Что защищать в первую очередь
| Адрес | Риск | Правило |
|---|---|---|
| /wp-login.php | Перебор паролей | Лимит на учётную запись и источник, доступ к /wp-admin с разрешённых адресов |
| /xmlrpc.php | Массовый подбор за один запрос, использование сайта в атаках | Заблокировать, если не используется Jetpack или мобильное приложение WordPress |
| /wp-json/ | Перечисление пользователей, нагрузка | Ограничить /wp-json/wp/v2/users, лимиты на остальное |
| /?s= (поиск) | HTTP-флуд по поиску | Лимит на сессию |
| /wp-content/plugins/ | Атаки на уязвимые плагины | WAF с виртуальными патчами |
WooCommerce
Для магазина на WooCommerce добавьте лимиты на /cart/, /checkout/ и запросы ?add-to-cart=, а также исключения для вебхуков платёжных модулей. Корзину и оформление заказа не кэшируйте.
Реальный IP посетителя
После подключения фильтра все запросы приходят на сервер с адресов узлов фильтрации. Чтобы журналы, плагины безопасности и статистика видели настоящий IP, настройте веб-сервер на чтение заголовка с адресом клиента — только от адресов фильтра. Инструкция для nginx — в базе знаний.
Вопросы и ответы
Нужен ли плагин кэширования, если включён кэш фильтра?
Плагин кэширования ускоряет генерацию страниц на сервере, кэш фильтра снижает число запросов к серверу. Они дополняют друг друга.
Можно ли полностью закрыть xmlrpc.php?
Да, если вы не используете Jetpack, мобильное приложение WordPress и публикацию через внешние редакторы. Это убирает один из самых частых векторов атак.