?? '', PHP_URL_PATH);
if (!$path) {
return;
}
$blocked_ext = ['pdf', 'doc', 'docx', 'xls', 'xlsx'];
foreach ($blocked_ext as $ext) {
if (preg_match('#/wp-content/uploads/.+\.' . preg_quote($ext, '#') . '$#i', $path)) {
if (!is_user_logged_in()) {
status_header(403);
nocache_headers();
exit('Доступ ограничен');
}
}
}
});Более надежный вариант: хранить закрытые файлы вне публичного uploads
Если документы действительно чувствительные, лучше не полагаться только на PHP-проверки. Публичный каталог uploads по определению предназначен для открытой раздачи. Для закрытых файлов безопаснее хранить их вне web-root и отдавать через отдельный скрипт после проверки прав.
Схема простая: файл лежит, например, в каталоге выше корня сайта, а WordPress выдает его только после проверки пользователя. Это уже ближе к нормальной модели доступа, особенно если речь о договорах, внутренних инструкциях, закрытых прайсах или материалах для клиентов.
add_action('admin_post_download_private_file', 'download_private_file');
add_action('admin_post_nopriv_download_private_file', 'download_private_file');
function download_private_file() {
if (!is_user_logged_in()) {
wp_die('Нужна авторизация.', '403 Forbidden', ['response' => 403]);
}
$file = WP_CONTENT_DIR . '/../private-files/report.pdf';
if (!file_exists($file)) {
wp_die('Файл не найден.', '404 Not Found', ['response' => 404]);
}
nocache_headers();
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="report.pdf"');
header('Content-Length: ' . filesize($file));
readfile($file);
exit;
}Здесь уже важно не забыть про проверку прав, иначе вы просто перенесете публичную раздачу в другой URL. Если файл должен быть доступен только определенной роли, проверяйте current_user_can() или собственную логику доступа.
Проверка результата после внедрения
После настройки не ограничивайтесь ручным открытием ссылки в браузере. Проверьте несколько сценариев: гостевой доступ, авторизованный пользователь, прямой запрос через curl, а также поведение кэша. Если стоит CDN, убедитесь, что он не отдает старую публичную копию файла.
- Откройте URL файла в приватном окне.
- Проверьте ответ
curl -Iи статус403или нужный редирект. - Войдите под пользователем с нужной ролью и повторите тест.
- Очистите серверный кэш и кэш CDN, если он есть.
- Проверьте, не осталась ли старая ссылка в sitemap, письмах или блоках контента.
Если файл должен скачиваться только после авторизации, убедитесь, что браузер не получает его из кэша по старому URL. Для закрытых документов лучше отдавать заголовки, исключающие кэширование, иначе часть проблем проявится только у повторных посетителей.
Частые ошибки и как их исправить
Ограничили attachment-страницу, но не сам файл
Это самая частая путаница. Страница вложения и физический файл — разные сущности. Если закрыли только страницу, PDF по прямой ссылке все равно откроется. Нужно проверять именно URL файла в uploads.
Забыли про кэш и CDN
Даже после исправления кода старый файл может продолжать отдаваться из кэша. Очистите кэш плагина, сервера и CDN. Если используется Cloudflare или аналог, проверьте правила кэширования для /wp-content/uploads/.
Сломали публичные изображения
Если правило слишком широкое, можно случайно закрыть все медиа. Не блокируйте весь uploads без необходимости. Лучше ограничиваться конкретными расширениями или отдельным подкаталогом.
Положили защиту в тему, а потом сменили тему
Логика безопасности не должна жить в теме, если она критична для сайта. Для таких задач используйте мини-плагин или mu-plugin. Тогда защита не исчезнет при обновлении или смене оформления.
Что учесть по безопасности и производительности
Если файлов много, не делайте тяжелую проверку на каждый запрос без необходимости. Для массовой защиты лучше использовать серверные правила или отдельный каталог вне публичного доступа. PHP-перехват удобен, но он всегда дороже, чем правило на уровне Nginx или Apache.
Для чувствительных документов не храните оригиналы в открытом uploads и не рассчитывайте только на «секретный» URL. Ссылки легко утекут через логи, историю, пересылку и кэш. Безопасная схема — закрытое хранение, проверка прав и выдача файла только после авторизации.
Если вам нужно не просто закрыть доступ, а еще и убрать такие файлы из поиска, дополнительно проверьте robots.txt, meta noindex для attachment-страниц и внутренние ссылки на старые URL. Но это уже отдельная задача: индексация и прямой доступ не одно и то же.