Z czego się składa
Trzy główne moduły Wordfence.
- Firewall (WAF) — filtruje żądania przychodzące do strony według reguł znanych ataków i luk w popularnych wtyczkach.
- Skaner malware — porównuje pliki strony z bazą sygnatur znanego złośliwego kodu oraz z oryginalnymi plikami z repozytorium wordpress.org, wykrywając modyfikacje i obce pliki.
- Zabezpieczenie logowania — limit prób logowania, dwuskładnikowe uwierzytelnianie i blokowanie znanych złośliwych adresów IP.
1. Tryb firewalla — od nauki do blokowania.
Po instalacji firewall zwykle startuje w trybie „uczenia się" (learning mode), w którym obserwuje normalny ruch na stronie, żeby nie zablokować przypadkiem legalnych żądań specyficznych dla Twojego motywu czy wtyczek. Po kilku dniach (Wordfence sam sugeruje moment) należy ręcznie przełączyć firewall w tryb aktywnego blokowania („enabled and protecting") — pozostawienie go w trybie nauki na stałe oznacza, że realnie nic nie blokuje.
2. Harmonogram skanowania malware.
Domyślny, codzienny skan to sensowne minimum. Warto dodatkowo włączyć opcje: sprawdzanie plików pod kątem znanych luk (nie tylko obecności złośliwego kodu, ale też przestarzałych, podatnych wersji wtyczek), skanowanie zawartości katalogu uploads pod kątem plików wykonywalnych, które nie powinny się tam znajdować, oraz porównywanie plików core WordPressa z oryginałem.
3. Zabezpieczenie logowania.
- Limit nieudanych prób logowania z jednego adresu IP — blokuje ataki brute-force na hasło.
- Dwuskładnikowe uwierzytelnianie (2FA) dla kont administratorów — patrz 2FA w WordPress.
- Blokowanie po wykryciu prób logowania na nieistniejące konto — częsty sygnał zautomatyzowanego ataku.
4. Alerty e-mail.
Wordfence można skonfigurować tak, żeby wysyłał e-mail przy krytycznych zdarzeniach: wykryciu złośliwego pliku, zmianie pliku administratora, nieudanych próbach logowania powyżej progu czy aktualizacji core/wtyczek. Bez włączonych alertów skan wykrywa problem, ale nikt się o tym nie dowiaduje, dopóki ręcznie nie zajrzy do panelu — dlatego to jeden z najważniejszych elementów konfiguracji.
Najczęstsze błędy konfiguracji.
- Zostawienie firewalla na stałe w trybie nauki, zamiast przełączenia go w tryb aktywnej ochrony.
- Brak skonfigurowanych alertów e-mail — wykryty problem czeka niezauważony.
- Ignorowanie ostrzeżeń o plikach spoza wordpress.org bez sprawdzenia, co to za plik — dokładnie tego typu alert bywa pierwszym sygnałem backdoora ukrytego w katalogu wtyczki.
- Poleganie wyłącznie na Wordfence bez reszty checklisty — patrz jak zabezpieczyć WordPress.