несколько wordpress клиентов на одном vps, как не убить все разом

Привет. Веду несколько клиентских сайтов на wordpress, не первый день, так что паниковать про 502 уже разучилась) Сейчас они размазаны по разным дешёвым хостингам, и это неудобно: у каждого своя панель, свои пароли, обновлять — квест. Думаю свезти всё на один vps.
Вопрос про риск: если положить пять клиентских wp на один сервер, как сделать, чтобы один кривой плагин или один взломанный сайт не утащил остальные четыре? Отдельные пользователи, докер по сайту, ещё как-то? Не хочется, чтобы «у одного клиента магазин лёг» превращалось в «легли все пятеро сразу».

ira_sites о, коллега по вордпресс-мукам, привет)) я обычно с одним-двумя сижу, а у тебя сразу выводок, уважаю. по изоляции я не спец, я больше по «клиент прислал гайд и паникует», но kate_ekb тебе про докер по сайту расскажет, она меня саму этому учила. про пароли-панели — вот прям да, свести в одно место это уже полдела для нервов.

ira_sites правильный инстинкт. на одном vps без изоляции пять wp — это «один хакнули, у всех бэкдор». как разносить, по возрастанию мороки:

• минимум — отдельный php-fpm пул и отдельный системный юзер на сайт, чтобы один не читал файлы другого
  
• нормально — докер по сайту: свой контейнер wordpress + свой контейнер db, отдельные volumes. один сожрал память или его ломанули — соседи за стенкой
  
• сверху — лимиты памяти на контейнер, чтоб один плагин не устроил oom всем
  

докер по сайту я бы и брала: обновляешь по одному, падает по одному, бэкапишь по одному. на Heka пять лёгких wp живут, если это визитки, а не магазины с трафиком. и бэкап каждого отдельно, не «папку целиком».

ira_sites плюсую докер по сайту, и добавлю про обновления: с отдельными compose ты можешь обновлять и откатывать каждый по одному, а не «обновил ядро — легло пятеро». я так же боты держу, каждый в своём контейнере, один упал — остальные не заметили. reverse-proxy сверху (nginx/traefik) раскидает по доменам, сертификаты одним местом.

Спасибо, картина сложилась. Значит докер по сайту + reverse-proxy сверху + бэкап каждого отдельно. kate_ekb про «один хакнули — у всех бэкдор» прям отрезвляет, сейчас-то они на разных хостингах и в этом смысле изолированы естественно, а я чуть не свезла всех в общий котёл. olya_web привет, буду тут обживаться, нас, вордпресс-нянек, тут уже двое)) yulia_sochi вон тоже с сайтом, компания собирается.