Czy jedna wtyczka może zastąpić kilka wtyczek bezpieczeństwa WordPress?

Dlaczego to ważne

Bezpieczeństwo WordPressa zwykle rośnie po jednym zmartwieniu naraz. Boty znajdują stronę logowania, więc dodajesz wtyczkę do ukrywania logowania. Potem zgadywanie haseł, więc wtyczkę do limitów logowania. Potem wtyczkę 2FA, wtyczkę wyłączającą XML-RPC, usługę antyspamową do komentarzy, honeypot do każdej wtyczki formularzy, coś na fałszywe rejestracje i coś na agresywne boty.

Każda z tych wtyczek osobno ma sens. Razem powodują mniej widoczne problemy:

• Wiele osobnych dzienników. Zablokowane logowanie jest w jednej wtyczce, zablokowana rejestracja w drugiej, zablokowany bot w trzeciej. Nikt nie widzi całości.
• Wiele list dozwolonych. Dopuszczasz swój IP w jednym miejscu, a blokuje Cię inne.
• Różne spojrzenia na tego samego odwiedzającego. Jedna wtyczka odczytuje prawdziwy IP za Cloudflare, inna widzi proxy. Jedna blokuje bota, druga blokuje wszystkich.
• Więcej do aktualizowania. Każda wtyczka to kod, który trzeba aktualizować, i kolejne drzwi, których trzeba pilnować.
• Konflikty. Dwie wtyczki przepisujące adres logowania albo obie liczące to samo nieudane logowanie powodują dziwne błędy.

Typowe błędy

• Zmiana wszystkiego naraz. Przenoś jedno zadanie naraz i testuj pomiędzy.
• Gubienie ustawień po drodze. Zanim cokolwiek wyłączysz, zapisz starą ukrytą ścieżkę logowania, dozwolone adresy IP i limity.
• Zostawienie luki. Jeśli stara konfiguracja zamykała XML-RPC, a nowa jeszcze nie, otwierasz drzwi. Włącz nową warstwę, zanim wyłączysz starą wtyczkę.
• Oczekiwanie, że jedna wtyczka zrobi wszystko. Żadna pojedyncza wtyczka nie radzi sobie równie dobrze z usuwaniem złośliwego kodu, regułami zapory, kopiami zapasowymi i zabezpieczaniem logowania. Miej jasność, które narzędzie robi co.

Bez wtyczki

Liczbę wtyczek możesz zmniejszyć bez żadnej nowej wtyczki, przenosząc proste zadania do kodu:

• Logowanie przez XML-RPC: filtr xmlrpc_enabled (zobacz jak wyłączyć XML-RPC).
• Wycieki nazw użytkowników: kilka filtrów dla REST, skanowania autorów i mapy witryny (zobacz jak ukryć nazwy użytkowników).
• Komentarze: jeśli ich nie potrzebujesz, wyłącz je w Ustawienia → Dyskusja.

Każdy fragment kodu jest mały, ale razem tworzą własną wtyczkę, którą utrzymujesz tylko Ty — bez dziennika, bez wspólnej listy dozwolonych i bez testów. Dla programisty z jedną witryną taki kompromis może być w porządku. Z każdą kolejną witryną, którą się opiekujesz, robi się trudniej.

Jeśli coś pójdzie nie tak

• Po zamianie wtyczek do ukrywania logowania nie możesz się zalogować. Ścieżka starej wtyczki już nie działa. Dodaj define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); do wp-config.php albo zobacz Zablokowany dostęp po zmianie adresu logowania.
• Formularze przestały wysyłać wiadomości. Ten sam formularz mogą sprawdzać dwie warstwy antyspamowe. Wyłącz stary dodatek z honeypotem, a potem wyczyść pamięć podręczną stron.
• Blokad jest dwa razy więcej. Dwie wtyczki do limitów logowania liczą te same próby. Wyłącz starą.

Z Hushfort

Hushfort Security, darmowa wtyczka bezpieczeństwa WordPress, razem z dodatkiem Hushfort Pro łączy dziesięć zadań w jednym miejscu: Ukrywanie logowania, Limity logowania, Uwierzytelnianie dwuskładnikowe, Blokadę tylnych drzwi dla XML-RPC, Osłonę nazw użytkowników, Skan powierzchni ataku, Antyspam, Blokadę fałszywych rejestracji, Ochronę przed zalewem i fałszywymi botami oraz Porządki. Każde z nich to moduł, który włączasz osobno. Ukrywanie logowania, Skan powierzchni ataku i podstawowa ochrona przed spamem są darmowe; pozostałe warstwy wchodzą w skład Hushfort Pro.

• Jeden kokpit z kartą statusu dla każdej warstwy.
• Jedna Historia nieudanych i zablokowanych prób, z filtrowaniem.
• Jeden sposób odczytu IP i jedna lista dozwolonych wspólna dla wszystkich modułów.
• Bez usług zewnętrznych, bez CAPTCHA, bez telemetrii.

Czego nie robi — mówiąc wprost: skanowania złośliwego oprogramowania, zestawów reguł zapory, blokowania krajów, kopii zapasowych. Do tego używaj osobnych narzędzi; Hushfort dobrze z nimi współpracuje.