Tek bir eklenti birden fazla WordPress güvenlik eklentisinin yerini tutabilir mi?

Neden önemli

WordPress'te güvenlik genellikle her seferinde bir endişeyle büyür. Botlar giriş sayfasını bulur, bir giriş gizleme eklentisi eklersin. Sonra parola tahmini gelir, bir deneme sınırı eklentisi. Sonra bir 2FA eklentisi, XML-RPC'yi kapatan bir eklenti, bir yorum spam'i servisi, her form eklentisi için bir gizli tuzak alan, sahte kayıtlar için bir şey ve saldırgan botlar için bir şey daha.

Bu eklentilerin her biri tek başına makuldür. Bir araya geldiklerinde ise daha sessiz sorunlara yol açarlar:

• Birçok ayrı kayıt. Engellenen bir giriş bir eklentide, engellenen bir kayıt başka birinde, engellenen bir bot üçüncüsünde durur. Kimse resmin tamamını görmez.
• Birçok izin listesi. Kendi IP'ne bir yerde izin verirsin, başka biri seni kilitler.
• Aynı ziyaretçiye farklı bakışlar. Bir eklenti Cloudflare arkasındaki gerçek IP'yi okur, bir diğeri proxy'yi. Biri bir botu kilitler, diğeri herkesi.
• Güncellenecek daha çok şey. Her eklenti güncel tutulacak bir koddur ve göz kulak olunacak daha çok kapı demektir.
• Çakışmalar. Giriş adresini yeniden yazan iki eklenti ya da aynı başarısız girişi sayan iki eklenti tuhaf hatalar üretir.

Sık yapılan hatalar

• Her şeyi bir anda değiştirmek. Her seferinde tek bir işi taşı ve arada test et.
• Yolda ayarları kaybetmek. Herhangi bir şeyi devre dışı bırakmadan önce eski gizli giriş yolunu, izin listesindeki IP'leri ve sınırları not al.
• Açık bırakmak. Eski kurulum XML-RPC'yi kapatıyorsa ve yenisi henüz kapatmıyorsa bir kapı açmış olursun. Eski eklentiyi kapatmadan önce yeni katmanı aç.
• Tek bir eklentinin her şeyi yapmasını beklemek. Hiçbir eklenti kötü amaçlı yazılım temizliğini, güvenlik duvarı kurallarını, yedeklemeyi ve giriş sağlamlaştırmayı eşit derecede iyi karşılamaz. Hangi aracın hangi işi yaptığı konusunda net ol.

Eklentisiz

Basit işleri koda taşıyarak hiç yeni eklenti kurmadan eklenti sayısını azaltabilirsin:

• XML-RPC girişi: xmlrpc_enabled filtresi (XML-RPC nasıl kapatılır rehberine bak).
• Kullanıcı adı sızıntıları: REST, yazar taramaları ve site haritası için birkaç filtre (kullanıcı adları nasıl gizlenir rehberine bak).
• Yorumlar: ihtiyacın yoksa Ayarlar → Tartışma altından kapat.

Her kod parçası küçüktür ama bir araya geldiklerinde yalnızca senin bakımını yaptığın, kaydı, ortak izin listesi ve testleri olmayan özel bir eklenti oluştururlar. Tek sitesi olan bir geliştirici için bu takas uygun olabilir. Baktığın her yeni siteyle birlikte zorlaşır.

Bir şeyler ters giderse

• Giriş gizleme eklentilerini değiştirdikten sonra giriş yapamıyorsun. Eski eklentinin yolu artık çalışmıyor. wp-config.php dosyasına define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); satırını ekle ya da Giriş adresini değiştirdikten sonra dışarıda kaldıysan sayfasına bak.
• Formlar gönderilmez oldu. Aynı formu iki spam katmanı kontrol ediyor olabilir. Eski gizli tuzak alan eklentisini kapat, sonra sayfa önbelleğini temizle.
• Kilitler ikiye katlandı. İki deneme sınırı eklentisi aynı denemeleri sayıyor. Eskisini devre dışı bırak.

Hushfort ile

Hushfort Security ücretsiz bir WordPress güvenlik eklentisidir; Hushfort Pro onun üzerine kurulan ücretli eklentidir.

Hushfort on işi tek bir eklentide toplar: Giriş Gizle, Deneme Sınırı, İki Adımlı Doğrulama, XML-RPC için Arka Kapı Kilidi, Kullanıcı Adı Kalkanı, Yüzey Taraması, Spam Kalkanı, Sahte Kayıt Engeli, İstek Seli ve Sahte Bot Koruması ve Sadeleştir. Her biri ayrı ayrı açtığın bir modüldür. Giriş Gizle, Yüzey Taraması ve temel spam koruması ücretsiz; diğer katmanlar Hushfort Pro ile gelir.

• Her katman için bir durum kartı olan tek bir Genel Durum ekranı.
• Başarısız ve engellenen denemelerin filtrelenebilir tek bir Geçmiş'i.
• Tüm modüllerin paylaştığı tek bir IP okuması ve tek bir izin listesi.
• Üçüncü taraf servis yok, CAPTCHA yok, telemetri yok.

Açıkça söyleyelim, yapmadıkları: kötü amaçlı yazılım taraması, güvenlik duvarı kural setleri, ülke engelleme, yedekleme. Bunlar için özel araçlar tut; Hushfort onlarla iyi anlaşır.