Szukasz alternatywy dla Wordfence? O wyborze decyduje tych sześć pytań

Wtyczki bezpieczeństwa rzadko wymienia się z ciekawości. Zwykle jest jakiś powód: strona zwolniła, skrzynka zapełniła się komunikatami albo podczas audytu ochrony danych padło pytanie, co właściwie wtyczka wysyła na zewnątrz. Ten tekst porządkuje typowe powody i do każdego podaje pytanie, na które alternatywa musi odpowiedzieć.

Powód 1: za dużo komunikatów, za mało prawdziwych

Najczęstszy powód i najbardziej niebezpieczny: kto co tydzień odkliknie trzy nieszkodliwe znaleziska, w końcu odkliknie też to prawdziwe. Pytanie do każdej alternatywy nie brzmi więc „ile ma wzorców”, lecz jak radzi sobie z fałszywymi alarmami.

Po czym to poznasz: czy narzędzie mówi, CZEGO szuka? Czy można zatwierdzić znalezisko — i czy zatwierdzenie wygasa, gdy plik się zmieni? Kakapo Security wiąże każde zatwierdzenie z sumą kontrolną odczytanej zawartości: gdy tylko w pliku coś się zmieni, znalezisko wraca. To niewygodne i słuszne.

Zbiorczy przycisk „zatwierdź wszystkie” to sygnał ostrzegawczy, a nie ułatwienie. To powszechna amnestia jednym kliknięciem — właśnie dla przypadków, które należało obejrzeć pojedynczo.

Powód 2: strona zwolniła

Skanowanie dziesiątek tysięcy plików wymaga czasu procesora. Kluczowe jest, czy zabiera go wtedy, gdy nikogo nie ma, czy w trakcie odwiedzin. Pytanie do alternatywy: czy przebieg odbywa się w porcjach z budżetem czasu, czy można go wstrzymać i czy przy następnym uruchomieniu wznawia pracę tam, gdzie skończył?

Drugie pytanie, o którym często się zapomina: co dzieje się przy każdym pojedynczym wyświetleniu strony? Firewall sprawdza je na bieżąco. Im więcej reguł, tym więcej pracy na każde żądanie — i tym ważniejsze, żeby reguły były zwięzłe i sprawdzone, a nie liczne.

Powód 3: nic nie ma wychodzić na zewnątrz

Wtyczka bezpieczeństwa widzi próby logowania z nazwami użytkowników, adresy IP, listy plików i zawartość bazy danych. Jeśli cokolwiek z tego trafia do jakiejś usługi, ta usługa musi się znaleźć w twoim rejestrze czynności przetwarzania. Pytanie do alternatywy: co opuszcza serwer i czy da się to wyłączyć?

W Kakapo Security wzorce firewalla, wzorce skanowania i logika kontroli znajdują się we wtyczce. Na zewnątrz wychodzi tylko to, co sam skonfigurujesz: sumy kontrolne rdzenia WordPressa z api.wordpress.org i — jeśli je podasz — twoje własne źródło podatności. Domyślnie to drugie jest puste.

Powód 4: prawdziwym słabym punktem jest logowanie

Większość przejęć nie odbywa się przez lukę w kodzie, lecz przez hasło. Dlatego sprawdź, co alternatywa oferuje wokół logowania — i to poza ograniczaniem nieudanych prób: zmianę adresu logowania, wymuszanie siły haseł, podgląd i kończenie aktywnych sesji, okno czasowe dla logowań, ograniczenie według kraju pochodzenia.

I niewygodne pytanie o uwierzytelnianie dwuskładnikowe: czy wystarczy kod e-mailem, czy potrzebujecie aplikacji uwierzytelniającej? Kakapo Security dostarcza tylko kody e-mail i tak też pisze w interfejsie. Wielu redakcjom to wystarcza. Kto potrzebuje TOTP, musi o to zapytać, zanim zmieni wtyczkę.

Powód 5: w krytycznej chwili zabrakło informacji

Po incydencie nie liczy się to, co zostało odparte, lecz to, co da się wykazać: kto się kiedy logował, co zmieniono w plikach, kto zmienił jakie ustawienie. Pytanie do alternatywy: czy istnieje dziennik — i czy widać po nim późniejsze zmiany?

Kakapo Security łączy swoje wpisy aktywności w łańcuch i oblicza go względem wartości z twojego pliku wp-config.php. Kto zmieni lub usunie wpis, widocznie przerwie łańcuch. To nie sejf, ale właśnie to różni dziennik od listy, którą można po cichu edytować.

Powód 6: pięć wtyczek do pięciu zadań

Bezpieczeństwo, cookies, kopie zapasowe, szybkość — każdy temat to osobna wtyczka, każda z własnym interfejsem, własnym logowaniem, własną fakturą. Jeśli to jest powód, pytanie nie brzmi „która wtyczka bezpieczeństwa”, lecz czy pozostałe elementy są dostępne z jednej ręki i czy obsługuje się je tak samo.

Lista kontrolna w skrócie

Czego żadna alternatywa nie zapewni

Żadna wtyczka w WordPressie nie zastąpi firewalla przed serwerem WWW, bo zaczyna działać dopiero wtedy, gdy PHP już wystartowało. Żadna nie zastąpi bieżących aktualizacji. I żadne skanowanie nie znajdzie każdego złośliwego kodu — znajdzie to, co przypomina jego wzorce. Kto ma te trzy zdania w głowie, wybiera inaczej i spokojniej.

Zarejestruj stan swoich plików, dopóki da się wykazać, że strona jest czysta. Stan zarejestrowany dopiero po infekcji uznaje złośliwy kod za normę — i ten kod już nigdy potem nie zwróci uwagi.

Najczęściej zadawane pytania