Svetainės apsauga

Didžioji dalis užklausų, kurias gauna lietuviška svetainė, ateina ne iš pirkėjų ar skaitytojų, o iš robotų: slaptažodžių spėjikų, pažeidžiamumų skenerių, turinio kopijuoklių ir dirbtinio intelekto mokymui skirtų robotų iš viso pasaulio. Kiekviena tokia užklausa priverčia serverį pilnai įkelti „WordPress“, visus įskiepius ir duomenų bazę – nors atsakymas jai turėtų būti tiesiog „ne“. Įprasti apsaugos įskiepiai šį sprendimą priima jau įkėlę „WordPress“, todėl serverio darbas vis tiek atliekamas.

Svetainės apsauga veikia kitaip: sprendimas, ar įleisti lankytoją, priimamas dar prieš įsikraunant „WordPress“ – iki duomenų bazės, iki temos, iki bet kurio kito įskiepio. Užblokuota užklausa serveriui kainuoja kelis failų nuskaitymus, o ne visą „WordPress“ paleidimą.

Blokavimas pagal šalį

• Pažymite šalis, iš kurių lankytojus norite įsileisti. Sąraše – 250 šalių ir teritorijų, sugrupuotų pagal regionus, su paieška ir paruoštais rinkiniais: tik Lietuva, Baltijos šalys, Europos Sąjunga, Europa arba visos šalys.
• Lankytojas iš nepažymėtos šalies gauna atsakymą 403 su jūsų pasirinktu tekstu, o „WordPress“ jam net nepaleidžiamas.
• Prisijungę naudotojai niekada neblokuojami, todėl užsiblokuoti nuo savo administravimo neįmanoma. Papildomai galite nurodyti adresus, kurie praleidžiami visada – pavyzdžiui, savo namų ar biuro.
• „Google“ ir „Bing“ paieškos robotai įleidžiami visada, nepriklausomai nuo šalių sąrašo, todėl svetainė iš paieškos rezultatų nedingsta.

Trys apsaugos lygiai

• Prieš „WordPress“ – per PHP auto_prepend_file direktyvą filtras paleidžiamas dar prieš index.php. Tai pigiausias lygis ir įprastame serveryje jis įsijungia pats.
• Prieš kitus įskiepius – jei serveris direktyvos neleidžia, filtras įkeliamas kaip privalomasis (mu) įskiepis, dar prieš visus kitus įskiepius.
• Kartu su įskiepiais – atsarginis variantas, kai neveikia nė vienas iš pirmų dviejų. Blokavimas veikia visada, skiriasi tik jo kaina serveriui.

Apžvalgos puslapyje visada matote, kuriame lygyje apsauga veikia šiuo metu.

Adresų bazė atsinaujina pati

• Įskiepis naudoja nemokamą „DB-IP“ adresų ir šalių duomenų rinkinį ir du kartus per mėnesį automatiškai atsisiunčia jį iš naujo.
• Saugomi tik leidžiamų šalių adresų intervalai, sujungti į vientisus blokus, todėl bazė užima mažiau nei 2 MB vietoje 7 MB, o lankytojų duomenų joje nėra jokių.
• Pakeitus šalių sąrašą bazė perkuriama automatiškai fone; iki tol galioja ankstesnis pasirinkimas.
• Apžvalgoje galite patikrinti bet kurį IP adresą – atsakymas bus lygiai toks, kokį gautų tikras lankytojas.

robots.txt ir robotų grupės

• Įskiepis parašo robots.txt už jus. Robotai suskirstyti į grupes: paieškos sistemos, atvedančios lankytojų; DI mokymo ir atsakymų varikliai (GPTBot, ClaudeBot, PerplexityBot ir kt.); SEO ir rinkodaros robotai (AhrefsBot, SemrushBot ir kt.); kitos paieškos sistemos (Yandex, Baidu ir kt.). Iš viso 39 robotai.
• Numatytos taisyklės neleidžia paieškos robotams vaikščioti po filtruotus parduotuvės adresus (filter_, orderby, add-to-cart), kurių niekada neaptarnauja talpykla.
• Mygtukas „Blokuoti visus robotus“ vienu paspaudimu uždaro svetainę visiems robotams – patogu bandomajai ar demonstracinei svetainei.
• Įskiepis parodo, ką failas iš tikrųjų sako robotui: vienas trūkstamas simbolis Disallow: eilutėje reiškia „leisti viską“, ir tai matoma iš karto.

Interneto serverio taisyklės

• Vienu jungikliu į .htaccess įrašomos apsaugos taisyklės: uždaromas xmlrpc.php, atmetami žinomi skeneriai (sqlmap, wpscan, nikto, masscan ir kt.), neleidžiama vykdyti PHP failų uploads kataloge, uždraudžiamas naudotojų vardų išgavimas per ?author=.
• robots.txt yra tik prašymas – šios taisyklės pažymėtus robotus atmeta ir tuomet, kai jie failo nepaiso, dar prieš paleidžiant PHP.
• Prieš pirmą pakeitimą išsaugoma originali .htaccess kopija; įskiepio taisyklės laikomos pažymėtame bloke ir niekada neliečia to, ką įrašėte jūs ar kiti įskiepiai.

Robotų užklausų dažnio limitas

• Nustatote, kiek užklausų per minutę gali pateikti kiekvienas robotas atskirai. Viršijęs limitą robotas gauna atsakymą 429 su Retry-After antrašte, o „WordPress“ jam nepaleidžiamas.
• „Google“ ir „Bing“ skelbia savo robotų adresus – užklausa, kuri tik prisistato „Googlebot“, bet ateina iš kitur, tikrojo „Googlebot“ limito neišnaudoja.
• robots.txt, svetainės žemėlapiai ir „Google Ads“ patikros niekada neribojami.
• Lentelėje matote, kiek užklausų per minutę kiekvienas robotas pateikė, koks buvo pikas ir kiek užklausų atmesta, todėl limitą renkatės pagal faktus, o ne spėjimu.

Suderinamumas

• Naudojant „Cloudflare“ ar kitą CDN, nurodote patikimus tarpinius serverius ir filtras mato tikrąjį lankytojo adresą.
• „WordPress.com“ adresai gali būti praleidžiami visada, kad veiktų „Jetpack“ statistika, atsarginės kopijos ir vaizdų CDN.
• Veikia su talpyklos įskiepiais ir kelių svetainių tinklu (nustatymai galioja visam tinklui).

Jokių lankytojų duomenų

Diagnostikos žurnalą galite įjungti 24 valandoms – jis parodo, kurie tinklai blokuojami ir kodėl. Adresai užrašomi tik tinklo prefiksu (81.7.14.x), failas nustoja augti pasiekęs 1 MB ir išsijungia pats. Tai vienintelė vieta, kur įskiepis ką nors laiko apie lankytojus.

Įskiepis tinka bet kuriai „WordPress“ svetainei, „WooCommerce“ nebūtinas. Visi jo sukurti failai laikomi vienoje vietoje ir pašalinus įskiepį ištrinami iki paskutinio: iš .user.ini ir .htaccess pašalinami jo blokai, iš serverio – jo katalogas. Administravimo sąsaja lietuvių ir anglų kalbomis.