Kumaha Ngamankeun Anjeun WordPress Situs Jeung Aturan Cloudflare firewall

Upami anjeun webmaster ngajalankeun blog atanapi halaman wéb WordPress, Chances kaamanan web mangrupakeun salah sahiji prioritas luhur anjeun. Salami domain anjeun diaktipkeun Cloudflare, anjeun tiasa nambah WordPress-aturan firewall Cloudflare husus pikeun ngaronjatkeun kaamanan situs anjeun sarta malah nyegah serangan lila saméméh maranéhna nyieun ka server anjeun.

Upami anjeun nganggo rencana gratis Cloudflare, anjeun gaduh kamampuan pikeun nambihan 5 aturan (rencana pro masihan anjeun 20).

Cloudflare ngagampangkeun sareng gancang nyiptakeun aturan firewall, sareng unggal aturan nawiskeun kalenturan anu saé: teu ukur anjeun tiasa ngalakukeun loba kalawan unggal aturan, tapi aturan mindeng bisa jadi beuki kuat, freeing spasi pikeun anjeun ngalakukeun malah leuwih.

Dina tulisan ieu, kuring bakal ningali langkung jero sababaraha aturan firewall anu béda anu anjeun tiasa nerapkeun pikeun ngalengkepan sareng ningkatkeun. WordPress fitur kaamanan situs urang aya.

Ringkesan: Kumaha ngajaga anjeun WordPress ramatloka kalawan Cloudflare firewall

Firewall Aplikasi Wéb Cloudflare (WAF) mangrupakeun alat software nu ngidinan Anjeun pikeun ngajaga anjeun WordPress website.
Cloudflare Firewall Aturan ngidinan Anjeun blacklist atanapi whitelist requests nurutkeun kriteria fléksibel nu geus disetel.
ka nyieun panyalindungan airtight pikeun anjeun WordPress situs, kalawan Cloudflare anjeun tiasa: whitelist alamat IP anjeun sorangan, ngajaga wewengkon admin anjeun, meungpeuk datang dumasar wewengkon atawa nagara, meungpeuk bot jahat jeung serangan brute force, meungpeuk serangan XML-RPC, sarta nyegah spam comment.

Whitelist Alamat IP Anjeun Sorangan

Pikeun ngahindarkeun masalah di jalan, whitelisting alamat IP ramatloka anjeun sorangan kudu tugas munggaran dina daptar Anjeun saencan Anjeun ngaktipkeun sagala aturan firewall.

Naha sareng Kumaha Whitelist Alamat IP anjeun dina Cloudflare

Ieu utamina kusabab anjeun tiasa mendakan diri anjeun dikonci tina halaman wéb anjeun nyalira upami anjeun milih pikeun meungpeuk anjeun WordPress wewengkon admin ti batur.

Pikeun daptar bodas alamat IP halaman wéb anjeun, angkat ka bagian Kaamanan dasbor Cloudflare anjeun sareng pilih "WAF." Teras klik "Alat" sareng lebetkeun alamat IP anjeun kana kotak "Aturan Aksés IP", sareng pilih "Daptar bodas" tina ménu turun-handap.

Pikeun milarian alamat IP anjeun anjeun tiasa ngalakukeun a Google milarian "naon IP kuring" sareng éta bakal ngabalikeun alamat IPv4 anjeun, sareng upami anjeun peryogi IPv6 anjeun, anjeun tiasa angkat ka https://www.whatismyip.com/

Inget yen upami alamat IP anjeun robih, anjeun kedah ngalebetkeun deui/ngabodaskeun alamat IP énggal anjeun pikeun nyegah dikonci kaluar tina daérah admin anjeun.

Salian mangrupa whitelisting alamat IP pasti situs anjeun, Anjeun oge bisa milih pikeun whitelist sakabéh rentang IP Anjeun.

Upami anjeun gaduh alamat IP dinamis (nyaéta, alamat IP anu disetél pikeun terus-terusan robih), maka ieu mangrupikeun pilihan anu langkung saé pikeun anjeun, sabab terus-terusan ngasupkeun deui sareng whitelisting alamat IP anyar bakal janten nyeri utama.

Anjeun oge bisa whitelist sakabeh nagara anjeun.

Ieu pasti pilihan anu paling aman sabab éta berpotensi ngantepkeun daérah admin anjeun kabuka pikeun serangan anu datang ti jero nagara anjeun.

Najan kitu, lamun anjeun ngarambat pisan pikeun digawé sarta mindeng manggihan diri ngakses Anjeun WordPress situs ti sambungan Wi-Fi béda, whitelisting nagara anjeun bisa jadi pilihan nu pangmerenahna pikeun anjeun.

Émut yén alamat IP atanapi nagara naon waé anu anjeun daptar bodas bakal dibebaskeun tina sadaya aturan firewall anu sanés, sahingga anjeun henteu kedah hariwang ngeunaan netepkeun pengecualian individu pikeun tiap aturan.

ngalindungan WordPress Dasbor (WP-Admin Wewengkon)

Ayeuna anjeun parantos ngabodaskeun alamat IP sareng/atawa nagara anjeun, waktosna pikeun ngonci dasbor wp-admin anjeun pageuh supados ngan ukur anjeun tiasa ngaksésna.

Naha jeung Kumaha Ngajaga WordPress Dashboard di Cloudflare

Éta henteu kedah nyarios yén anjeun henteu hoyong jalma luar anu teu dipikanyaho tiasa ngaksés daérah admin anjeun sareng ngadamel parobihan tanpa kanyaho atanapi idin anjeun.

Sapertos kitu, Anjeun kedah ngadamel aturan firewall anu nyegah aksés luar kana dasbor anjeun.

Najan kitu, saencan anjeun konci handap Anjeun WordPress dasbor, anjeun kedah ngadamel dua pengecualian penting.

/wp-admin/admin-ajax.php. Paréntah ieu ngamungkinkeun halaman wéb anjeun pikeun nampilkeun eusi dinamis sahingga kedah diaksés ti luar ku plugins tangtu supados tiasa dianggo. Sapertos kitu, sanaos disimpen dina polder /wp-admin/, ieu kedah diaksés ti luar upami anjeun henteu hoyong halaman wéb anjeun nampilkeun pesen kasalahan ka sémah.
/wp-admin/theme-editor.php. Paréntah ieu ngamungkinkeun WordPress pikeun ngajalankeun pamariksaan kasalahan unggal waktos anjeun ngarobih atanapi ngédit téma situs anjeun. Upami anjeun ngalalaworakeun pikeun nambihan ieu salaku pangecualian, parobihan anjeun moal disimpen, sareng anjeun bakal nampi pesen kasalahan anu berbunyi, "Henteu tiasa komunikasi deui sareng situs pikeun mariksa kasalahan anu fatal."

Pikeun nyieun aturan firewall, mimiti buka Kaamanan> WAF dina dasbor Cloudflare anjeun, teras klik dina tombol "Jieun Aturan Firewall".

Pikeun nambihan pengecualian ieu nalika ngajagi daérah dasbor wp-admin anjeun, anjeun kedah nyiptakeun aturan ieu:

Widang: jalur URI
Operator: ngandung
Nilai: /wp-admin/

[jeung]

Widang: jalur URI
Operator: teu ngandung
Nilai: /wp-admin/admin-ajax.php

[jeung]

Widang: jalur URI
Operator: teu ngandung
Nilai: /wp-admin/theme-editor.php

[Tindakan: Blok]

Upami anjeun parantos bérés, pencét "Sebarkeun" pikeun nyetel aturan firewall Anjeun.

Alternatipna, anjeun tiasa klik "Édit ekspresi" sareng témpél di handap ieu:

(http.request.uri.path contains "/wp-admin/" and not http.request.uri.path contains "/wp-admin/admin-ajax.php" and not http.request.uri.path contains "/wp-admin/theme-editor.php")

Blok Nagara / Buana

Sapertos anjeun tiasa daptar bodas nagara pikeun ngaksés dasbor admin anjeun.

Anjeun oge bisa Nyetél aturan firewall ka nagara blacklist komo sakabéh buana ti nempo atawa ngakses situs anjeun.

Naha jeung Kumaha Blok Nagara / Benua di Cloudflare

Naha anjeun badé meungpeuk sakumna nagara atanapi buana pikeun ngaksés situs anjeun?

Nya, upami halaman wéb anjeun ngalayanan nagara atanapi daérah géografis sareng henteu relevan sacara global, maka meungpeuk aksés ti nagara-nagara anu teu relevan sareng/atawa buana mangrupikeun cara anu gampang pikeun ngawates résiko serangan malware sareng lalu lintas jahat anu datang ti luar negeri, tanpa ngahalangan aksés ka pamiarsa target halaman wéb anjeun anu sah.

Pikeun nyieun aturan ieu, anjeun sakali deui kedah muka dasbor Cloudflare anjeun sareng angkat ka Kaamanan> WAF> Jieun Aturan Firewall.

Pikeun ngarobah setelan sangkan ngan ukur nagara husus, lebetkeun ieu:

Widang: Nagara atanapi Benua
Operator: "Dupi"
Nilai: Pilih nagara atanapi buana anu anjeun pikahoyong whitelist

(Catetan: upami anjeun hoyong ngijinkeun lalu lintas ngan ti hiji nagara, anjeun tiasa ngalebetkeun "sarua" salaku operator.)

Upami anjeun milih pikeun meungpeuk nagara atanapi buana khusus, lebetkeun ieu:

Widang: Nagara atanapi Benua
Operator: "Teu aya di"
Nilai: Pilih nagara atanapi buana anu anjeun pikahoyong Blok

Catetan: aturan ieu tiasa mundur upami anjeun peryogi dukungan téknologi sareng tim pangrojong host wéb anjeun aya di nagara atanapi buana anu anjeun blokir.

Ieu sigana moal janten masalah pikeun kalolobaan jalma, tapi éta mangrupikeun hal anu anjeun kedah terang.

Ieu conto kumaha mungkir aksés ka situs anjeun ti nagara tangtu, dimana pamaké ti nagara ieu ditémbongkeun a JavaScript tangtangan sateuacan nyobian ngaksés situs anjeun.

Meungpeuk Bot jahat

Dumasar agén pamaké maranéhanana, Cloudflare ngamungkinkeun anjeun pikeun meungpeuk aksés ka bot jahat anu nyobian nembus situs anjeun.

Upami anjeun parantos nganggo 7G, maka anjeun henteu kedah hariwang ngeunaan netepkeun aturan ieu: 7G WAF meungpeuk ancaman di tingkat server ku ngarujuk kana daptar komprehensif bot jahat.

Nanging, upami anjeun henteu nganggo 7G, Anjeun bakal hoyong ngonpigurasikeun aturan firewall anu ngaidentipikasi sareng meungpeuk bot goréng sateuacan aranjeunna tiasa nyababkeun karusakan.

Naha jeung Kumaha Blok Bad Bot di Cloudflare

Sapertos biasa, angkat heula ka dasbor Cloudflare anjeun sareng angkat ka Kaamanan> WAF> Jieun Aturan Firewall.

Teras, atur ekspresi aturan firewall anjeun sapertos kieu:

Widang: Agén pamaké
Operator: "Sarua" atanapi "Ngandung"
Nilai: nami bot goréng atanapi agén jahat anu anjeun hoyong blokir

Sapertos sareng nagara anu ngahalangan, bot tiasa diblokir masing-masing ku nami. Pikeun meungpeuk leuwih ti hiji bot dina waktos anu sareng, nganggo pilihan "OR" di katuhu pikeun nambahkeun bot tambahan kana daptar.

Teras klik "Sebarkeun" tombol nalika anjeun parantos réngsé.

Sanajan kitu sacara manual blocking bot goréng geus jadi kaleuleuwihan sabab Cloudflare geus dibuka "Mode Ngalawan Bot" pikeun sakabéh pamaké bébas.

jeung "Modeu Super Bot Figth" pikeun pamaké rencana Pro atawa Usaha.

Hartina bot goréng ayeuna diblokir sacara otomatis pikeun sadaya jinis pangguna Cloudflare.

Blok Brute Force Attacks (wp-login.php)

Serangan brute force, ogé katelah serangan wp-login, mangrupikeun serangan anu paling umum dituju WordPress situs.

Nyatana, upami anjeun ningali log pangladén anjeun, anjeun sigana bakal mendakan bukti serangan sapertos kitu dina bentuk alamat IP ti sababaraha lokasi di sakumna dunya nyobian ngaksés file wp-login.php anjeun.

Untungna, Cloudflare ngidinan Anjeun nyetel aturan firewall pikeun suksés meungpeuk serangan brute force.

Naha jeung Kumaha Nangtayungan wp-login.php di Cloudflare

Sanajan kalolobaan serangan brute force nyaéta scan otomatis anu henteu cukup kuat pikeun ngaliwat WordPresspertahanan 's, éta kénéh mangrupakeun ide nu sae pikeun set aturan pikeun meungpeuk aranjeunna sarta nempatkeun pikiran anjeun betah.

Najan kitu, aturan ieu ngan jalan mun anjeun hijina admin / pamaké dina situs anjeun. Upami aya langkung ti hiji admin, atanapi upami situs anjeun nganggo plugin kaanggotaan, maka anjeun kedah ngalangkungan aturan ieu.

Pikeun nyieun aturan ieu, balik deui ka Kaamanan> WAF> Jieun Aturan Firewall.

Saatos anjeun milih nami pikeun aturan ieu, lebetkeun ieu:

Widang: jalur URI
Operator: ngandung
Nilai: /wp-login.php

[Tindakan: Blok]

Alternatipna, anjeun tiasa klik "Édit ekspresi" sareng témpél di handap ieu:

(http.request.uri.path contains "/wp-login.php")

Sakali anjeun nyebarkeun aturan, Cloudflare bakal ngamimitian ngahalangan sadaya usaha pikeun ngaksés wp-login anu asalna tina sumber naon waé salian ti IP anjeun anu didaptarkeun bodas.

Salaku bonus tambihan, Anjeun tiasa pariksa yén panyalindungan ieu dijalankeun sareng dijalankeun ku ningali dina bagian Cloudflare's Firewall Events, dimana anjeun kedah tiasa ningali catetan tina sagala usaha serangan brute force.

Blokkeun Serangan XML-RPC (xmlrpc.php)

Sejen rada kirang umum (tapi masih bahaya) jenis serangan mangrupa serangan XML-RPC.

XML-RPC nyaéta prosedur jauh nelepon kana WordPress, nu panyerang berpotensi bisa nargétkeun dina serangan brute force pikeun ménta kredensial auténtikasi.

Naha jeung Kumaha Blok XML-RPC di Cloudflare

Sanaos aya kagunaan anu sah pikeun XML-RPC, sapertos ngeposkeun eusi ka sababaraha WordPress blog sakaligus atawa ngakses Anjeun WordPress situs ti smartphone, Anjeun umumna bisa nyebarkeun aturan ieu tanpa salempang ngeunaan konsékuansi unintended.

Pikeun meungpeuk serangan brute force nargétkeun prosedur XML-RPC, buka heula Kaamanan> WAF> Jieun Aturan Firewall.

Teras jieun aturan ieu:

Widang: jalur URI
Operator: ngandung
Nilai: /xmlrpc.php

[Tindakan: Blok]

Alternatipna, anjeun tiasa klik "Édit ekspresi" sareng témpél di handap ieu:

(http.request.uri.path contains "/xmlrpc.php")

Sareng sapertos kitu, ngan ukur sababaraha léngkah saderhana, anjeun parantos ngajagaan anjeun WordPress situs ti dua jenis paling umum tina serangan brute force.

Nyegah Spam Komentar (wp-comments-post.php)

Upami anjeun webmaster, spam dina situs anjeun mangrupikeun salah sahiji fakta anu ngaganggu kahirupan.

Untungna, Cloudflare Firewall nawiskeun sababaraha aturan anu anjeun tiasa pasang pikeun meungpeuk seueur jinis spam anu umum, kaasup spam comment.

Naha jeung Kumaha Blok wp-comments-post.php di Cloudflare

Lamun comment spam geus jadi masalah dina situs anjeun (atawa, hadé acan, upami anjeun hoyong proactively nyegah eta tina jadi masalah), anjeun tiasa ngawatesan wp-comments-post.php pikeun ngawatesan lalulintas bot.

Hal ieu dilakukeun dina tingkat DNS sareng Cloudflare JS tantangan, sarta cara gawéna relatif basajan: komentar spam anu otomatis, sarta sumber otomatis teu bisa ngolah JS.

Aranjeunna teras gagal dina tantangan JS, sareng voila - spam diblokir dina tingkat DNS, sarta pamundut nu malah pernah ngahontal server Anjeun.

Janten, kumaha anjeun nyiptakeun aturan ieu?

Sakumaha biasa buka Kaamanan> halaman WAF tur pilih "Jieun Aturan Firewall."

Pastikeun anjeun masihan aturan ieu nami anu tiasa dikenal, sapertos "Koméntar Spam".

Lajeng, setel di handap:

Widang: URI
Operator: Sarua
Nilai: wp-comments-post.php

[jeung]

Widang: Métode pamundut
Operator: Sarua
Nilai: POST

[jeung]

Widang: Rujukan
Operator: teu ngandung
Nilai: [yourdomain.com]

[Aksi: JS Challenge]

Ati-ati pikeun nyetél tindakan JS Tantangan, sabab ieu bakal mastikeun yén koméntar diblokir tanpa ngaganggu tindakan pangguna umum dina situs éta.

Sakali anjeun ngasupkeun nilai ieu, klik dina "Nyebarkeun" pikeun nyieun aturan Anjeun.

Bungkus Up: Kumaha Anjeun Bisa Ngamankeun Anjeun WordPress Situs sareng Aturan Cloudflare Firewall

Dina balapan senjata kaamanan wéb, aturan firewall Cloudflare mangrupikeun salah sahiji senjata anu paling efektif anu anjeun gaduh dina arsenal anjeun.

Malah sareng akun Cloudflare gratis, anjeun tiasa nyebarkeun seueur aturan anu béda pikeun ngajagaan anjeun WordPress situs ngalawan sababaraha spam paling umum sarta ancaman malware.

Kalawan ngan sababaraha (lolobana) keystrokes basajan, anjeun bisa ningkatkeun kaamanan situs anjeun jeung tetep lancar kanggo nu datang.

Pikeun langkung seueur ngeunaan ningkatkeun anjeun WordPress kaamanan situs urang, pariksa kaluar abdi pituduh pikeun ngarobah WordPress situs ka HTML statik.