# Megbízható eszközök és helymeghatározás

> Ismeretlen eszközről érkező bejelentkezések kezelése, munkamenet-eltérítés elleni védelem, az eszköz megjegyzése és a helymeghatározás beállítása.

A **Megbízható eszközök** modul az ellopott munkamenet-sütik (session cookie) elleni támadások ellen ad további védelmet. Értesít, ha egy fel nem ismert eszköz próbál hozzáférni a fiókhoz, és ezt e-mailben vagy az admin sávból jóváhagyhatod. A funkció része az ismeretlen bejelentkezésről szóló e-mail, az ismeretlen eszközön a jogosultságok korlátozása, a munkamenet-eltérítés elleni védelem, és a kétfaktoros hitelesítéssel való együttműködés (az eszköz megjegyzése).

## Beállítások

A modul a **Biztonság → Beállítások → Features → Login Security** fülön a **Megbízható eszközök** kapcsolóval kapcsolható be. Bekapcsolás után két beállítás jelenik meg.

![A Megbízható eszközök beállításai](./kepek/bejelentkezes-vedelem-megbizhato-eszkozok.webp)

*A Megbízható eszközök beállításai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin)

A képen a lenyitott **Megbízható eszközök Settings** blokk látható a két jelölőnégyzettel.

| Beállítás | Mit csinál |
| --- | --- |
| **Jogosultságok korlátozása** | Amikor egy felhasználó ismeretlen eszközön van bejelentkezve, a bővítmény korlátozza az adminisztrátori szintű jogosultságait, és megakadályozza, hogy módosítsa a bejelentkezési adatait. Az **ismeretlen bejelentkezés** e-mail-értesítést is be kell kapcsolni hozzá. |
| **Munkamenet-eltérítés elleni védelem** | Azt ellenőrzi, hogy a felhasználó eszköze nem változik-e a munkamenet közben. Ha változik, a bővítmény automatikusan kijelentkezteti a felhasználót, hogy ne történhessen jogosulatlan művelet (például e-mail-cím módosítása vagy rosszindulatú bővítmény feltöltése). |

A munkamenet-eltérítés (cookie-eltérítés) azt jelenti, hogy a támadó átveszi a fiókodat, amíg abba be vagy lépve, és ezzel gyakorlatilag a fiók tulajdonosává válik.

### Felhasználói csoportoknál

A modul bekapcsolása után a **Biztonság → Beállítások → User Groups** oldalon abban a csoportban, amelyre érvényesíteni akarod, kapcsold be a **Megbízható eszközök engedélyezése** beállítást.

## Hogyan működik

A modul bekapcsolása után az adminisztrátorok az admin sávban egy **Login Alerts** fület látnak a jóváhagyásra váró, ismeretlen eszközökkel.

Ha ismeretlen eszközön vagy bejelentkezve, és a **Jogosultságok korlátozása** be van kapcsolva, a bővítmény értesítést mutat, hogy „Unrecognized Login Mode”-ban vagy. Ilyenkor két lehetőséged van: megerősíted az eszközt, vagy korlátozott hozzáféréssel folytatod a munkamenetet. Környezettől függően a **Login Alerts** fülön is kapsz tájékoztatást.

A **Send confirmation email** gombra vagy a **confirm this device** hivatkozásra kattintva a bővítmény elküldi az ismeretlen bejelentkezésről szóló e-mailt, benne egy gombbal az eszköz jóváhagyásához vagy elutasításához. Az eszköz megerősítése után újra be kell jelentkezned.

### Ismeretlen bejelentkezés e-mail

A WordPress admin értesítése mellett (ajánlott) e-mailt is kérhetsz minden fel nem ismert eszközről történő belépésről. Ehhez előbb kapcsold be a **Jogosultságok korlátozása** beállítást, majd a **Biztonság → Beállítások → Notifications** oldalon az **Unrecognized Login** értesítést.

## Eszközök kezelése a profilban

A saját megbízható eszközeid a WordPress-profiloldaladon kezelheted. A **Pending** (függőben) állapotú eszközöket átállíthatod **Approved** (jóváhagyott) vagy **Denied** (elutasított) állapotra; a már jóváhagyott vagy elutasított eszköz állapota később nem módosítható. A bővítmény automatikusan jóvá is hagyhat egy eszközt, ha eléggé hasonlít egy meglévő megbízható eszközre.

Az adminisztrátorok a többi felhasználó megbízható eszközeit is látják, és jóváhagyhatják vagy elutasíthatják őket. Ez akkor hasznos, ha te magad nem tudsz teljes körűen hozzáférni a webhelyhez, mert a modul közbelépett, és az ismeretlen bejelentkezés e-mailt valamiért nem tudod megerősíteni: egy másik adminisztrátor jóváhagyhatja helyetted az eszközödet.

A felhasználóknak az ismeretlen bejelentkezés e-mailből érdemes jóváhagyniuk vagy elutasítaniuk az eszközöket. A profilban lévő lista elsősorban támogatási eszköz az adminisztrátoroknak arra az esetre, ha egy felhasználó véletlenül kizárja magát.

## Együttműködés a kétfaktoros hitelesítéssel

A Megbízható eszközök adja a kétfaktoros hitelesítés „Eszköz megjegyzése” funkcióját. Ha az eszköz nem tűnik ugyanannak, a felhasználónak újra meg kell adnia a kódot ahelyett, hogy átugorhatná. Ahhoz, hogy a bejelentkezéskor megjelenjen a megjegyzés lehetősége, a **Biztonság → Beállítások → User Groups** oldalon be kell kapcsolni a csoportnál az eszköz megjegyzésének engedélyezését. A kényelem mellett biztonságosabb, ha minden bejelentkezéskor új kódot kell megadni.

## Helymeghatározás

A **Biztonság → Beállítások → Features → Utilities** fülön a **Helymeghatározás** modul a Megbízható eszközöket bővíti: megmutatja, hol van földrajzilag a bejelentkező felhasználó.

![A Helymeghatározás beállításai](./kepek/bejelentkezes-vedelem-helymeghatarozas.webp)

*A Helymeghatározás beállításai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Futility)

A képen a **Hely** és a **Térképszolgáltatás** szakasz látható a MaxMind és a térkép API-kulcsokkal.

A bővítmény külső szolgáltatásokat használ az IP-címek helyének meghatározásához:

- A MaxMind GeoLite2 a `download.maxmind.com` címről tölti le az IP-cím és hely adatbázist, hetente egyszer, a WordPress ütemezett feladatán keresztül.
- A Mapbox a helyeket mutató térképképeket adja az `api.mapbox.com` címről.

### Hely

Alapértelmezés szerint a bővítmény több ingyenes GeoIP-szolgáltatást használ, de a nagyobb pontossághoz javasolja valamelyik MaxMind API engedélyezését. A MaxMind GeoLite2 ingyenes adatbázis, amely külső API-hívás nélkül, helyben hasonlítja össze az IP-címeket. A pontosabb eredményhez a fizetős MaxMind GeoIP2 Precision: City szolgáltatás is használható a **MaxMind API** szakaszban az **API-felhasználó** és az **API-kulcs** megadásával.

A MaxMind GeoLite2 beállítása:

1. Regisztrálj egy ingyenes fiókot a MaxMind oldalán.
2. Fogadd el a felhasználási feltételeket, és kattints a **Continue** gombra.
3. A regisztráció után a képernyőn megerősítést látsz.
4. Ellenőrizd az e-mailjeidet: a levélben lévő hivatkozással állítsd be a jelszavadat, és lépj be.
5. A fiókban a bal oldali menüben válaszd a **Manage License Keys** pontot, és kattints a **Generate new license key** gombra.
6. Adj nevet a kulcsnak, a kérdésnél válaszd a **No** lehetőséget, majd kattints a **Confirm** gombra.
7. Másold ki a licenckulcsot, és tárold biztonságos helyen.
8. A webhelyen a **Helymeghatározás** beállításainál a **MaxMind GeoLite2** résznél illeszd be a kulcsot az **API-kulcs** mezőbe, és kattints a **Download DB** gombra.
9. Mentsd a beállításokat.

Az adatbázisok frissítési gyakorisága:

- A GeoIP2 Anonymous IP adatbázis naponta frissül.
- A GeoIP2 Country, City, ISP, Connection Type és Enterprise adatbázisok hetente frissülnek, keddenként.
- A GeoIP2 Domain Name adatbázis havonta, minden hónap első keddjén frissül.
- A GeoLite2 Country, City és ASN adatbázisok hetente frissülnek, keddenként.

### Térképszolgáltatás

A fel nem ismert bejelentkezések hozzávetőleges helyét statikus térképképen jelenítheti meg a bővítmény. Ehhez egy Mapbox API-kulcs (a **Mapbox API-kulcs** mezőbe a „Default public token”) vagy egy MapQuest API (Consumer) kulcs kell (a **MapQuest API (Consumer)-kulcs** mezőbe). MapQuest-nél a kulcsot a MapQuest-profilodon a **My Keys** szakaszban találod; ha nincs ott kulcs, a **Manage Keys** gombbal hozz létre egy új alkalmazást, a **Create a New Key** gombbal kulcsot, és az **App Name** mezőbe írd be a webhelyed nevét, a **Callback URL** mezőt hagyd üresen.

### Kimenő forgalom engedélyezése

A MaxMind és a Mapbox felhő- és CDN-hálózaton fut, ezért az IP-címeik rendszeresen változnak. A bővítmény ezért állandó IP helyett gazdanevekhez csatlakozik. Ha a tűzfalad vagy a szervered korlátozza a kimenő forgalmat, engedélyezd a kimenő HTTPS (443-as port) forgalmat a `download.maxmind.com` és az `api.mapbox.com` felé, és a tűzfalnaplókban ellenőrizd, hogy ezek a kapcsolatok létrejönnek-e.

### Földrajzi tiltás: miért nincs a bővítményben

A bővítmény nem kínál GeoIP-alapú országtiltást. Az érvek:

1. **Egy ország blokkolása nem blokkolja az ottani támadókat.** A támadók világszerte elosztott, feltört rendszereket, proxykat, VPN-eket és felhőszolgáltatásokat használnak, így a származásuk elfedhető. Néhány gyenge, automatikus keresést megállíthat, de a célzott vagy automatizált támadásokat nem.
2. **Ha csak egy országot engedsz, még mindig nagy a támadási felület.** A VPN-ek, adatközpontok és CDN-ek miatt a támadók könnyen megkerülik a korlátozást.
3. **Az erősebb hitelesítés többet ér.** Erős jelszó, kétfaktoros hitelesítés vagy hozzáférési kulcs jóval nagyobb védelmet ad, mint az országtiltás. A kérések korlátozása, a CAPTCHA és az ideiglenes zárolás szintén jobban működik, kevesebb mellékhatással.
4. **Ország alatti szintű korlátozás megbízhatatlan.** A MaxMind országszinten kb. 99%-os pontosságot ad, városszinten ez 80% alá csökkenhet, mobilhálózatnál és IPv6-nál még lejjebb. Jogos felhasználók is kizárhatók, mert a mobilszolgáltatók gyakran több száz kilométerre lévő átjárón vezetik a forgalmat.
5. **Plusz terhelést jelent.** Minden GeoIP-keresés kis feldolgozási többletet ad, amely erős jelszótalálgatás alatt összeadódhat. A földrajzi szűrést érdemes tűzfalra (WAF) vagy CDN-re bízni.

Helyette ajánlott: erős, egyedi jelszavak, hozzáférési kulcsok és 2FA; kérésszám-korlátozás és zárolás a bejelentkezési végpontokon; a földrajzi hely mint kiegészítő jelzés gyanús eseményeknél (extra ellenőrzés szokatlan országból érkező belépéskor); és ha mindenképpen kell, földrajzi korlátozás csak a hálózat szélén (WAF/CDN), a téves tiltások figyelésével. A korlátozott, csak adminisztrátorokra vonatkozó változatot lásd az [Adminisztrátori hozzáférés országok szerint](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/bejelentkezes-vedelem-orszagkorlatozas/) fejezetben.