Обрати найкращий плагін безпеки WordPress простіше, коли знаєш, де він зупиняє бота. Ваш сайт просто зараз сканують автоматизовані боти, скрейпери й хакери, а стандартний плагін вмикається надто пізно, бо сучасні боти навчилися виглядати як люди.
BotBlocker Security розв’язує задачу інакше: це шар безпеки та Web Application Firewall (WAF), який зупиняє шкідливий трафік до того, як він дійде до сайту.
Найкращий плагін безпеки WordPress: п’ять перевірок
Плагіни безпеки обіцяють те саме. Різниця видна в трьох місцях: де зупиняється запит, що плагін робить із ботом, який вдає браузер, і скільки це коштує на кожному перегляді сторінки. Ось список, за яким я перевіряю захист.
Де зупиняється запит
Плагін усередині WordPress починає роботу лише після запуску PHP, підключення до бази й завантаження теми. На той момент бот уже витратив процесор і пам’ять. Фаєрвол перед сайтом або MU-плагін, що завантажується раніше, відхиляють запит до цієї роботи. На спільному хостингу під атакою саме це вирішує, чи встоїть сайт.
Як відрізнити бота від браузера
Рядок User-Agent і списки IP підробити легко. Боти, які крадуть контент або підбирають паролі, змінюють адреси й копіюють заголовки справжнього браузера. Потрібні перевірки, що не залежать від списку: cookie-завдання, таймінги запитів, поведінка протягом сесії, підтвердження, що завдання розв’язала людина. Плагін, який звіряє лише відомі сигнатури, відстане від наступного бота за кілька тижнів.
Захист входу
Більшість зламів WordPress починається з пароля. Перевірте, чи обмежує плагін спроби входу, чи підтримує двофакторну автентифікацію і чи закриває XML-RPC хоча б за частотою запитів. Якщо захищена лише сторінка входу, решта сайту відкрита для парсингу й крадіжки контенту.
Ціна запиту
Захист, який робить кілька запитів до бази на кожну сторінку, видно в TTFB. Запитайте, що виконується на звичайному візиті, чи сумісний плагін із кешем сторінок і CDN, чи відхиляються блокування до старту WordPress. Повільний щит вимкне перший, хто подивиться на графіки. Найкращий плагін безпеки WordPress додає кілька перевірок до PHP, а не другий фреймворк поверх сторінки.
Логи, які читаються
Після інциденту треба зрозуміти, яка адреса куди стукала, коли і чому її пропустили. У корисному лозі є час, шлях, спрацьоване правило й пошук. Якщо плагін показує лише лічильник, хвилю ботів не відрізнити від зламаного кешу. Найкращий плагін безпеки WordPress записує рішення: пропустити, заблокувати чи дати завдання, і чому.
Оновлення та вихід
Код безпеки оновлюється часто, а дані мають пережити зміну плагіна. Перевірте, чи вивантажуються налаштування, чи не прив’язані правила блокування до хмари одного постачальника, чи не лишаються після видалення зайві таблиці й відчинені двері.
Короткий чек-ліст
- Блокує до PHP або хоча б до завантаження теми.
- Дивиться на поведінку, а не лише на User-Agent і списки IP.
- Закриває вхід, XML-RPC і REST.
- Не просаджує TTFB під навантаженням і працює з кешем сторінок.
- Пише в лог дозволи, блокування й перевірки з причиною.
- Двофакторна автентифікація в кожного адміністратора.
- Експорт налаштувань і чисте видалення.
Де плагін уже не допомагає
Плагін захищає шлях запиту. Він не закриє діру в темі, не поверне видалену базу й не прибере бекдор, який уже виконується як PHP. Тримайте WordPress, теми й плагіни оновленими, зберігайте резервні копії поза сайтом і давайте редакторам мінімум прав. З кодом допомагають рекомендації WordPress щодо безпеки плагінів і OWASP Top 10. Якщо сайт уже заражений, порядок такий: зняти копію, вичистити файли, змінити всі паролі й ключі, потім увімкнути фаєрвол назад.
Як BotBlocker закриває ці пункти
- Продуктивність замість гальмування. Запити фільтруються до звернення до PHP і MySQL, тому сервер залишається стабільним навіть під важкою атакою.
- Восьмирівневе виявлення. Кожен відвідувач перевіряється за вісьмома рівнями: cookie, репутація IP, поведінковий аналіз і анти-детект скоринг ловлять ботів, які маскуються під людей.
- Early Init. Загрози перехоплюються до завантаження WordPress - через режими MU-plugin та Early Init, майже без навантаження на сервер.
- CAPTCHA, стійка до ШІ. Вісім власних режимів - розпізнавання зображень, рухомі фігури, зіставлення кольорів - які ШІ-сервісам для ботів практично неможливо обійти.
- Повний набір захисту. Захист від brute-force, двофакторна автентифікація й хмарна аналітика загроз у реальному часі для сторінок входу та даних.
Для кого це
Магазин на WooCommerce, блог із великим трафіком або корпоративний сайт - мета одна: тримати сміттєвий трафік далеко й займатися бізнесом, поки боти залишаються нашою турботою.
Безпека не повинна коштувати вам продуктивності. У цьому й сенс BotBlocker: щит, що спрацьовує раніше за решту стеку.
Ще за темою: Плагін безпеки WordPress: навіщо я написав свій і BotBlocker Security: WAF, що вмикається раніше за WordPress.