Wordfence vs. Kakapo Security: какая защита подходит?

Плагин безопасности оценивают по двум дням: по тому, когда он что-то отражает, и по тому, когда он ошибается. О первом дне пишут в каждом описании продукта. О втором — ни в одном, хотя именно он решает, будет ли плагин через полгода всё ещё включён. Это сравнение рассматривает Wordfence и Kakapo Security с обеих сторон.

Коротко

Wordfence — самый известный плагин безопасности для WordPress, с бесплатной версией, собственным файрволом и сканером вредоносного кода, который работает по сигнатурам производителя. При этом часть его силы по замыслу находится за пределами самой установки: сигнатуры и данные об угрозах поступают от поставщика.

Kakapo Security идёт другим путём. Он включает файрвол на основе шаблонов, сканирование, сверку файлов ядра с контрольными суммами api.wordpress.org и ряд блокировок входа — и всё это работает на твоём сервере, без обращения к какому-либо сервису. При этом у него нет регулярно обновляемой базы сигнатур и нет фильтра IP на основе репутации.

Коротко: кому нужны постоянно обновляемая база угроз и бесплатный старт, тому подойдёт Wordfence. Кто хочет понимать, что именно ищется, кто не хочет передавать данные сервису безопасности и кто и так пользуется другими плагинами Kakapo, найдёт в Kakapo Security более подходящий инструмент.

Что умеют оба

• Ограничение неудачных попыток входа и блокировка адресов
• Двухфакторная аутентификация при входе
• Проверка файлов на изменения и сверка ядра WordPress с оригиналом
• Сканирование wp-content на подозрительные шаблоны
• Журнал того, что было отражено и кто входил
• Уведомление, если что-то замечено

На этом уровне они мало чем отличаются. Разница в том, ОТКУДА берутся знания, по которым ведётся поиск.

Чем они различаются

Разница, которую замечаешь только через несколько недель: ложные срабатывания

Любое сканирование, которое что-то находит, находит и что-то ложное. Плагин, который каждую неделю сообщает о трёх безобидных файлах, после третьего раза уже не читают — и тогда настоящая находка тоже проскакивает незамеченной. Подход к этому вопросу отличает инструменты сильнее, чем число их шаблонов.

Kakapo Security ведёт для этого в поставляемом исходном коде список подходов, отброшенных по результатам измерений, — с числом ложных срабатываний, на которых они провалились: высокая плотность последовательностей \xNN (23 легитимных файла), раздробленные имена функций при двух фрагментах (2, из-за распространённой библиотеки), очень длинные строки (429), непечатаемые символы (179), незакрытые обратные апострофы (49). Этот список находится в интерфейсе, а не в вики для разработчиков.

Плагин безопасности, у которого строка сводки постоянно горит красным, больше ничего не защищает — он лишь приучает отмахиваться. Через две недели работы проверь, сколько сообщений оказались настоящими.

Чего Kakapo Security прямо НЕ делает

Это должно быть в честном сравнении, потому что именно это определяет выбор:

• Нет двухфакторной аутентификации через приложение-аутентификатор — коды приходят по e-mail. Кому нужен TOTP, тому нужен дополнительный плагин.
• Нет регулярно обновляемой базы сигнатур. Сканирование ищет шаблоны, а не известных вредоносов по именам.
• Нет сверки уязвимостей по умолчанию. Адрес источника можно указать, но в комплекте ни одного нет.
• Нет облачного файрвола перед сайтом. Правила работают в PHP, то есть только тогда, когда WordPress уже запускается.

Кому нужна одна из этих четырёх вещей, тому не стоит переходить только потому, что остальное подходит.

Где хранятся данные

Плагин безопасности видит о сайте больше, чем любой другой: попытки входа с именами пользователей, IP-адреса посетителей, списки файлов, содержимое базы данных. Поэтому вопрос, куда из этого что-то уходит, — не второстепенный, а часть обработки данных по поручению.

Kakapo Security ничего не запрашивает извне для распознавания. Шаблоны файрвола, шаблоны поиска и логика проверки находятся в плагине; наружу уходит только то, что ты настраиваешь сам, — контрольные суммы ядра WordPress с api.wordpress.org и, если указан, твой собственный источник данных об уязвимостях. Никакого промежуточного шага через сервис производителя нет.

Когда Wordfence — лучший выбор

• Ты хочешь начать без бюджета
• Тебе нужна постоянно обновляемая база сигнатур и уязвимостей, о которой не нужно заботиться самому
• Тебе нужна двухфакторная аутентификация с приложением-аутентификатором
• Ты хочешь блокировать известные адреса атакующих из общего источника

Когда Kakapo Security — лучший выбор

• Ты хочешь иметь возможность прочитать, что ищется, — каждый шаблон есть в исходном коде
• Ничего не должно уходить сервису безопасности, даже метаданные
• Тебе нужен журнал, по которому видно, если его задним числом изменили
• Ты обслуживаешь несколько сайтов и хочешь вести их под одной лицензией
• Ты и так пользуешься Consent, Backup или другими составляющими

Переход: что нужно сделать

1. Запиши, какие правила были активны в старом плагине, — особенно списки блокировок и исключения.
2. Установи Kakapo Security и введи лицензионный ключ.
3. Сначала переведи файрвол в режим «Наблюдать» (по-немецки: „Beobachten“) и дай ему поработать неделю.
4. Просмотри журнал файрвола: если там виден реальный трафик твоих посетителей, какое-то правило слишком широкое.
5. Только после этого переключи режим на «Блокировать» (по-немецки: „Blockieren“).
6. Один раз зафиксируй эталонное состояние файлов, пока сайт заведомо чист.
7. Отключи старый плагин, а не удаляй его — на две недели.

Одновременно включить блокировку в двух файрволах — это не двойная безопасность, а двойной источник ошибок. Один сообщает, другой блокирует — иначе ты никогда не узнаешь, какой из них что-то отклонил.

Часто задаваемые вопросы