So sichern Sie Ihre WordPress Website mit Cloudflare-Firewall-Regeln

Wenn Sie ein Webmaster sind, der einen Blog oder eine Website betreibt WordPress, ist die Web-Sicherheit wahrscheinlich eine Ihrer obersten Prioritäten. Solange Ihre Domain Cloudflare-fähig ist, können Sie das hinzufügen WordPress-spezifische Cloudflare-Firewallregeln um die Sicherheit Ihrer Website zu verbessern und sogar Angriffe zu verhindern, lange bevor sie Ihren Server erreichen.

Wenn Sie den kostenlosen Plan von Cloudflare verwenden, haben Sie die Möglichkeit, 5 Regeln hinzuzufügen (der Pro-Plan bietet Ihnen 20).

Cloudflare macht es einfach und schnell, Firewall-Regeln zu erstellen, und jede Regel bietet eine unglaubliche Flexibilität: Sie können mit jeder Regel nicht nur viel anfangen, sondern Regeln können oft auch konsolidiert werden, wodurch Sie Platz für noch mehr tun können.

In diesem Artikel werfe ich einen ausführlichen Blick auf einige der verschiedenen Firewall-Regeln, die Sie anwenden können, um Ihre zu ergänzen und zu verbessern WordPress vorhandenen Sicherheitsfunktionen der Website.

Zusammenfassung: So schützen Sie Ihre WordPress Website mit Cloudflare Firewall

Web Application Firewall (WAF) von Cloudflare ist ein Software-Tool, mit dem Sie Ihre schützen können WordPress Webseite.
Mit Cloudflare Firewall-Regeln können Sie Blacklist- oder Whitelist-Anfragen nach flexiblen Kriterien, die Sie festlegen.
Zu Erstellen Sie einen luftdichten Schutz für Ihre WordPress am Standort, mit Cloudflare können Sie: Ihre eigene IP-Adresse auf die Whitelist setzen, Ihren Admin-Bereich schützen, Besucher nach Region oder Land blockieren, böswillige Bots und Brute-Force-Angriffe blockieren, XML-RPC-Angriffe blockieren und Kommentar-Spam verhindern.

Whitelist Ihre eigene IP-Adresse

Um spätere Probleme zu vermeiden, Die IP-Adresse Ihrer eigenen Website auf die Whitelist zu setzen, sollte die erste Aufgabe auf Ihrer Liste sein Bevor Sie aktivieren alle Firewall-Regeln.

Warum und wie Sie Ihre IP-Adresse in Cloudflare auf die Whitelist setzen

Dies liegt hauptsächlich daran, dass Sie möglicherweise von Ihrer eigenen Website ausgeschlossen werden, wenn Sie sich dafür entscheiden, Ihre zu blockieren WordPress Admin-Bereich von anderen.

Um die IP-Adresse Ihrer Website auf die Whitelist zu setzen, gehen Sie zum Sicherheitsabschnitt Ihres Cloudflare-Dashboards und wählen Sie „WAF“. Klicken Sie dann auf „Tools“ und geben Sie Ihre IP-Adresse in das Feld „IP-Zugriffsregeln“ ein und wählen Sie „Whitelist“ aus dem Dropdown-Menü.

Um Ihre IP-Adresse zu finden, können Sie a Google suchen Sie nach „was ist meine IP“ und es wird Ihre IPv4-Adresse zurückgegeben, und wenn Sie Ihre IPv6 benötigen, können Sie zu gehen https://www.whatismyip.com/

Beachten Sie, dass Wenn sich Ihre IP-Adresse ändert, müssen Sie Ihre neue IP-Adresse erneut eingeben/auf die weiße Liste setzen, um zu vermeiden, dass Sie aus Ihrem Admin-Bereich ausgesperrt werden.

Zusätzlich zum Whitelisting der genauen IP-Adresse Ihrer Website Sie können auch Ihren gesamten IP-Bereich auf die Whitelist setzen.

Wenn Sie eine dynamische IP-Adresse haben (dh eine IP-Adresse, die so eingestellt ist, dass sie sich ständig leicht ändert), dann ist dies definitiv die bessere Wahl für Sie, da das ständige erneute Eingeben und Whitelisting neuer IP-Adressen ein großer Schmerz wäre.

Sie können uns auch Ihr gesamtes Land auf die Whitelist setzen.

Dies ist definitiv die am wenigsten sichere Option, da sie Ihren Admin-Bereich möglicherweise für Angriffe aus Ihrem Land offen lässt.

Aber, wenn Sie beruflich viel unterwegs sind und häufig auf Ihre zugreifen WordPress Website von verschiedenen Wi-Fi-Verbindungen zu erreichen, ist die Whitelisting Ihres Landes möglicherweise die bequemste Option für Sie.

Denken Sie daran, dass jede IP-Adresse oder jedes Land, das Sie auf die Whitelist gesetzt haben, von allen anderen Firewall-Regeln ausgenommen wird, und Sie sich daher keine Gedanken darüber machen müssen, für jede Regel einzelne Ausnahmen festzulegen.

Schützen WordPress Dashboard (der WP-Admin-Bereich)

Jetzt, da Sie Ihre IP-Adresse und/oder Ihr Land auf die Whitelist gesetzt haben, ist es an der Zeit um Ihr wp-admin-Dashboard fest zu sperren, sodass nur Sie darauf zugreifen können.

Warum und wie man die schützt WordPress Dashboard in Cloudflare

Natürlich möchten Sie nicht, dass unbekannte Außenstehende auf Ihren Admin-Bereich zugreifen und ohne Ihr Wissen oder Ihre Erlaubnis Änderungen vornehmen können.

Als solche, Sie müssen eine Firewall-Regel erstellen, die den Zugriff von außen auf Ihr Dashboard verhindert.

Aber, Bevor du sperrst deine WordPress Instrumententafel, Sie müssen zwei wichtige Ausnahmen machen.

/wp-admin/admin-ajax.php. Dieser Befehl ermöglicht es Ihrer Website, dynamische Inhalte anzuzeigen und muss daher von bestimmten Plugins von außen aufgerufen werden, um zu funktionieren. Obwohl es im Ordner /wp-admin/ gespeichert ist, muss es daher von außen zugänglich sein, wenn Sie nicht möchten, dass Ihre Website den Besuchern Fehlermeldungen anzeigt.
/wp-admin/theme-editor.php. Dieser Befehl aktiviert WordPress um jedes Mal eine Fehlerprüfung durchzuführen, wenn Sie das Design Ihrer Website ändern oder bearbeiten. Wenn Sie es versäumen, dies als Ausnahme hinzuzufügen, werden Ihre Änderungen nicht gespeichert und Sie erhalten eine Fehlermeldung, die lautet: „Rückmeldung mit der Site nicht möglich, um nach schwerwiegenden Fehlern zu suchen.“

Um eine Firewall-Regel zu erstellen, gehen Sie zunächst in Ihrem Cloudflare-Dashboard zu Sicherheit > WAF und klicken Sie dann auf die Schaltfläche „Firewall-Regel erstellen“.

Um diese Ausnahmen hinzuzufügen, wenn Sie Ihren wp-admin-Dashboard-Bereich schützen, müssen Sie diese Regel erstellen:

Feld: URI-Pfad
Betreiber: enthält
Wert: /wp-admin/

[UND]

Feld: URI-Pfad
Operator: enthält nicht
Wert: /wp-admin/admin-ajax.php

[UND]

Feld: URI-Pfad
Operator: enthält nicht
Wert: /wp-admin/theme-editor.php

[Aktion: Sperren]

Wenn Sie fertig sind, klicken Sie auf "Bereitstellen" um Ihre Firewall-Regel festzulegen.

Alternativ können Sie auf „Ausdruck bearbeiten“ klicken und Folgendes einfügen in:

(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")

Länder/Kontinente blockieren

Genauso wie Sie ein Land auf die Whitelist setzen können, um auf Ihr Admin-Dashboard zuzugreifen.

Sie können uns auch Richten Sie eine Firewall-Regel ein, um Länder und sogar ganze Kontinente von der Anzeige oder dem Zugriff auf Ihre Website auf die schwarze Liste zu setzen.

Warum und wie Länder/Kontinente in Cloudflare blockiert werden

Warum möchten Sie möglicherweise den Zugriff auf Ihre Website für ein ganzes Land oder einen ganzen Kontinent sperren?

Nun, wenn Ihre Website ein bestimmtes Land oder eine bestimmte geografische Region bedient und nicht global relevant ist, dann Das Blockieren des Zugriffs aus irrelevanten Ländern und/oder Kontinenten ist eine einfache Möglichkeit, das Risiko von Malware-Angriffen und böswilligem Datenverkehr aus dem Ausland zu begrenzen, ohne jemals den Zugriff auf die legitime Zielgruppe Ihrer Website zu blockieren.

Um diese Regel zu erstellen, müssen Sie erneut Ihr Cloudflare-Dashboard öffnen und zu gehen Sicherheit > WAF > Firewall-Regel erstellen.

Geben Sie Folgendes ein, um die Einstellungen so zu ändern, dass nur bestimmte Länder zugelassen werden:

Feld: Land oder Kontinent
Betreiber: „Ist in“
Wert: Wählen Sie die gewünschten Länder oder Kontinente aus Whitelist

(Hinweis: Wenn Sie den Datenverkehr nur aus einem Land zulassen möchten, können Sie als Operator „gleich“ eingeben.)

Wenn Sie stattdessen bestimmte Länder oder Kontinente blockieren möchten, geben Sie Folgendes ein:

Feld: Land oder Kontinent
Operator: „Ist nicht drin“
Wert: Wählen Sie die gewünschten Länder oder Kontinente aus Schutzmassnahmen bei

Hinweis: Diese Regel kann nach hinten losgehen, wenn Sie technischen Support benötigen und sich das Support-Team Ihres Webhosts in einem Land oder Kontinent befindet, das Sie blockiert haben.

Dies wird wahrscheinlich für die meisten Menschen kein Problem sein, aber es ist etwas, dessen Sie sich bewusst sein sollten.

Hier ist ein Beispiel dafür, wie Sie den Zugriff auf Ihre Website aus einem bestimmten Land verweigern, wobei Benutzern aus diesem Land ein angezeigt wird JavaScript-Challenge bevor Sie versuchen, auf Ihre Website zuzugreifen.

Blockieren Sie bösartige Bots

Basierend auf ihrem Benutzeragenten, Mit Cloudflare können Sie den Zugriff böswilliger Bots blockieren, die versuchen, in Ihre Website einzudringen.

Wenn Sie bereits 7G verwenden, müssen Sie sich keine Gedanken über das Festlegen dieser Regel machen: Die 7G-WAF blockiert Bedrohungen auf Serverebene, indem sie auf eine umfassende Liste bösartiger Bots verweist.

Wenn Sie jedoch kein 7G verwenden, Sie sollten eine Firewall-Regel konfigurieren, die schädliche Bots identifiziert und blockiert, bevor sie Schaden anrichten können.

Warum und wie man schädliche Bots in Cloudflare blockiert

Gehen Sie wie gewohnt zuerst zu Ihrem Cloudflare-Dashboard und gehen Sie zu Sicherheit > WAF > Firewall-Regel erstellen.

Legen Sie dann Ihren Firewall-Regelausdruck wie folgt fest:

Feld: Benutzeragent
Operator: „Gleich“ oder „Enthält“
Wert: Der Name des bösartigen Bots oder bösartigen Agenten, den Sie blockieren möchten

Genau wie bei blockierenden Ländern können Bots einzeln nach Namen blockiert werden. Um mehr als einen Bot gleichzeitig zu blockieren, verwenden Sie die Option „ODER“ auf der rechten Seite, um weitere Bots zur Liste hinzuzufügen.

Klicken Sie dann auf "Bereitstellen" Taste, wenn Sie fertig sind.

Das manuelle Blockieren bösartiger Bots ist jedoch überflüssig geworden, seit Cloudflare gestartet wurde „Bot-Kampfmodus“ für alle kostenlosen Benutzer.

und „Super-Bot-Kampfmodus“ für Benutzer des Pro- oder Business-Plans.

Das bedeutet, dass bösartige Bots jetzt automatisch für alle Arten von Cloudflare-Benutzern blockiert werden.

Brute-Force-Angriffe blockieren (wp-login.php)

Brute-Force-Angriffe, auch bekannt als wp-Login-Angriffe, sind die am häufigsten angestrebten Angriffe WordPress Standorte.

Wenn Sie sich Ihre Serverprotokolle ansehen, werden Sie wahrscheinlich Beweise für solche Angriffe in Form von IP-Adressen von verschiedenen Standorten auf der ganzen Welt finden, die versuchen, auf Ihre wp-login.php-Datei zuzugreifen.

Glücklicherweise Mit Cloudflare können Sie eine Firewall-Regel festlegen, um Brute-Force-Angriffe erfolgreich zu blockieren.

Warum und wie man wp-login.php in Cloudflare schützt

Obwohl die meisten Brute-Force-Angriffe automatisierte Scans sind, die nicht stark genug sind, um durchzukommen WordPress, ist es dennoch eine gute Idee, eine Regel festzulegen, um sie zu blockieren und sich zu beruhigen.

Aber, Diese Regel funktioniert nur, wenn Sie der einzige Administrator/Benutzer auf Ihrer Website sind. Wenn es mehr als einen Administrator gibt oder Ihre Website ein Mitgliedschafts-Plugin verwendet, sollten Sie diese Regel überspringen.

Um diese Regel zu erstellen, gehen Sie zurück zu Sicherheit > WAF > Firewall-Regel erstellen.

Nachdem Sie einen Namen für diese Regel ausgewählt haben, geben Sie Folgendes ein:

Feld: URI-Pfad
Betreiber: enthält
Wert: /wp-login.php

[Aktion: Sperren]

Alternativ können Sie auf „Ausdruck bearbeiten“ klicken und Folgendes einfügen in:

(http.request.uri.path contains "/wp-login.php")

Sobald Sie die Regel bereitgestellt haben, Cloudflare beginnt, alle Zugriffsversuche auf wp-login zu blockieren, die von einer anderen Quelle als Ihrer Whitelist-IP stammen.

Als zusätzlichen Bonus, Sie können überprüfen, ob dieser Schutz aktiv ist, indem Sie im Abschnitt „Firewall-Ereignisse“ von Cloudflare nachsehen. wo Sie in der Lage sein sollten, eine Aufzeichnung aller versuchten Brute-Force-Angriffe zu sehen.

XML-RPC-Angriffe blockieren (xmlrpc.php)

Eine andere, etwas seltenere (aber immer noch gefährliche) Angriffsart ist eine XML-RPC-Angriff.

XML-RPC ist eine entfernte Prozedur, die aufruft WordPress, auf die Angreifer bei einem Brute-Force-Angriff möglicherweise abzielen können, um Authentifizierungsdaten zu erhalten.

Warum und wie man XML-RPC in Cloudflare blockiert

Obwohl es legitime Verwendungen für XML-RPC gibt, wie z. B. das Posten von Inhalten an mehrere WordPress Blogs gleichzeitig oder Zugriff auf Ihre WordPress Website von einem Smartphone aus, können Sie diese Regel im Allgemeinen anwenden, ohne sich Gedanken über unbeabsichtigte Folgen machen zu müssen.

Um Brute-Force-Angriffe auf XML-RPC-Prozeduren zu blockieren, gehen Sie zuerst zu Sicherheit > WAF > Firewall-Regel erstellen.

Erstellen Sie dann die folgende Regel:

Feld: URI-Pfad
Betreiber: enthält
Wert: /xmlrpc.php

[Aktion: Sperren]

Alternativ können Sie auf „Ausdruck bearbeiten“ klicken und Folgendes einfügen in:

(http.request.uri.path contains "/xmlrpc.php")

Und schon haben Sie mit wenigen Handgriffen Ihre WordPress Website von zwei der häufigsten Arten von Brute-Force-Angriffen.

Kommentar-Spam verhindern (wp-comments-post.php)

Wenn Sie ein Webmaster sind, ist Spam auf Ihrer Website nur eine der lästigen Tatsachen des Lebens.

Glücklicherweise Cloudflare Firewall bietet mehrere Regeln, die Sie bereitstellen können, um viele gängige Arten von Spam zu blockieren, einschließlich Kommentar-Spam.

Warum und wie man wp-comments-post.php in Cloudflare blockiert

Wenn Kommentar-Spam zu einem Problem auf Ihrer Website geworden ist (oder noch besser, wenn Sie proaktiv verhindern möchten, dass es zu einem Problem wird), können Sie wp-comments-post.php einschränken, um den Bot-Verkehr einzuschränken.

Dies geschieht auf DNS-Ebene mit einem Cloudflare JS-Herausforderung, und die Funktionsweise ist relativ einfach: Spam-Kommentare werden automatisiert, und automatisierte Quellen können JS nicht verarbeiten.

Sie scheitern dann an der JS-Herausforderung und voila – Der Spam wird auf DNS-Ebene blockiert und die Anfrage erreicht nicht einmal Ihren Server.

Also, wie erstellen Sie diese Regel?

Wie üblich, Gehen Sie zur Seite Sicherheit > WAF und wählen Sie „Firewall-Regel erstellen“.

Stellen Sie sicher, dass Sie dieser Regel einen erkennbaren Namen geben, z. B. „Kommentar-Spam“.

Stellen Sie dann Folgendes ein:

Feld: URI
Operator: Gleich
Wert: wp-comments-post.php

[UND]

Feld: Anfragemethode
Operator: Gleich
Wert: POST

[UND]

Feld: Referer
Operator: enthält nicht
Wert: [ihredomain.com]

[Aktion: JS-Challenge]

Achten Sie darauf, die Aktion auf einzustellen JS-Herausforderung, da dadurch sichergestellt wird, dass der Kommentar blockiert wird, ohne die allgemeinen Benutzeraktionen auf der Website zu beeinträchtigen.

Nachdem Sie diese Werte eingegeben haben, Klicken Sie auf „Bereitstellen“, um Ihre Regel zu erstellen.

Zusammenfassung: So können Sie sich sichern WordPress Site mit Cloudflare-Firewall-Regeln

Im Wettrüsten um die Web-Sicherheit sind Cloudflare-Firewall-Regeln eine der effektivsten Waffen, die Sie in Ihrem Arsenal haben.

Selbst mit einem kostenlosen Cloudflare-Konto können Sie viele verschiedene Regeln zum Schutz Ihrer Daten bereitstellen WordPress Website gegen einige der häufigsten Spam- und Malware-Bedrohungen.

Mit nur wenigen (meistens) einfachen Tastenanschlägen können Sie die Sicherheit Ihrer Website erhöhen und sorgen für einen reibungslosen Ablauf für die Besucher.

Weitere Informationen zur Verbesserung Ihrer WordPress Website-Sicherheit, sehen Sie sich meine an Anleitung zum Konvertieren WordPress Websites zu statischem HTML.