Sıkılaştırma: header'lar, dosya düzenleyici, istek filtresi

Sıkılaştırma bölümünde üç anahtar grubu bulunur: frontend için güvenlik header'ları, yerleşik dosya düzenleyicinin kilitlenmesi ve tipik saldırı kalıpları taşıyan istekleri reddeden bir filtre. Anahtarlar, herhangi bir dosyaya dokunmaya gerek kalmadan, kaydedildikten hemen sonra etkili olur.

Güvenlik header'ları

• “Güvenlik header'larını gönder” tüm grubu açar ve varsayılan olarak etkindir.
• “X-Frame-Options” SAMEORIGIN olarak ayarlıdır ve DENY olarak değiştirilebilir; başka değerler öngörülmemiştir.
• “X-Content-Type-Options: nosniff” varsayılan olarak açıktır.
• “Referrer-Policy”, strict-origin-when-cross-origin değerini gönderir ve varsayılan olarak açıktır.
• “CSP: upgrade-insecure-requests” tam olarak bu tek yönergeyi ayarlar ve varsayılan olarak kapalıdır; daha katı bir Content-Security-Policy'yi ayrıca kendiniz kurarsınız.

Dosya düzenleyiciyi kilitlemek ve istekleri filtrelemek

1. “Kakapo Security” içinde solda “Koruma” altından “Sıkılaştırma” (Almanca: „Härtung“) bölümüne geçin.
2. “Dosya düzenleyici” kartında “Dosya düzenleyiciyi devre dışı bırak” anahtarını çevirin; sayfa ardından yeniden yüklenir.
3. “DISALLOW_FILE_EDIT sabiti” satırına bakın — bu satır, sabitin ayrıca tanımlanıp tanımlanmadığını gösterir.
4. “İstek filtresi” kartında gerekirse “Bad-Request filtresi (WAF-lite)” seçeneğini açın; varsayılan olarak kapalıdır.
5. Ardından kendi sitenizi açın, formları ve arama parametrelerini test edin.
6. “Bilinen tarama botlarını engelle” — o da varsayılan olarak kapalıdır — sqlmap, nikto veya nmap gibi user-agent'ları 403 durumuyla reddeder.

define('DISALLOW_FILE_EDIT', true);

İstek filtresi ve bot engeli yalnızca frontend çağrılarında devreye girer. Yönetim alanına giden istekler, WP-Cron çalışmaları ve REST istekleri bunların yanından geçer.