Jak zabezpečit své WordPress Web S pravidly Cloudflare Firewallu

Pokud jste webmaster provozující blog nebo webovou stránku WordPress, je pravděpodobné, že zabezpečení webu je jednou z vašich hlavních priorit. Pokud vaše doména podporuje Cloudflare, můžete přidat WordPress-specifická pravidla brány firewall Cloudflare zlepšit zabezpečení vašeho webu a dokonce zabránit útokům dlouho předtím, než se dostanou na váš server.

Pokud používáte bezplatný plán Cloudflare, máte možnost přidat 5 pravidel (pro plán vám jich dá 20).

Cloudflare usnadňuje a urychluje vytváření pravidel brány firewall a každé pravidlo nabízí úžasnou flexibilitu: nejen že můžete s každým pravidlem udělat hodně, ale pravidla lze často sjednotit a uvolnit tak prostor pro ještě více.

V tomto článku se podrobně podívám na některá různá pravidla brány firewall, která můžete použít k doplnění a vylepšení WordPress stávající bezpečnostní prvky webu.

Shrnutí: Jak chránit své WordPress webové stránky s Cloudflare Firewallem

Firewall webových aplikací Cloudflare (WAF) je softwarový nástroj, který vám umožňuje chránit vaše WordPress webová stránka.
Pravidla Cloudflare Firewall vám umožní požadavky na černou nebo bílou listinu podle flexibilních kritérií, která si nastavíte.
Na vytvořte si vzduchotěsnou ochranu WordPress webové stránky, s Cloudflare můžete: přidat svou vlastní IP adresu na seznam povolených, chránit oblast správy, blokovat návštěvníky podle regionu nebo země, blokovat škodlivé roboty a útoky hrubou silou, blokovat útoky XML-RPC a předcházet spamu v komentářích.

Bílá listina vaší vlastní IP adresy

Abyste předešli problémům na silnici, přidání IP adresy vašeho vlastního webu na seznam povolených by mělo být prvním úkolem na vašem seznamu před povolíte jakákoli pravidla brány firewall.

Proč a jak přidat svou IP adresu na seznam povolených v Cloudflare

Je to především proto, že byste se mohli ocitnout v uzamčení svého vlastního webu, pokud se ho rozhodnete zablokovat WordPress admin oblast od ostatních.

Chcete-li přidat IP adresu svého webu na seznam povolených, přejděte do sekce Zabezpečení řídicího panelu Cloudflare a vyberte „WAF“. Poté klikněte na „Nástroje“ a zadejte svou IP adresu do pole „Pravidla přístupu k IP“ a z rozbalovací nabídky vyberte „bílá listina“.

Chcete-li zjistit svou IP adresu, můžete provést a Google vyhledejte „jaká je moje IP“ a vrátí vaši IPv4 adresu, a pokud potřebujete IPv6, můžete přejít na https://www.whatismyip.com/

Nezapomeňte, že pokud se vaše IP adresa změní, budete muset novou IP adresu zadat znovu/na seznam povolených, abyste se vyhnuli uzamčení ze své administrátorské oblasti.

Kromě přidání přesné IP adresy vašeho webu na seznam povolených můžete se také rozhodnout přidat na seznam povolených celý rozsah IP adres.

Máte-li dynamickou IP adresu (tj. IP adresu, která je nastavena tak, aby se neustále mírně měnila), pak je to pro vás rozhodně lepší volba, protože neustálé opětovné zadávání a přidávání nových IP adres na seznam povolených by bylo velkou bolestí.

Můžete také whitelist celou vaši zemi.

Toto je rozhodně nejméně bezpečná možnost, protože potenciálně ponechává vaši oblast správy otevřenou útokům přicházejícím z vaší země.

Nicméně, pokud hodně cestujete za prací a často se přistihnete, že máte přístup ke svému WordPress z různých Wi-Fi připojení, může být pro vás nejpohodlnější možnost přidat vaši zemi na seznam povolených.

Mějte na paměti, že jakákoli IP adresa nebo země, kterou jste přidali na bílou listinu, bude vyňata ze všech ostatních pravidel brány firewall, a proto se nemusíte starat o nastavení jednotlivých výjimek pro každé pravidlo.

Chránit WordPress Dashboard (oblast správy WP)

Nyní, když jste přidali svou IP adresu a/nebo zemi na seznam povolených, je čas k pevnému uzamčení řídicího panelu wp-admin, abyste k němu měli přístup pouze vy.

Proč a jak se chránit WordPress Dashboard v Cloudflare

Je samozřejmé, že nechcete, aby neznámí lidé zvenčí měli přístup do vaší administrační oblasti a prováděli změny bez vašeho vědomí nebo svolení.

Jako takový, budete muset vytvořit pravidlo brány firewall, které zabrání přístupu zvenčí k vašemu řídicímu panelu.

Nicméně, před zamkneš svůj WordPress přístrojová deska, budete muset udělat dvě důležité výjimky.

/wp-admin/admin-ajax.php. Tento příkaz umožňuje, aby vaše webové stránky zobrazovaly dynamický obsah, a proto musí být přístupné zvenčí pomocí určitých pluginů, aby fungovaly. I když je uložen ve složce /wp-admin/, musí být přístupný zvenčí, pokud nechcete, aby vaše webové stránky zobrazovaly návštěvníkům chybové zprávy.
/wp-admin/theme-editor.php. Tento příkaz umožňuje WordPress ke spuštění kontroly chyb při každé změně nebo úpravě motivu webu. Pokud toto zapomenete přidat jako výjimku, změny se neuloží a zobrazí se chybová zpráva „Nelze komunikovat se stránkou za účelem kontroly závažných chyb.“

Chcete-li vytvořit pravidlo brány firewall, nejprve přejděte na položku Zabezpečení > WAF na řídicím panelu Cloudflare a poté klikněte na tlačítko „Vytvořit pravidlo brány firewall“.

Chcete-li přidat tyto výjimky při ochraně oblasti řídicího panelu wp-admin, budete muset vytvořit toto pravidlo:

Pole: Cesta URI
Operátor: obsahuje
Hodnota: /wp-admin/

[A]

Pole: Cesta URI
Operátor: neobsahuje
Hodnota: /wp-admin/admin-ajax.php

[A]

Pole: Cesta URI
Operátor: neobsahuje
Hodnota: /wp-admin/theme-editor.php

[Akce: Blokovat]

Po dokončení klikněte na tlačítko „Nasazení“ pro nastavení pravidla brány firewall.

Případně můžete kliknout na „Upravit výraz“ a vložit níže uvedený text:

(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")

Blokové země/kontinenty

Stejně jako můžete přidat zemi na seznam povolených, abyste získali přístup k ovládacímu panelu administrátora.

Můžete také nastavte pravidlo brány firewall, aby se země a dokonce celé kontinenty zobrazovaly nebo přistupovaly na vaše stránky na černou listinu.

Proč a jak blokovat země/kontinenty v Cloudflare

Proč byste mohli chtít zablokovat celé zemi nebo kontinentu přístup na váš web?

Pokud váš web slouží určité zemi nebo zeměpisné oblasti a není globálně relevantní, pak zablokování přístupu z irelevantních zemí a/nebo kontinentů je snadný způsob, jak omezit riziko malwarových útoků a škodlivého provozu přicházejícího ze zahraničí, aniž byste kdy blokovali přístup k legitimnímu cílovému publiku vašeho webu.

Chcete-li vytvořit toto pravidlo, budete muset znovu otevřít svůj řídicí panel Cloudflare a přejít na Zabezpečení > WAF > Vytvořit pravidlo brány firewall.

Chcete-li změnit nastavení tak, aby byly povoleny pouze určité země, zadejte následující:

Pole: Země nebo kontinent
Operátor: „Je v“
Hodnota: Vyberte země nebo kontinenty, které chcete whitelist

(Poznámka: pokud chcete povolit provoz pouze z jedné země, můžete jako operátor zadat „rovná se“.)

Pokud se místo toho rozhodnete blokovat konkrétní země nebo kontinenty, zadejte následující:

Pole: Země nebo kontinent
Operátor: „Není in“
Hodnota: Vyberte země nebo kontinenty, které chcete blokovat

Poznámka: Toto pravidlo může selhat, pokud potřebujete technickou podporu a tým podpory vašeho webového hostitele se nachází v zemi nebo kontinentu, které jste zablokovali.

To pravděpodobně nebude pro většinu lidí problém, ale je to něco, o čem byste si měli být vědomi.

Zde je příklad, jak zakázat přístup na váš web z určité země, kde se zobrazují uživatelé z této země a JavaScriptová výzva před pokusem o přístup na váš web.

Blokovat škodlivé roboty

Na základě jejich uživatelského agenta Cloudflare vám umožňuje blokovat přístup škodlivým robotům, kteří se pokoušejí proniknout na váš web.

Pokud již používáte 7G, nemusíte si dělat starosti s nastavením tohoto pravidla: 7G WAF blokuje hrozby na úrovni serveru odkazem na úplný seznam škodlivých robotů.

Pokud však nepoužíváte 7G, budete chtít nakonfigurovat pravidlo brány firewall, které identifikuje a blokuje špatné roboty dříve, než mohou způsobit poškození.

Proč a jak blokovat špatné roboty v Cloudflare

Jako obvykle nejprve přejděte na svůj řídicí panel Cloudflare a přejděte na Zabezpečení > WAF > Vytvořit pravidlo brány firewall.

Poté nastavte výraz pravidla brány firewall takto:

Pole: User Agent
Operátor: „Rovná se“ nebo „Obsahuje“
Hodnota: název špatného robota nebo škodlivého agenta, kterého chcete zablokovat

Stejně jako u blokujících zemí lze roboty blokovat jednotlivě podle jména. Chcete-li zablokovat více než jednoho robota současně, použijte možnost „NEBO“ vpravo a přidejte do seznamu další roboty.

Poté klikněte na tlačítko „Nasazení“ tlačítko, až skončíte.

Ruční blokování špatných robotů se však stalo nadbytečným, protože byl spuštěn Cloudflare „Režim boje s roboty“ pro všechny bezplatné uživatele.

a “Super Bot Fth Mode” pro uživatele plánů Pro nebo Business.

To znamená, že špatní roboti jsou nyní automaticky blokováni pro všechny typy uživatelů Cloudflare.

Blokujte útoky hrubou silou (wp-login.php)

Útoky hrubou silou, známé také jako wp-login útoky, jsou nejčastějšími útoky, na které jsou zaměřeny WordPress místa.

Ve skutečnosti, když se podíváte na protokoly vašeho serveru, pravděpodobně najdete důkazy o takových útocích ve formě IP adres z různých míst po celém světě, které se snaží získat přístup k vašemu souboru wp-login.php.

Naštěstí, Cloudflare vám umožňuje nastavit pravidlo brány firewall pro úspěšné blokování útoků hrubou silou.

Proč a jak chránit wp-login.php v Cloudflare

Ačkoli většina útoků hrubou silou jsou automatizovaná skenování, která nejsou dostatečně výkonná, aby prošla WordPress's obrany, je stále dobré nastavit pravidlo, které je zablokuje a uklidní svou mysl.

Nicméně, toto pravidlo funguje pouze v případě, že jste jediným správcem/uživatelem na svém webu. Pokud existuje více než jeden správce nebo pokud váš web používá plugin pro členství, měli byste toto pravidlo přeskočit.

Chcete-li vytvořit toto pravidlo, přejděte zpět na Zabezpečení > WAF > Vytvořit pravidlo brány firewall.

Po výběru názvu tohoto pravidla zadejte následující:

Pole: Cesta URI
Operátor: obsahuje
Hodnota: /wp-login.php

[Akce: Blokovat]

Případně můžete kliknout na „Upravit výraz“ a vložit níže uvedený text:

(http.request.uri.path contains "/wp-login.php")

Jakmile pravidlo nasadíte, Cloudflare začne blokovat všechny pokusy o přístup k wp-login, které pocházejí z jiného zdroje, než je vaše IP adresa na seznamu povolených.

Jako bonus navíc můžete ověřit, že je tato ochrana spuštěna, v sekci Události brány firewall na Cloudflare, kde byste měli být schopni vidět záznamy o všech pokusech o útoky hrubou silou.

Blokovat útoky XML-RPC (xmlrpc.php)

Dalším o něco méně častým (ale stále nebezpečným) typem útoku je an XML-RPC útok.

XML-RPC je vzdálené volání procedury WordPress, na které se útočníci mohou potenciálně zaměřit při útoku hrubou silou, aby získali ověřovací údaje.

Proč a jak blokovat XML-RPC v Cloudflare

Ačkoli existují legitimní použití pro XML-RPC, jako je odesílání obsahu na více WordPress blogy současně nebo přístup k vašim WordPress webu ze smartphonu, můžete toto pravidlo obecně nasadit bez obav z nezamýšlených následků.

Chcete-li blokovat útoky hrubou silou zaměřené na procedury XML-RPC, přejděte nejprve na Zabezpečení > WAF > Vytvořit pravidlo brány firewall.

Poté vytvořte následující pravidlo:

Pole: Cesta URI
Operátor: obsahuje
Hodnota: /xmlrpc.php

[Akce: Blokovat]

Případně můžete kliknout na „Upravit výraz“ a vložit níže uvedený text:

(http.request.uri.path contains "/xmlrpc.php")

A právě tak jste pomocí několika jednoduchých kroků ochránili své WordPress místo ze dvou nejběžnějších typů útoků hrubou silou.

Zabránit spamu v komentářích (wp-comments-post.php)

Pokud jste webmaster, spam na vašem webu je jen jednou z otravných skutečností života.

Naštěstí, Cloudflare Firewall nabízí několik pravidel, která můžete nasadit k blokování mnoha běžných typů spamuvčetně spamu v komentářích.

Proč a jak blokovat wp-comments-post.php v Cloudflare

Pokud se komentářový spam stal na vašem webu problémem (nebo ještě lépe, pokud chcete proaktivně zabránit tomu, aby se stal problémem), můžete omezit wp-comments-post.php a omezit provoz botů.

To se provádí na úrovni DNS pomocí Cloudflare JS výzva, a způsob, jakým to funguje, je poměrně jednoduchý: spamové komentáře jsou automatizované a automatizované zdroje nemohou zpracovat JS.

Pak neuspějí ve výzvě JS a voila – spam je blokován na úrovni DNS a požadavek se nikdy nedostane na váš server.

Jak tedy vytvoříte toto pravidlo?

Jako obvykle, přejděte na stránku Zabezpečení > WAF a vyberte „Vytvořit pravidlo brány firewall“.

Ujistěte se, že jste tomuto pravidlu dali rozpoznatelný název, například „Komentářový spam“.

Poté nastavte následující:

Pole: URI
Operátor: Rovná se
Hodnota: wp-comments-post.php

[A]

Pole: Metoda požadavku
Operátor: Rovná se
Hodnota: POST

[A]

Obor: Referent
Operátor: neobsahuje
Hodnota: [vasedomena.com]

[Akce: JS Challenge]

Buďte opatrní a nastavte akci na Výzva JS, protože to zajistí, že komentář bude zablokován, aniž by to narušilo obecné akce uživatelů na webu.

Jakmile zadáte tyto hodnoty, klikněte na „Nasadit“ pro vytvoření pravidla.

Zabalit: Jak si můžete zabezpečit své WordPress Web s pravidly Cloudflare Firewallu

V závodech ve zbrojení o zabezpečení webu jsou pravidla firewallu Cloudflare jednou z nejúčinnějších zbraní, které máte ve svém arzenálu.

I s bezplatným účtem Cloudflare můžete nasadit mnoho různých pravidel k ochraně svého WordPress proti některým z nejběžnějších hrozeb spamu a malwaru.

Pomocí několika (většinou) jednoduchých stisků kláves můžete zvýšit zabezpečení svých stránek a zajistit jeho hladký chod pro návštěvníky.

Pro více informací o vylepšení vašeho WordPress zabezpečení webu, podívejte se na můj průvodce převodem WordPress stránky do statického HTML.