Wordfence vs. Kakapo Security: qual a proteção certa?

Um plugin de segurança é avaliado em dois dias: no dia em que trava alguma coisa e no dia em que se engana. O primeiro dia aparece em todas as descrições de produto. O segundo não aparece em nenhuma — e, no entanto, é ele que decide se o plugin continua ativado ao fim de meio ano. Esta comparação organiza o Wordfence e o Kakapo Security segundo ambos.

A resposta curta

O Wordfence é o plugin de segurança mais conhecido para WordPress, com uma versão gratuita, uma firewall própria e um scanner de malware que trabalha com assinaturas do fabricante. Parte da sua força está, expressamente, fora da própria instalação: as assinaturas e os dados de ameaças vêm do fornecedor.

O Kakapo Security segue o outro caminho. Traz uma firewall de padrões, uma varredura, uma comparação dos ficheiros do core com as somas de verificação de api.wordpress.org e uma série de bloqueios de login — e tudo isto corre no teu servidor, sem consultar nenhum serviço. Em contrapartida, não há uma base de dados de assinaturas mantida nem um filtro de IP baseado em reputação.

Resumindo: quem quer uma base de dados de ameaças mantida continuamente e uma forma gratuita de começar está no sítio certo com o Wordfence. Quem quer perceber exatamente o que é procurado, não quer entregar dados a um serviço de segurança e já usa outros plugins Kakapo encontra no Kakapo Security a ferramenta mais adequada.

O que ambos fazem

• Limitar tentativas de login falhadas e bloquear endereços
• Dois fatores no login
• Verificar alterações nos ficheiros e comparar o core do WordPress com o original
• Uma varredura do wp-content à procura de padrões suspeitos
• Um registo do que foi travado e de quem iniciou sessão
• Notificação quando algo chama a atenção

A este nível, os dois pouco diferem. A diferença está em DE ONDE vem o conhecimento usado na pesquisa.

Onde os dois se distinguem

A diferença que só se nota ao fim de semanas: falsos positivos

Qualquer varredura que encontra alguma coisa também encontra algo errado. Um plugin que todas as semanas assinala três ficheiros inofensivos deixa de ser lido à terceira vez — e depois a deteção verdadeira também passa despercebida. A forma de lidar com esta questão distingue as ferramentas mais do que o número dos seus padrões.

Para isso, o Kakapo Security mantém no código-fonte distribuído uma lista das abordagens descartadas após medição — com o número de falsos positivos que as fez falhar: alta densidade de sequências \xNN (23 ficheiros legítimos), nomes de funções fragmentados em dois pedaços (2, por causa de uma biblioteca muito difundida), linhas muito longas (429), caracteres não imprimíveis (179), backticks abertos (49). Esta lista está na interface, não numa wiki para programadores.

Um plugin de segurança cuja linha de resumo está permanentemente a vermelho já não protege nada — só treina o hábito de descartar com um clique. Ao fim de duas semanas de funcionamento, verifica quantos alertas eram verdadeiros.

O que o Kakapo Security expressamente NÃO faz

Isto pertence a uma comparação honesta, porque decide a escolha:

• Sem dois fatores através de uma aplicação de autenticação — os códigos chegam por e-mail. Quem precisa de TOTP precisa de um plugin adicional.
• Sem base de dados de assinaturas mantida. A varredura procura padrões, não malware conhecido pelo nome.
• Sem verificação de vulnerabilidades de origem. É possível indicar o endereço de uma fonte, mas nenhuma vem incluída.
• Sem firewall na nuvem à frente do site. As regras correm em PHP, ou seja, só quando o WordPress já está a arrancar.

Quem precisa de uma destas quatro coisas não deve mudar só porque o resto encaixa.

Onde ficam os dados

Um plugin de segurança vê mais de um site do que qualquer outro: tentativas de login com nomes de utilizador, endereços IP dos visitantes, listas de ficheiros, conteúdos da base de dados. A questão de para onde vai alguma coisa disto não é, por isso, um pormenor, mas faz parte da subcontratação.

O Kakapo Security não faz consultas para a sua deteção. Os padrões da firewall, os padrões de pesquisa e a lógica de verificação estão no plugin; para fora só vai o que tu próprio configuras — as somas de verificação do core do WordPress, de api.wordpress.org, e, se indicada, a tua própria fonte de vulnerabilidades. Não há qualquer passo intermédio por um serviço do fabricante.

Quando o Wordfence é a melhor escolha

• Queres começar sem orçamento
• Queres uma base de dados de assinaturas e vulnerabilidades mantida continuamente, sem teres de tratar disso
• Precisas de dois fatores com uma aplicação de autenticação
• Queres bloquear endereços de atacantes conhecidos a partir de uma fonte partilhada

Quando o Kakapo Security é a melhor escolha

• Queres poder consultar o que é procurado — cada padrão está no código-fonte
• Nada deve ir para um serviço de segurança, nem mesmo metadados
• Precisas de um registo em que se notem alterações posteriores
• Geres vários sites e queres geri-los com uma única licença
• Já usas o Consent, o Backup ou os restantes componentes

Mudança: o que fazer

1. Anota que regras estavam ativas no plugin antigo — sobretudo listas de bloqueio e exceções.
2. Instala o Kakapo Security e introduz a chave de licença.
3. Põe primeiro a firewall em «Observar» (em alemão: „Beobachten“) e deixa-a a correr em paralelo durante uma semana.
4. Revê o registo da firewall: se lá aparecer tráfego real dos teus visitantes, uma regra é demasiado abrangente.
5. Só depois muda para «Bloquear» (em alemão: „Blockieren“).
6. Regista uma vez o estado de referência dos ficheiros enquanto o site estiver comprovadamente limpo.
7. Desativa o plugin antigo em vez de o apagar — durante duas semanas.

Ativar duas firewalls ao mesmo tempo não é segurança a dobrar, mas uma fonte de erros a dobrar. Uma reporta, a outra bloqueia — caso contrário, nunca sabes qual delas rejeitou alguma coisa.

Perguntas frequentes