Wordfence vs. Kakapo Security: która ochrona pasuje?

Wtyczkę bezpieczeństwa ocenia się po dwóch dniach: po tym, w którym coś odpiera, i po tym, w którym się myli. Pierwszy dzień jest w każdym opisie produktu. Drugiego nie ma w żadnym — a to on decyduje, czy po pół roku wtyczka jest nadal włączona. To porównanie zestawia Wordfence i Kakapo Security pod oboma względami.

Krótka odpowiedź

Wordfence to najbardziej znana wtyczka bezpieczeństwa dla WordPressa, z bezpłatną wersją, własnym firewallem i skanerem malware, który działa w oparciu o sygnatury producenta. Część jej siły leży przy tym wyraźnie poza własną instalacją: sygnatury i dane o zagrożeniach pochodzą od dostawcy.

Kakapo Security idzie inną drogą. Zapewnia firewall oparty na wzorcach, skanowanie, porównanie plików rdzenia z sumami kontrolnymi z api.wordpress.org i szereg blokad logowania — a wszystko to działa na twoim serwerze, bez odpytywania jakiejkolwiek usługi. W zamian nie ma utrzymywanej bazy sygnatur ani filtra IP opartego na reputacji.

W skrócie: kto chce stale aktualizowanej bazy zagrożeń i bezpłatnego startu, dobrze trafi z Wordfence. Kto chce rozumieć, czego dokładnie się szuka, kto nie chce przekazywać danych usłudze bezpieczeństwa i kto i tak korzysta z innych wtyczek Kakapo, znajdzie w Kakapo Security lepiej dopasowane narzędzie.

Co potrafią obie

• Ograniczanie nieudanych prób logowania i blokowanie adresów
• Uwierzytelnianie dwuskładnikowe przy logowaniu
• Sprawdzanie plików pod kątem zmian i porównywanie rdzenia WordPressa z oryginałem
• Skanowanie wp-content w poszukiwaniu podejrzanych wzorców
• Dziennik tego, co zostało odparte i kto się zalogował
• Powiadomienie, gdy coś zwróci uwagę

Na tym poziomie obie niewiele się różnią. Różnica polega na tym, SKĄD pochodzi wiedza, według której się szuka.

Czym się różnią

Różnica, którą zauważa się dopiero po tygodniach: fałszywe alarmy

Każde skanowanie, które coś znajduje, znajduje też coś fałszywego. Wtyczka, która co tydzień zgłasza trzy nieszkodliwe pliki, po trzecim razie przestaje być czytana — i wtedy prawdziwe znalezisko też przepada. Sposób, w jaki narzędzia podchodzą do tego problemu, różni je bardziej niż liczba ich wzorców.

Kakapo Security prowadzi w tym celu w dostarczanym kodzie źródłowym listę podejść odrzuconych na podstawie pomiarów — z liczbą fałszywych alarmów, przez które odpadły: duże zagęszczenie sekwencji \xNN (23 legalne pliki), rozbite nazwy funkcji przy dwóch fragmentach (2, z powodu popularnej biblioteki), bardzo długie wiersze (429), znaki niedrukowalne (179), niezamknięte znaki backtick (49). Ta lista jest w interfejsie, a nie w wiki dla deweloperów.

Wtyczka bezpieczeństwa, której wiersz podsumowania stale świeci na czerwono, niczego już nie chroni — tylko uczy odklikiwania. Po dwóch tygodniach działania sprawdź, ile komunikatów było prawdziwych.

Czego Kakapo Security wyraźnie NIE robi

To należy do uczciwego porównania, bo przesądza o wyborze:

• Brak uwierzytelniania dwuskładnikowego przez aplikację uwierzytelniającą — kody przychodzą e-mailem. Kto potrzebuje TOTP, potrzebuje dodatkowej wtyczki.
• Brak utrzymywanej bazy sygnatur. Skanowanie szuka wzorców, a nie znanych szkodników z nazwy.
• Brak domyślnego porównania podatności. Adres źródła można wpisać, ale żadne nie jest dostarczane.
• Brak firewalla w chmurze przed witryną. Reguły działają w PHP, czyli dopiero wtedy, gdy WordPress już się uruchamia.

Kto potrzebuje którejś z tych czterech rzeczy, nie powinien zmieniać wtyczki tylko dlatego, że reszta pasuje.

Gdzie leżą dane

Wtyczka bezpieczeństwa widzi z witryny więcej niż jakakolwiek inna: próby logowania z nazwami użytkowników, adresy IP odwiedzających, listy plików, zawartość bazy danych. Pytanie, dokąd coś z tego trafia, nie jest więc sprawą drugorzędną, lecz częścią powierzenia przetwarzania danych.

Kakapo Security niczego nie odpytuje na potrzeby wykrywania. Wzorce firewalla, wzorce skanowania i logika kontroli znajdują się we wtyczce; na zewnątrz wychodzi tylko to, co sam skonfigurujesz — sumy kontrolne rdzenia WordPressa z api.wordpress.org i, jeśli je podasz, twoje własne źródło podatności. Nie ma pośredniego kroku przez usługę producenta.

Kiedy Wordfence jest lepszym wyborem

• Chcesz zacząć bez budżetu
• Chcesz stale aktualizowanej bazy sygnatur i podatności, bez zajmowania się tym samodzielnie
• Potrzebujesz uwierzytelniania dwuskładnikowego z aplikacją uwierzytelniającą
• Chcesz blokować znane adresy atakujących na podstawie wspólnego źródła

Kiedy Kakapo Security jest lepszym wyborem

• Chcesz móc przeczytać, czego się szuka — każdy wzorzec jest w kodzie źródłowym
• Nic nie ma trafiać do usługi bezpieczeństwa, nawet metadane
• Potrzebujesz dziennika, po którym widać późniejsze zmiany
• Opiekujesz się kilkoma stronami i chcesz prowadzić je w ramach jednej licencji
• I tak korzystasz z Consent, Backup lub pozostałych elementów

Przejście: co trzeba zrobić

1. Zanotuj, które reguły były aktywne w starej wtyczce — zwłaszcza listy blokad i wyjątki.
2. Zainstaluj Kakapo Security i wpisz klucz licencyjny.
3. Najpierw ustaw firewall na „Obserwuj” (po niemiecku: „Beobachten“) i pozwól mu działać przez tydzień.
4. Przejrzyj dziennik firewalla: jeśli widnieje w nim prawdziwy ruch twoich odwiedzających, reguła jest zbyt szeroka.
5. Dopiero potem przełącz na „Blokuj” (po niemiecku: „Blockieren“).
6. Zarejestruj raz stan plików, dopóki da się wykazać, że strona jest czysta.
7. Wyłącz starą wtyczkę zamiast ją usuwać — na dwa tygodnie.

Włączenie dwóch firewalli naraz to nie podwójne bezpieczeństwo, lecz podwójne źródło błędów. Jeden zgłasza, drugi blokuje — inaczej nigdy nie wiesz, który coś odrzucił.

Najczęściej zadawane pytania