Nëse jeni një webmaster që drejton një blog ose faqe interneti WordPress, shanset janë që siguria në ueb është një nga prioritetet tuaja kryesore. Për sa kohë që domeni juaj është i aktivizuar nga Cloudflare, ju mundeni shtoj WordPress-rregulla specifike të murit të zjarrit të Cloudflare për të përmirësuar sigurinë e faqes suaj dhe madje për të parandaluar sulmet shumë kohë përpara se të arrijnë në serverin tuaj.
Nëse jeni duke përdorur planin falas të Cloudflare, ju keni mundësinë të shtoni 5 rregulla (plani pro ju jep 20).
Cloudflare e bën të lehtë dhe të shpejtë krijimin e rregullave të murit të zjarrit, dhe secili rregull ofron fleksibilitet të jashtëzakonshëm: jo vetëm që mund të bëni shumë me çdo rregull, por rregullat shpesh mund të konsolidohen, duke ju liruar hapësirë për të bërë edhe më shumë.
Në këtë artikull, unë do të hedh një vështrim të thellë në disa nga rregullat e ndryshme të murit të zjarrit që mund të aplikoni për të plotësuar dhe përmirësuar WordPress karakteristikat ekzistuese të sigurisë së faqes.
Përmbledhje: Si ta mbroni veten tuaj WordPress faqe interneti me Cloudflare Firewall
- Firewall i aplikacionit në ueb të Cloudflare (WAF) është një mjet softuerik që ju lejon të mbroni tuajin WordPress website.
- Rregullat e Cloudflare Firewall ju lejojnë kërkesat e listës së zezë ose të listës së bardhë sipas kritereve fleksibël që ju vendosni.
- në krijoni mbrojtje hermetike për tuajin WordPress faqe, me Cloudflare mund të: listoni adresën tuaj IP në listën e bardhë, të mbroni zonën tuaj të administratorit, të bllokoni vizitorët sipas rajonit ose vendit, të bllokoni robotët keqdashës dhe sulmet me forcë brutale, të bllokoni sulmet XML-RPC dhe të parandaloni postimet e padëshiruara të komenteve.
Lista e bardhë Adresa juaj IP
Për të shmangur problemet në rrugë, vendosja në listën e bardhë të adresës IP të faqes suaj të internetit duhet të jetë detyra e parë në listën tuaj para ju aktivizoni çdo rregull të murit të zjarrit.
Pse dhe si të vendosni adresën tuaj IP në listën e bardhë në Cloudflare
Kjo është kryesisht për shkak se ju mund ta gjeni veten të mbyllur nga uebfaqja juaj nëse vendosni të bllokoni faqen tuaj WordPress zona e administrimit nga të tjerët.
Për të listës së bardhë adresën IP të faqes suaj të internetit, shkoni te seksioni i Sigurisë së panelit të kontrollit Cloudflare dhe zgjidhni "WAF". Pastaj klikoni në "Mjetet" dhe futni adresën tuaj IP në kutinë "Rregullat e hyrjes në IP" dhe zgjidhni "listën e bardhë" nga menyja rënëse.
Për të gjetur adresën tuaj IP, mund të bëni një Google kërkoni për "çfarë është IP-ja ime" dhe ajo do të kthejë adresën tuaj IPv4, dhe nëse keni nevojë për IPv6 tuaj, mund të shkoni te https://www.whatismyip.com/
Mos harroni se nëse adresa juaj IP ndryshon, do t'ju duhet të rifusni/listën e bardhë adresën tuaj të re IP për të shmangur bllokimin nga zona juaj e administratorit.
Përveç renditjes së bardhë të adresës së saktë IP të faqes suaj, ju gjithashtu mund të zgjidhni të vendosni të gjithë gamën tuaj të IP-së në listën e bardhë.
Nëse keni një adresë IP dinamike (d.m.th., një adresë IP që është vendosur të ndryshojë vazhdimisht pak), atëherë kjo është padyshim zgjidhja më e mirë për ju, pasi rifutja e vazhdueshme dhe vendosja e adresave të reja IP në listën e bardhë do të ishte një dhimbje e madhe.
Ju gjithashtu mund të në listën e bardhë të gjithë vendin tuaj.
Ky është padyshim opsioni më pak i sigurt pasi që potencialisht e lë zonën tuaj të administratorit të hapur ndaj sulmeve që vijnë nga brenda vendit tuaj.
Megjithatë, nëse udhëtoni shumë për punë dhe shpesh e gjeni veten duke iu qasur WordPress faqe nga lidhje të ndryshme Wi-Fi, vendosja në listën e bardhë të vendit tuaj mund të jetë opsioni më i përshtatshëm për ju.
Mbani në mend se çdo adresë IP ose shtet që keni vendosur në listën e bardhë do të përjashtohet nga të gjitha rregullat e tjera të murit të zjarrit, dhe kështu nuk duhet të shqetësoheni për vendosjen e përjashtimeve individuale me secilin rregull.
Protect WordPress Paneli i kontrollit (zona e administratorit të WP)
Tani që keni vendosur adresën tuaj IP dhe/ose shtetin në listën e bardhë, është koha për të kyçur fort pultin tuaj wp-admin, në mënyrë që vetëm ju të mund ta përdorni atë.
Pse dhe si të mbroni WordPress Paneli në Cloudflare
Është e vetëkuptueshme që ju nuk dëshironi që të huajt e panjohur të kenë mundësi të hyjnë në zonën tuaj të administratorit dhe të bëjnë ndryshime pa dijeninë ose lejen tuaj.
Si i tillë, do t'ju duhet të bëni një rregull të murit të zjarrit që parandalon hyrjen e jashtme në panelin tuaj.
Megjithatë, para ju mbyllni tuajin WordPress pult, do të duhet të bëni dy përjashtime të rëndësishme.
- /wp-admin/admin-ajax.php. Kjo komandë lejon faqen tuaj të internetit të shfaqë përmbajtje dinamike dhe kështu duhet të aksesohet nga jashtë me shtojca të caktuara në mënyrë që të funksionojë. Si i tillë, edhe pse është i ruajtur në dosjen /wp-admin/, kjo duhet të jetë e aksesueshme nga jashtë nëse nuk dëshironi që faqja juaj e internetit të shfaqë mesazhe gabimi për vizitorët.
- /wp-admin/theme-editor.php. Kjo komandë mundëson WordPress për të kryer një kontroll gabimi sa herë që ndryshoni ose modifikoni temën e faqes tuaj. Nëse neglizhoni ta shtoni këtë si përjashtim, ndryshimet tuaja nuk do të ruhen dhe do të merrni një mesazh gabimi që thotë, "Nuk mund të komunikoj përsëri me sajtin për të kontrolluar për gabime fatale".
Për të krijuar një rregull të murit të zjarrit, fillimisht shkoni te Siguria > WAF në pultin tuaj të Cloudflare, më pas klikoni në butonin "Krijo rregullin e murit të zjarrit".
Për të shtuar këto përjashtime kur mbroni zonën tuaj të panelit të kontrollit wp-admin, do t'ju duhet të krijoni këtë rregull:
- Fusha: shtegu URI
- Operatori: përmban
- Vlera: /wp-admin/
[DHE]
- Fusha: shtegu URI
- Operatori: nuk përmban
- Vlera: /wp-admin/admin-ajax.php
[DHE]
- Fusha: shtegu URI
- Operatori: nuk përmban
- Vlera: /wp-admin/theme-editor.php
[Veprim: Blloko]
Kur të keni mbaruar, klikoni "Zhvendosja" për të vendosur rregullin tuaj të murit të zjarrit.
Përndryshe, mund të klikoni në "Ndrysho shprehjen" dhe ngjisni më poshtë në:
(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")
Blloko shtetet/kontinentet
Ashtu si ju mund të lista e bardhë një shtet për të hyrë në panelin tuaj të administratorit.
Ju gjithashtu mund të vendosni një rregull të murit të zjarrit në listën e zezë të vendeve dhe madje edhe të kontinenteve të tëra nga shikimi ose qasja në faqen tuaj.
Pse dhe si të bllokoni vendet / kontinentet në Cloudflare
Pse mund të dëshironi të bllokoni një vend ose kontinent të tërë nga qasja në faqen tuaj?
Epo, nëse faqja juaj e internetit po i shërben një vendi ose rajoni të caktuar gjeografik dhe nuk është globalisht i rëndësishëm, atëherë bllokimi i aksesit nga vende dhe/ose kontinente të parëndësishme është një mënyrë e thjeshtë për të kufizuar rrezikun e sulmeve malware dhe trafikut keqdashës që vjen nga jashtë, pa bllokuar asnjëherë aksesin në audiencën e synuar legjitime të faqes suaj të internetit.
Për të krijuar këtë rregull, do t'ju duhet edhe një herë të hapni pultin tuaj të Cloudflare dhe të shkoni te Siguria > WAF > Krijo rregullin e murit të zjarrit.
Për të ndryshuar cilësimet për të lejuar vetëm vende specifike, shkruani sa vijon:
- Fusha: Vendi ose Kontinenti
- Operatori: "Është brenda"
- Vlera: Zgjidhni vendet ose kontinentet që dëshironi lista e bardhë
(Shënim: nëse dëshironi të lejoni trafikun vetëm nga një vend, mund të futni "e barabartë" si operator.)
Nëse në vend të kësaj zgjidhni të bllokoni vende ose kontinente specifike, shkruani sa vijon:
- Fusha: Vendi ose Kontinenti
- Operatori: "Nuk është brenda"
- Vlera: Zgjidhni vendet ose kontinentet që dëshironi bllok
Shënim: ky rregull mund të dështojë nëse keni nevojë për mbështetje teknike dhe ekipi mbështetës i hostit tuaj të internetit ndodhet në një vend ose kontinent që ju e keni bllokuar.
Kjo ka të ngjarë të mos jetë problem për shumicën e njerëzve, por është diçka për të cilën duhet të jeni të vetëdijshëm.
Ja një shembull se si mohohet aksesi në faqen tuaj nga një vend i caktuar, ku përdoruesit nga ky shtet tregohen a Sfida JavaScript përpara se të përpiqeni të hyni në faqen tuaj.
Blloko robotët me qëllim të keq
Bazuar në agjentin e tyre të përdoruesit, Cloudflare ju mundëson të bllokoni aksesin në robotët me qëllim të keq që përpiqen të depërtojnë në faqen tuaj.
Nëse jeni duke përdorur tashmë 7G, atëherë nuk duhet të shqetësoheni për vendosjen e këtij rregulli: 7G WAF bllokon kërcënimet në nivelin e serverit duke iu referuar një liste gjithëpërfshirëse të robotëve me qëllim të keq.
Megjithatë, nëse nuk jeni duke përdorur 7G, do të dëshironi të konfiguroni një rregull të murit të zjarrit që identifikon dhe bllokon robotët e këqij përpara se të shkaktojnë ndonjë dëm.
Pse dhe si të bllokoni robotët e këqij në Cloudflare
Si zakonisht, fillimisht shkoni te pulti juaj i Cloudflare dhe shkoni te Siguria > WAF > Krijo rregullin e murit të zjarrit.
Pastaj, vendosni shprehjen tuaj të rregullit të murit të zjarrit si të tillë:
- Fusha: Agjenti i përdoruesit
- Operatori: "E barabartë" ose "Përmban"
- Vlera: emri i robotit të keq ose agjentit keqdashës që dëshironi të bllokoni
Ashtu si me vendet bllokuese, robotët mund të bllokohen individualisht me emër. Për të bllokuar më shumë se një bot në të njëjtën kohë, përdorni opsionin "OR" në të djathtë për të shtuar bote shtesë në listë.
Pastaj klikoni "Zhvendosja" butoni kur të keni mbaruar.
Sidoqoftë, bllokimi manual i robotëve të këqij është bërë i tepërt sepse Cloudflare është nisur "Modaliteti i luftës me bot" për të gjithë përdoruesit falas.
"Modaliteti i luftës së super robotit" për përdoruesit e planit Pro ose Biznes.
Do të thotë që robotët e këqij tani po bllokohen automatikisht për të gjitha llojet e përdoruesve të Cloudflare.
Blloko sulmet e forcës brutale (wp-login.php)
Sulmet me forcë brutale, të njohura gjithashtu si sulme wp-login, janë sulmet më të zakonshme që synohen WordPress faqet.
Në fakt, nëse shikoni regjistrat e serverit tuaj, ka të ngjarë të gjeni prova të sulmeve të tilla në formën e adresave IP nga vende të ndryshme anembanë globit duke u përpjekur të hyni në skedarin tuaj wp-login.php.
Për fat të mirë, Cloudflare ju lejon të vendosni një rregull të murit të zjarrit për të bllokuar me sukses sulmet me forcë brutale.
Pse dhe Si të mbroni wp-login.php në Cloudflare
Edhe pse shumica e sulmeve me forcë brutale janë skanime të automatizuara që nuk janë aq të fuqishme sa të kalojnë WordPressMbrojtjet e tij, është ende një ide e mirë të vendosni një rregull për t'i bllokuar ato dhe për të qetësuar mendjen tuaj.
Megjithatë, ky rregull funksionon vetëm nëse jeni administratori/përdoruesi i vetëm në faqen tuaj. Nëse ka më shumë se një administrator, ose nëse faqja juaj përdor një shtojcë anëtarësimi, atëherë duhet ta kapërceni këtë rregull.
Për të krijuar këtë rregull, kthehuni te Siguria > WAF > Krijo rregullin e murit të zjarrit.
Pasi të keni zgjedhur një emër për këtë rregull, shkruani sa vijon:
- Fusha: shtegu URI
- Operatori: përmban
- Vlera: /wp-login.php
[Veprim: Blloko]
Përndryshe, mund të klikoni në "Ndrysho shprehjen" dhe ngjisni më poshtë në:
(http.request.uri.path contains "/wp-login.php")Pasi të vendosni rregullin, Cloudflare do të fillojë të bllokojë të gjitha përpjekjet për të hyrë në wp-login që vijnë nga çdo burim tjetër përveç IP-së tuaj të listës së bardhë.
Si një bonus i shtuar, mund të verifikoni që kjo mbrojtje është në funksion dhe funksionon duke parë në seksionin e Ngjarjeve të Firewall-it të Cloudflare, ku duhet të jeni në gjendje të shihni një regjistrim të çdo sulmi të tentuar me forcë brutale.
Blloko sulmet XML-RPC (xmlrpc.php)
Një tjetër lloj sulmi pak më pak i zakonshëm (por ende i rrezikshëm) është një Sulmi XML-RPC.
XML-RPC është një procedurë në distancë që thërret WordPress, të cilin sulmuesit potencialisht mund t'i synojnë në një sulm me forcë brutale për të marrë kredencialet e vërtetimit.
Pse dhe si të bllokoni XML-RPC në Cloudflare
Edhe pse ka përdorime legjitime për XML-RPC, të tilla si postimi i përmbajtjes në shumëfish WordPress blogs në të njëjtën kohë ose duke hyrë në tuaj WordPress faqe nga një smartphone, në përgjithësi mund ta zbatoni këtë rregull pa u shqetësuar për pasojat e padëshiruara.
Për të bllokuar sulmet me forcë brutale që synojnë procedurat XML-RPC, fillimisht shkoni te Siguria > WAF > Krijo rregullin e murit të zjarrit.
Pastaj krijoni rregullin e mëposhtëm:
- Fusha: shtegu URI
- Operatori: përmban
- Vlera: /xmlrpc.php
[Veprim: Blloko]
Përndryshe, mund të klikoni në "Ndrysho shprehjen" dhe ngjisni më poshtë në:
(http.request.uri.path contains "/xmlrpc.php")Dhe pikërisht kështu, me vetëm disa hapa të thjeshtë, ju keni mbrojtur tuajin WordPress vend nga dy nga llojet më të zakonshme të sulmeve me forcë brutale.
Parandalimi i postës së padëshiruar të komenteve (wp-comments-post.php)
Nëse jeni një webmaster, posta e padëshiruar në faqen tuaj është vetëm një nga faktet e bezdisshme të jetës.
Për fat të mirë, Cloudflare Firewall ofron disa rregulla që mund të vendosni për të bllokuar shumë lloje të zakonshme të spamit, duke përfshirë komentet e padëshiruara.
Pse dhe si të bllokoni wp-comments-post.php në Cloudflare
Nëse komentet e padëshiruara janë bërë problem në faqen tuaj (ose, më mirë akoma, nëse doni ta parandaloni në mënyrë proaktive që të bëhet problem), mund të kufizoni wp-comments-post.php për të kufizuar trafikun e boteve.
Kjo bëhet në nivelin DNS me një Cloudflare Sfida JS, dhe mënyra se si funksionon është relativisht e thjeshtë: komentet e padëshiruara janë të automatizuara dhe burimet e automatizuara nuk mund të përpunojnë JS.
Ata pastaj dështojnë sfidën e JS, dhe voila - spami është i bllokuar në nivelin DNS dhe kërkesa nuk arrin asnjëherë në serverin tuaj.
Pra, si e krijoni këtë rregull?
Si zakonisht, shkoni te faqja Siguria > WAF dhe zgjidhni "Krijo rregullin e murit të zjarrit".
Sigurohuni që t'i jepni këtij rregulli një emër të njohur, si p.sh. "Komentet e padëshiruara".
Pastaj, vendosni sa vijon:
- Fusha: URI
- Operatori: I barabartë
- Vlera: wp-comments-post.php
[DHE]
- Fusha: Metoda e Kërkesës
- Operatori: I barabartë
- Vlera: POST
[DHE]
- Fusha: Referues
- Operatori: nuk përmban
- Vlera: [yourdomain.com]
[Veprim: Sfida JS]
Kini kujdes të vendosni veprimin në Sfida JS, pasi kjo do të sigurojë që komenti të bllokohet pa ndërhyrë në veprimet e përgjithshme të përdoruesit në sajt.
Pasi të keni futur këto vlera, klikoni në "Deploy" për të krijuar rregullin tuaj.
Përfundoni: Si mund ta siguroni tuajën WordPress Faqe me Rregullat e Firewallit të Cloudflare
Në garën e armëve të sigurisë në internet, rregullat e murit të zjarrit të Cloudflare janë një nga armët më efektive që keni në arsenalin tuaj.
Edhe me një llogari falas në Cloudflare, mund të vendosni shumë rregulla të ndryshme për të mbrojtur tuajën WordPress faqe kundër disa prej kërcënimeve më të zakonshme të spamit dhe malware.
Me vetëm disa (kryesisht) shtypje të thjeshta të tasteve, ju mund të rrisni sigurinë e faqes suaj mbajeni të funksionojë pa probleme për vizitorët.
Për më shumë për përmirësimin tuaj WordPress siguria e faqes, shikoni timin udhëzues për konvertimin WordPress faqet në HTML statike.
Referencat
https://developers.cloudflare.com/firewall/
https://developers.cloudflare.com/fundamentals/get-started/concepts/cloudflare-challenges/
https://www.websiterating.com/web-hosting/glossary/what-is-cloudflare/
