Ищешь альтернативу Wordfence? Всё решают эти шесть вопросов

Плагин безопасности редко меняют из любопытства. Обычно есть повод: сайт стал медленным, почтовый ящик переполнен уведомлениями, или в ходе проверки по вопросам защиты данных возник вопрос, что плагин вообще отправляет наружу. Этот текст разбирает типичные поводы и к каждому называет вопрос, на который должна ответить альтернатива.

Повод 1: слишком много сообщений, слишком мало настоящих

Самая частая причина — и самая опасная: кто каждую неделю отмахивается от трёх безобидных находок, однажды отмахнётся и от настоящей. Поэтому вопрос к любой альтернативе звучит не «сколько у неё шаблонов», а как она обращается с ложными срабатываниями.

Как это распознать: говорит ли инструмент, ЧТО он ищет? Можно ли одобрить находку — и теряет ли одобрение силу, когда файл меняется? Kakapo Security привязывает каждое одобрение к контрольной сумме прочитанного содержимого: как только в файле что-то меняется, находка появляется снова. Это неудобно — и правильно.

Кнопка массового действия «одобрить все» — тревожный знак, а не облегчение. Это всеобщая амнистия одним щелчком — как раз для тех случаев, которые следовало просмотреть по отдельности.

Повод 2: сайт стал медленным

Сканирование десятков тысяч файлов требует вычислительного времени. Решающее значение имеет, берёт ли оно это время, когда на сайте никого нет, или прямо во время посещений. Вопрос к альтернативе: идёт ли проход партиями с лимитом времени, можно ли его приостановить и продолжает ли он при следующем запуске с того места, где остановился?

Второй вопрос, о котором часто забывают: что происходит при каждом отдельном просмотре страницы? Файрвол проверяет каждый из них. Чем больше правил, тем больше работы на каждый запрос — и тем важнее, чтобы правила были компактными и проверенными, а не многочисленными.

Повод 3: ничего не должно уходить наружу

Плагин безопасности видит попытки входа с именами пользователей, IP-адреса, списки файлов и содержимое базы данных. Если что-то из этого уходит в какой-либо сервис, этот сервис должен быть в твоём реестре операций обработки. Вопрос к альтернативе: что покидает сервер и можно ли это отключить?

В Kakapo Security шаблоны файрвола, шаблоны поиска и логика проверки находятся в самом плагине. Наружу уходит только то, что ты настраиваешь сам: контрольные суммы ядра WordPress с api.wordpress.org и — если ты его укажешь — твой собственный источник данных об уязвимостях. По умолчанию он пуст.

Повод 4: настоящее слабое место — вход

Большинство захватов сайтов происходит не через уязвимость в коде, а через пароль. Поэтому проверь, что альтернатива предлагает для входа, — причём помимо ограничения неудачных попыток: перенос адреса входа, принудительная надёжность паролей, просмотр и завершение активных сессий, временное окно для входа, ограничение по стране происхождения.

И неудобный вопрос о двухфакторной аутентификации: хватит ли кода по e-mail или вашей команде нужно приложение-аутентификатор? Kakapo Security предоставляет только коды по e-mail и так и пишет в интерфейсе. Многим редакциям этого достаточно. Кому нужен TOTP, должен спросить об этом до перехода.

Повод 5: в экстренной ситуации не хватило сведений

После инцидента важно не то, что было отражено, а то, что можно доказать: кто и когда входил, что изменилось в файлах, кто и какую настройку поменял. Вопрос к альтернативе: есть ли журнал — и видно ли по нему, если его задним числом изменили?

Kakapo Security связывает свои записи активности в цепочку и рассчитывает её с использованием значения из твоего wp-config.php. Кто изменит или удалит запись, заметно разорвёт цепочку. Это не сейф, но именно это отличает журнал от списка, который можно тихо отредактировать.

Повод 6: пять плагинов для пяти задач

Безопасность, cookie, резервное копирование, скорость — на каждую тему свой плагин, у каждого свой интерфейс, свой логин, свой счёт. Если повод в этом, то вопрос звучит не «какой плагин безопасности», а есть ли остальные составляющие из одних рук и управляются ли они одинаково.

Чек-лист вкратце

Чего не может ни одна альтернатива

Ни один плагин в WordPress не заменит файрвол перед веб-сервером, потому что он начинает работать, только когда PHP уже запущен. Ни один не заменит своевременные обновления. И никакое сканирование не найдёт весь вредоносный код — оно находит то, что похоже на его шаблоны. Кто держит в голове эти три предложения, выбирает иначе и спокойнее.

Зафиксируй эталонное состояние своих файлов, пока сайт заведомо чист. Эталон, зафиксированный уже после заражения, объявляет вредоносный код нормой — и после этого тот больше никогда не бросится в глаза.

Часто задаваемые вопросы