Усиление защиты: заголовки, редактор файлов, фильтр запросов

В разделе усиления защиты лежат три группы переключателей: заголовки безопасности для фронтенда, блокировка встроенного редактора файлов и фильтр, который отклоняет запросы с типичными атакующими шаблонами. Переключатели действуют сразу после сохранения, без того чтобы трогать хоть один файл.

Заголовки безопасности

• «Отправлять заголовки безопасности» включает всю группу и по умолчанию включён.
• «X-Frame-Options» стоит на SAMEORIGIN и может быть переключён на DENY; другие значения не предусмотрены.
• «X-Content-Type-Options: nosniff» по умолчанию включён.
• «Referrer-Policy» отправляет значение strict-origin-when-cross-origin и по умолчанию включён.
• «CSP: upgrade-insecure-requests» задаёт ровно одну эту директиву и по умолчанию выключен; более строгую Content-Security-Policy ты настраиваешь отдельно.

Заблокировать редактор файлов и фильтровать запросы

1. Перейди в «Kakapo Security» слева в разделе «Защита» на «Усиление защиты» (по-немецки: „Härtung“).
2. Переключи в карточке «Редактор файлов» переключатель «Отключить редактор файлов»; после этого страница перезагрузится.
3. Посмотри на строку «Константа DISALLOW_FILE_EDIT» — она показывает, задана ли константа дополнительно.
4. Включи при необходимости в карточке «Фильтр запросов» пункт «Bad-Request-Filter (WAF-lite)»; по умолчанию он выключен.
5. Затем открой собственный сайт и проверь формы и параметры поиска.
6. «Блокировать известных сканер-ботов» — тоже по умолчанию выключен — отклоняет User-Agent вроде sqlmap, nikto или nmap со статусом 403.

define('DISALLOW_FILE_EDIT', true);

Фильтр запросов и блокировка ботов срабатывают только при обращениях к фронтенду. Запросы к панели управления, прогоны WP-Cron и REST-запросы проходят мимо.