Com assegurar el vostre WordPress Lloc amb regles del tallafoc de Cloudflare

Si sou un administrador web que gestiona un bloc o lloc web WordPress, és probable que la seguretat web sigui una de les vostres principals prioritats. Sempre que el vostre domini estigui habilitat per a Cloudflare, podeu fer-ho afegir WordPress-regles específiques del tallafoc de Cloudflare per millorar la seguretat del vostre lloc i fins i tot prevenir atacs molt abans que arribin al vostre servidor.

Si utilitzeu el pla gratuït de Cloudflare, teniu la possibilitat d'afegir 5 regles (el pla professional us ofereix 20).

Cloudflare fa que sigui fàcil i ràpid crear regles de tallafoc, i cada regla ofereix una flexibilitat impressionant: no només pots fer molt amb cada regla, sinó que sovint es poden consolidar les regles, alliberant-te espai perquè puguis fer encara més.

En aquest article, aprofundiré en algunes de les diferents regles del tallafoc que podeu aplicar per complementar i millorar el vostre WordPress les funcions de seguretat existents del lloc.

Resum: Com protegir el vostre WordPress lloc web amb Cloudflare Firewall

Tallafoc d'aplicacions web (WAF) de Cloudflare és una eina de programari que us permet protegir el vostre WordPress lloc web.
Les regles del tallafoc de Cloudflare us permeten sol·licituds de llista negra o blanca d'acord amb els criteris flexibles que establiu.
A crea una protecció hermètica per a la teva WordPress lloc, amb Cloudflare podeu: incloure la vostra pròpia adreça IP a la llista blanca, protegir la vostra àrea d'administració, bloquejar visitants per regió o país, bloquejar robots maliciosos i atacs de força bruta, bloquejar atacs XML-RPC i evitar el correu brossa de comentaris.

Llista blanca la teva pròpia adreça IP

Per evitar problemes en el camí, afegir l'adreça IP del vostre lloc web a la llista blanca hauria de ser la primera tasca de la vostra llista abans activeu qualsevol regla del tallafoc.

Per què i com afegir la vostra adreça IP a la llista blanca a Cloudflare

Això és principalment perquè us podríeu trobar bloquejat del vostre propi lloc web si decidiu bloquejar-lo WordPress àrea d'administració dels altres.

Per a la llista blanca de l'adreça IP del vostre lloc web, aneu a la secció Seguretat del vostre tauler de control de Cloudflare i seleccioneu "WAF". A continuació, feu clic a "Eines" i introduïu la vostra adreça IP al quadre "Regles d'accés IP" i trieu "llista blanca" al menú desplegable.

Llista blanca de cloudflare pròpia adreça IP

Per trobar la vostra adreça IP podeu fer a Google cerqueu "quina és la meva IP" i us retornarà la vostra adreça IPv4, i si necessiteu la vostra IPv6, podeu anar a https://www.whatismyip.com/

Recordeu que si la vostra adreça IP canvia, haureu de tornar a introduir o afegir la vostra nova adreça IP a la llista blanca per evitar que us bloquegeu fora de la vostra àrea d'administració.

A més d'inscriure a la llista blanca l'adreça IP exacta del vostre lloc, també podeu optar per incloure a la llista blanca tot el vostre rang d'IP.

Si teniu una adreça IP dinàmica (és a dir, una adreça IP que està configurada per canviar lleugerament contínuament), aquesta és sens dubte la millor opció per a vosaltres, ja que tornar a introduir constantment i afegir noves adreces IP a la llista blanca seria un gran dolor.

També pot llista blanca de tot el vostre país.

Definitivament, aquesta és l'opció menys segura, ja que potencialment deixa la vostra àrea d'administració oberta a atacs provinents del vostre país.

No obstant això, si viatgeu molt per feina i sovint us trobeu accedint al vostre WordPress lloc des de diferents connexions Wi-Fi, afegir el vostre país a la llista blanca pot ser l'opció més convenient per a vosaltres.

Tingueu en compte que qualsevol adreça IP o país que hàgiu inclòs a la llista blanca estarà exempt de totes les altres regles del tallafoc i, per tant, no us haureu de preocupar per establir excepcions individuals amb cada regla.

Protegir WordPress Tauler de control (l'àrea d'administració de WP)

Ara que heu inclòs la vostra adreça IP i/o país a la llista blanca, és el moment per bloquejar bé el tauler de control de wp-admin perquè només tu hi puguis accedir.

Per què i com protegir el WordPress Tauler de control a Cloudflare

No cal dir que no voleu que desconeguts externs puguin accedir a la vostra àrea d'administració i fer canvis sense el vostre coneixement o permís.

Com a tal, haureu de crear una regla de tallafocs que impedeixi l'accés extern al vostre tauler.

No obstant això, abans tanqueu el vostre WordPress panell, haureu de fer dues excepcions importants.

/wp-admin/admin-ajax.php. Aquesta ordre permet que el vostre lloc web mostri contingut dinàmic i, per tant, cal accedir-hi des de l'exterior per certs connectors per funcionar. Com a tal, tot i que s'emmagatzema a la carpeta /wp-admin/, s'ha de poder accedir des de l'exterior si no voleu que el vostre lloc web mostri missatges d'error als visitants.
/wp-admin/theme-editor.php. Aquesta comanda l'habilita WordPress per executar una comprovació d'errors cada vegada que canvieu o editeu el tema del vostre lloc. Si no afegiu això com a excepció, els vostres canvis no es desaran i rebreu un missatge d'error que diu "No es pot tornar a comunicar amb el lloc per comprovar si hi ha errors fatals".

Per crear una regla de tallafoc, primer aneu a Seguretat > WAF al vostre tauler de control de Cloudflare i, a continuació, feu clic al botó "Crea una regla de tallafoc".

Cloudflare protegeix el tauler de control wp-admin

Per afegir aquestes excepcions a l'hora de protegir l'àrea del tauler de control de wp-admin, haureu de crear aquesta regla:

Camp: camí URI
Operador: conté
Valor: /wp-admin/

[I]

Camp: camí URI
Operador: no conté
Valor: /wp-admin/admin-ajax.php

[I]

Camp: camí URI
Operador: no conté
Valor: /wp-admin/theme-editor.php

[Acció: bloquejar]

Quan hàgiu acabat, feu clic a "Desplegar" per establir la regla del tallafoc.

Alternativament, podeu fer clic a "Edita l'expressió" i enganxar el següent a:

(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")

Bloc Països/Continents

De la mateixa manera que podeu afegir un país a la llista blanca per accedir al vostre tauler d'administració.

També pot Establiu una regla de tallafocs per a la llista negra de països i fins i tot de continents sencers des de veure o accedir al vostre lloc.

Per què i com bloquejar països/continents a Cloudflare

Per què voleu bloquejar l'accés al vostre lloc a tot un país o continent?

Bé, si el vostre lloc web ofereix un país o una regió geogràfica en particular i no és rellevant a nivell mundial, aleshores bloquejar l'accés des de països i/o continents irrellevants és una manera senzilla de limitar el risc d'atacs de programari maliciós i trànsit maliciós procedent de l'estranger, sense bloquejar mai l'accés al públic objectiu legítim del vostre lloc web.

Per crear aquesta regla, una vegada més haureu d'obrir el vostre tauler de control de Cloudflare i anar a Seguretat > WAF > Crea una regla de tallafoc.

Per canviar la configuració per permetre només països específics, introduïu el següent:

Camp: País o Continent
Operador: "Està dins"
Valor: trieu els països o continents que voleu llista blanca

(Nota: si voleu permetre el trànsit només d'un país, podeu introduir "iguals" com a operador).

Si opteu per bloquejar països o continents específics, introduïu el següent:

Camp: País o Continent
Operador: "No està dins"
Valor: trieu els països o continents que voleu bloquejar

Nota: aquesta regla pot ser contraproduent si necessiteu assistència tècnica i l'equip d'assistència del vostre amfitrió web es troba en un país o continent que heu bloquejat.

Això probablement no serà un problema per a la majoria de la gent, però és una cosa que hauríeu de tenir en compte.

Aquí teniu un exemple de com denegar l'accés al vostre lloc des d'un país determinat, on es mostren els usuaris d'aquest país a Repte de JavaScript abans d'intentar accedir al vostre lloc.

Bloqueja els bots maliciosos

Segons el seu agent d'usuari, Cloudflare us permet bloquejar l'accés als robots maliciosos que intenten penetrar al vostre lloc.

Si ja esteu utilitzant 7G, no us haureu de preocupar per establir aquesta regla: el 7G WAF bloqueja les amenaces a nivell de servidor fent referència a una llista completa de robots maliciosos.

Tanmateix, si no feu servir 7G, voldreu configurar una regla de tallafoc que identifiqui i bloquegi els robots dolents abans que puguin causar danys.

Per què i com bloquejar els robots dolents a Cloudflare

Com és habitual, primer aneu al vostre tauler de control de Cloudflare i aneu a Seguretat > WAF > Crea una regla de tallafoc.

A continuació, configureu l'expressió de la regla del tallafoc com a tal:

Camp: Agent d'usuari
Operador: "Igual" o "Conté"
Valor: el nom del bot dolent o de l'agent maliciós que voleu bloquejar

Igual que amb els països de bloqueig, els bots es poden bloquejar individualment pel seu nom. Per bloquejar més d'un bot alhora, utilitzeu l'opció "OR" de la dreta per afegir bots addicionals a la llista.

A continuació, feu clic a la icona "Desplegar" el botó quan hàgiu acabat.

Tanmateix, bloquejar manualment els robots dolents s'ha tornat redundant perquè s'ha llançat Cloudflare "Mode de lluita contra bots" per a tots els usuaris gratuïts.

i "Mode Super Bot Figth" per als usuaris del pla Pro o Business.

Això vol dir que els robots dolents ara s'estan bloquejant automàticament per a tot tipus d'usuaris de Cloudflare.

Bloqueja els atacs de força bruta (wp-login.php)

Els atacs de força bruta, també coneguts com a atacs wp-login, són els atacs més comuns als quals es dirigeix WordPress llocs.

De fet, si mireu els registres del vostre servidor, és probable que trobeu proves d'aquests atacs en forma d'adreces IP de diferents llocs del món que intenten accedir al vostre fitxer wp-login.php.

Afortunadament, Cloudflare us permet establir una regla de tallafoc per bloquejar amb èxit els atacs de força bruta.

Per què i com protegir wp-login.php a Cloudflare

Tot i que la majoria dels atacs de força bruta són escanejos automatitzats que no són prou potents per passar WordPressdefenses, encara és una bona idea establir una regla per bloquejar-les i tranquil·litzar la teva ment.

No obstant això, aquesta regla només funciona si sou l'únic administrador/usuari del vostre lloc. Si hi ha més d'un administrador o si el vostre lloc utilitza un connector de pertinença, hauríeu de saltar aquesta regla.

Per crear aquesta regla, torneu a Seguretat > WAF > Crea una regla de tallafoc.

Després d'haver triat un nom per a aquesta regla, introduïu el següent:

Camp: camí URI
Operador: conté
Valor: /wp-login.php

[Acció: bloquejar]

Alternativament, podeu fer clic a "Edita l'expressió" i enganxar el següent a:

(http.request.uri.path contains "/wp-login.php")

Un cop implementeu la regla, Cloudflare començarà a bloquejar tots els intents d'accedir a wp-login que provinguin de qualsevol font que no sigui la vostra IP a la llista blanca.

Com a bonificació addicional, podeu verificar que aquesta protecció està en funcionament mirant a la secció Esdeveniments del tallafoc de Cloudflare, on hauríeu de poder veure un registre de qualsevol intent d'atac de força bruta.

Bloqueja els atacs XML-RPC (xmlrpc.php)

Un altre tipus d'atac una mica menys comú (però encara perillós) és un Atac XML-RPC.

XML-RPC és un procediment remot que fa una crida WordPress, als quals els atacants poden apuntar en un atac de força bruta per obtenir credencials d'autenticació.

Per què i com bloquejar XML-RPC a Cloudflare

Encara que hi ha usos legítims per a XML-RPC, com ara publicar contingut a múltiples WordPress blocs simultàniament o accedint al vostre WordPress lloc des d'un telèfon intel·ligent, generalment podeu implementar aquesta regla sense preocupar-vos de les conseqüències no desitjades.

Per bloquejar atacs de força bruta dirigits a procediments XML-RPC, primer aneu a Seguretat > WAF > Crea una regla de tallafoc.

A continuació, creeu la regla següent:

Camp: camí URI
Operador: conté
Valor: /xmlrpc.php

[Acció: bloquejar]

Alternativament, podeu fer clic a "Edita l'expressió" i enganxar el següent a:

(http.request.uri.path contains "/xmlrpc.php")

I així, amb només uns senzills passos, heu protegit el vostre WordPress lloc de dos dels tipus més comuns d'atacs de força bruta.

Evita el correu brossa de comentaris (wp-comments-post.php)

Si sou un administrador web, el correu brossa al vostre lloc és només un dels fets molestos de la vida.

Afortunadament, Cloudflare Firewall ofereix diverses regles que podeu implementar per bloquejar molts tipus habituals de correu brossa, inclòs el correu brossa de comentaris.

Per què i com bloquejar wp-comments-post.php a Cloudflare

Si el correu brossa de comentaris s'ha convertit en un problema al vostre lloc (o, millor encara, si voleu evitar de manera proactiva que es converteixi en un problema), podeu restringir wp-comments-post.php per restringir el trànsit del bot.

Això es fa a nivell de DNS amb un Cloudflare Repte JS, i el seu funcionament és relativament senzill: els comentaris de correu brossa estan automatitzats i les fonts automatitzades no poden processar JS.

Aleshores fallen el repte JS i voilà... el correu brossa es bloqueja a nivell de DNS i la sol·licitud ni tan sols arriba al vostre servidor.

Aleshores, com es crea aquesta regla?

Com de costum, aneu a la pàgina Seguretat > WAF i seleccioneu "Crea una regla de tallafoc".

Assegureu-vos de donar a aquesta regla un nom reconeixible, com ara "Commentar correu brossa".

A continuació, configureu el següent:

Camp: URI
Operador: Igual
Valor: wp-comments-post.php

[I]

Camp: Mètode de sol·licitud
Operador: Igual
Valor: POST

[I]

Camp: Referent
Operador: no conté
Valor: [el teudomini.com]

[Acció: JS Challenge]

Aneu amb compte de configurar l'acció JS Challenge, ja que això s'assegurarà que el comentari estigui bloquejat sense interferir amb les accions generals dels usuaris al lloc.

Un cop introduïts aquests valors, feu clic a "Desplega" per crear la vostra regla.

Conclusió: com podeu assegurar el vostre WordPress Lloc amb regles de tallafocs de Cloudflare

A la carrera d'armes de seguretat web, les regles del tallafoc de Cloudflare són una de les armes més efectives que teniu al vostre arsenal.

Fins i tot amb un compte de Cloudflare gratuït, podeu implementar moltes regles diferents per protegir-vos WordPress lloc contra algunes de les amenaces de programari maliciós i correu brossa més comunes.

Amb només unes poques tecles (sobretot) senzilles, podeu augmentar la seguretat del vostre lloc i mantenir-lo sense problemes per als visitants.

Per obtenir més informació sobre com millorar el vostre WordPress la seguretat del lloc, mireu el meu guia per a la conversió WordPress llocs a HTML estàtic.