Wordfence cuida do WordPress | | Carcasa Web
Para manter seu WORDPRESS seguro deve-se:
– Conhecer seu ambiente:
Procure conhecer onde seu site está hospedado, qual CMS está usando e quais plugins estão instalados.
Acompanhe o desenvolvimento do CMS e dos plugins através das redes sociais. Todos eles disponibilizam um perfil para manter os usuários informados.
– Manter o SISTEMA atualizado:
Pode parecer óbvio, mas existem muitos CMS instalados que permanecem desatualizados, sujeitos a ataques que exploram falhas de segurança conhecidas.
– Manter os plugins atualizados:
De nada adianta tomar todo cuidado do mundo com o CMS e manter plugins desatualizados em seu ambiente. Atacantes também buscam explorar vulnerabilidades nos plugins.
É uma tarefa que muitas vezes toma bastante tempo, mas existem ferramentas para facilitar esse trabalho.
Especificamente neste artigo trateremos de um plugin de segurança para o WordPress: o Wordfence – http://www.wordfence.com/
fonte: www-security-unicamp-br
O Wordfence está disponível em versões Free e Premium, sendo que a versão Free já fornece recursos suficientes para manter um bom nível de segurança em seu WordPress.
A instalação é simples, feita através do painel de administração da sua instalação do WordPress, no item "Plugins". Pesquise por "Wordfence Security", leia as informações sobre a instalação e demais orientações. Caso decida instalar o plugin, clique em "Instalar agora".
No Painel de administração do WordPress será criado o item "Wordfence". Para acessar as opções de configuração, clique em "Options":
Mesmo sendo na opção gratuita, o Wordfence oferece muitas opções de customização.
Estas opções determinam boa parte do funcionamento do Wordfence, sendo que para cada uma é oferecida uma breve explicação ao clicar no ícone "i".
A pré configuração já abrange boa parte das preocupações de segurança do WordPress, mas mesmo assim o Wordfence permite um ajuste fino das opções.
Como o próprio nome diz, habilita o firewall, bloqueios por IP, país e bloqueios avançados, bem como desabilita os itens da lista "Firewall Rules", que veremos adiante.
Habilita todas as opções da lista "Login Security", que trata questões como forçar uso de senhas fortes, bloqueio de contas, tentativas de uso do "esqueci minha senha", entre outras. Ajustes especícificos podem ser feitos habilitando/desabilitando itens da lista.
Esta opção habilita o acompanhamento em tempo real das atividades do Wordfence. Você pode acompanha-las clicando em "Live Traffic", no menu à esquerda do Wordfence.
Na imagem abaixo, um exemplo da aba "Top 404s".
As opções "Advanced Comment Spam Filter", "Check if this website is being Spamvertised" e "Check if this website IP is generating spam" estão disponíveis apenas para a versão paga – Premium – porém, duas delas você mesmo pode realizar consultando o ip do seu servidor ou o seu domínio em serviços como o Spamhaus.
Habilita verificações regulares, onde são analisados os arquivos da sua instalação do Worpress. O resultado da verificação fica disponível no item "Scan" do menu do Wordfence.
Exemplo de aviso de problema.
Update Wordfence automatically when a new version is released?
Permite que o Wordfence seja atualizado automaticamente. Avalie se esta opção é adequada para seu caso, uma vez que, em instalações críticas é interessante ler o changelog da nova versão e determinar se ela pode trazer algum impacto negativo.
Informe o email para onde os alertas serão enviados. Mais de um endereço pode ser informado, separados por vírgulas.
Permite carregar configurações de segurança pré definidas, divididas em 5 níveis, além da opção de Custom settings.
Level 0: Todas as medidas de segurança desabilitadas
Level 1: Proteção leve. Apenas o básico.
Level 2: Proteção média. Pode ser usada para a maioria dos sites
Level 3: Alta proteção. Utilize quando souber que um grande ataque irá ocorrer.
Level 4: Protege o site contra um ataque em curso. Pode trazer algum impacto para usuários legítimos do site.
Custom settings: Configurações personalizadas. Sempre que uma configuração for alterada de seu padrão, esta opção será definida como "Custom settings".
O Wordfence identifica quem acessa seu site através do endereço IP. Normalmente a configuração padrão funciona corretamente, porém existem situações onde será necessário alterações. Caso você utilize os serviços Cloudflare por exemplo, selecione a opção específica para este caso.
O Wordfence, logo após a instalação, está pronto para proteger seu site, porém caso deseje efetuar um "ajuste fino" estão disponíveis diversas opções.
Configure quais eventos irão gerar uma notificação via email, que será enviada para o endereço cadastrado anteriormente.
Esta opção permite configurar o que não será mostrado na opção "Live Traffic".
Selecione o que será verificado quando o Wordfence executar uma verificação da sua instalação. Existe ainda a possibilidade de se excluir arquivos da verificação.
Permite aplicar ajustes mais específicos para o firewall, cada regra oferece diversas condições. Para a condição escolhida, existem 2 opções: bloquear o ip ou limitar seu acesso.
Também permite configurar por quanto tempo o ip permanecerá bloqueado.
Define como o Wordfence irá tratar as contas de usuários do seu WordPress. Abrange desde a complexidade das senhas até previnir tentativas de descobrir quais usuários estão cadastrados.
Permite mais ajustes do Wordfence, como white e blacklist de IPs, uso de memória, tempo de execução das verificações. Oferece ainda ferramentas de teste das configurações e do funcionamento do plugin.
Uma opção interessante é exportar/importar as configurações, assim você pode manter um backup das alterações aplicadas no Wordfence.
Como dissemos, o uso de CMS é de grande ajuda, pois torna automáticas umas série de tarefas, deixando mais tempo para cuidar do conteúdo, o que não significa deixar a segurança de lado. Conhecer seu ambiente e escolher bons plugins, inclusive de segurança, irá contribuir muito para a qualidade e disponibilidade do seu conteúdo.