# Védelem

> Kéréskorlát a wp-login, xmlrpc, wp-cron, REST API végpontokon, brute-force belépésvédelem, felhasználónév-zárolás és automatikus tiltás.

![Az LW Firewall Védelem füle](https://hub.hellowp.io/_astro/lw-firewall-protection.ByH_mf48_Z2jM5qO.webp)

*A Védelem fül: a végpontonkénti korlát kapcsolói, a kikapcsolt bejelentkezés-védelem a mezőivel, és a kikapcsolt automatikus tiltás.* (https://pelda.hu/wp-admin/admin.php?page=lw-firewall#protection)

## Endpoint-védelem

Kéréskorlát az egyes WordPress-végpontokon. A korlát értéke az [Általános](https://hub.hellowp.io/hu/docs/lw-plugins/lw-firewall/beallitasok/altalanos/) fül **Rate limit** és **Időablak** mezője.

| Beállítás | Alapérték | Mit csinál | Mikor állítsd |
|---|---|---|---|
| **wp-cron.php kérések rate limitingje** | Ki | A `wp-cron.php`-t célzó áradat ellen véd. A WordPress saját cron-hívását nem korlátozza. | Ha a `wp-cron.php`-t kívülről sokan hívják. |
| **xmlrpc.php kérések rate limitingje** | Be | Az `xmlrpc.php`-n át érkező jelszópróbálgatás és áradat ellen véd. | Maradjon bekapcsolva. |
| **wp-login.php kérések rate limitingje** | Be | IP-nként korlátozza a belépőoldal kéréseit. | Maradjon bekapcsolva. |
| **REST API kérések rate limitingje** | Ki | IP-nként korlátozza a `/wp-json/` kéréseket. | Headless oldalnál vagy sok REST-hívásnál óvatosan, előbb teszteld. |
| **404 flood blokkolása** | Ki | Tiltja azt az IP-t, amelyik túl sok 404-es hibát okoz (sebezhetőség-keresés). A küszöb a felületen nem állítható. | Ha a napló sok 404-es próbálkozást mutat. |

## Brute-force bejelentkezés-védelem

A sok hibás jelszóval próbálkozó IP-t tiltja. **A tiltott IP az egész oldalról ki van zárva**, nem csak a belépőoldalról.

| Beállítás | Alapérték | Mit csinál |
|---|---|---|
| **Bejelentkezés-védelem engedélyezése** | **Ki** | IP-nként számolja a sikertelen belépéseket. |
| **Sikertelen próbálkozások** | 5 | Ennyi sikertelen belépés után tiltódik az IP. |
| **Észlelési ablak** | 600 mp | Ennyi időn belül számítanak a próbálkozások (10 perc). |
| **Tiltás időtartama** | 3600 mp | Ennyi ideig tart a tiltás (1 óra). |
| **Felhasználónév-zárolás** | Be | A sikertelen belépéseket felhasználónevenként is számolja, az összes IP-ről együtt. Zárolt felhasználónévvel sehonnan nem lehet belépni, amíg a zárolás le nem jár. Az engedélyezett (whitelistes) IP-kre nem vonatkozik. |
| **Sikertelen próbálkozások felhasználónevenként** | 10 | Ennyi sikertelen belépés után zárolódik a felhasználónév. |
| **Felhasználónév-zárolás időtartama** | 900 mp | A zárolás hossza (15 perc). |

> **A felhasználónév-zárolás csak a bejelentkezés-védelemmel működik**
>
> A **Felhasználónév-zárolás** alapból be van jelölve, de csak bekapcsolt **Bejelentkezés-védelemmel** hat. Friss telepítésen tehát egyik sem fut.

**Mikor kapcsold be:** éles oldalon érdemes. Mellékhatás: aki ismer egy felhasználónevet, ismételt próbálkozással zárolva tarthatja azt a fiókot. Ha ez gond, tedd a saját IP-det a whitelistre, rövidítsd a zárolást, vagy kapcsold ki a felhasználónév-zárolást.

A zárolt felhasználónevet az [IP szabályok](https://hub.hellowp.io/hu/docs/lw-plugins/lw-firewall/beallitasok/ip-szabalyok/) fül **Zárolt felhasználónevek** listájából vagy a `wp lw-firewall user-lock remove <felhasználó>` paranccsal oldod fel.

## Automatikus tiltás

Kitiltja azt az IP-t, amelyik ismételten túllépi a kéréskorlátot.

| Beállítás | Alapérték | Mit csinál |
|---|---|---|
| **Automatikus tiltás engedélyezése** | Ki | A küszöb elérése után az IP a beállított ideig tiltva van. |
| **Tiltási küszöb** | 3 | Ennyi korláttúllépés után jön a tiltás. |
| **Tiltás időtartama** | 3600 mp | A tiltás hossza. |

Minden kitiltás (kézi, spam, belépés, jelszó-visszaállítás) az egész oldalra érvényes, amíg a tűzfal be van kapcsolva.