# Funkciók

> A Beállítások → Features oldal négy fülének modulja: bejelentkezés, tűzfal, webhelyellenőrzés és eszközök.

A **Biztonság → Beállítások** oldal bal oldali menüjében a **Features** pont alatt a bővítmény moduljai négy fülön találhatók: **Login Security**, **Firewall**, **Site Check** és **Utilities**. Minden modulnak van egy kapcsolója; bekapcsolt állapotban a modul **Settings** sora lenyitható, és ott állíthatod be a részleteket. A módosításokat a lap alján a **Save** gombbal mented, a **Undo Changes** gomb visszavonja a még nem mentett változtatásokat.

## Login Security: bejelentkezés védelme

![A Login Security fül moduljai](./kepek/funkciok-bejelentkezes.webp)

*A Login Security fül moduljai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin)

A képen a bejelentkezést védő modulok láthatók. A **Hozzáférési kulcsok** modul akkor érhető el, ha a webhely SSL-t használ; ellenkező esetben a „Your site must support SSL.” üzenet látszik.

### Kétfaktoros hitelesítés

A felhasználónév és a jelszó mellett egy további kódot kér a bejelentkezéskor.

![A kétfaktoros hitelesítés beállításai](./kepek/ketfaktoros-beallitasok.webp)

*A kétfaktoros hitelesítés beállításai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin)

| Beállítás | Mit csinál |
| --- | --- |
| **A felhasználók számára elérhető hitelesítési módszerek** | **Összes módszer (ajánlott)**, **Összes, kivéve az e-mailt** vagy **Módszerek kézi kiválasztása**. A támogatott módok: mobilalkalmazás, e-mail üzenet és biztonsági kódok. |
| **Letiltás az első bejelentkezéskor** | Kihagyja a beállítási folyamatot az első bejelentkezéskor, ha a felhasználó fiókján a kétfaktoros hitelesítést engedélyezni kell. |
| **Bevezető üdvözlő szöveg** | A beállítási folyamat elején megjelenő szöveg, szabadon átírható. |
| **Sérülékeny felhasználók védelme** | A gyenge jelszavú vagy támadás célpontjául szolgáló fiókoknál akkor is kötelezővé teszi a kétfaktoros hitelesítést, ha korábban nem volt kötelező. Erősen ajánlott. |
| **Sérülékeny webhely védelme** | Minden felhasználót kötelez a kétfaktoros hitelesítésre, amíg a webhelyen elavult vagy kihasználható szoftver van. Erősen ajánlott. |

### Jelszó nélküli bejelentkezés

A felhasználók jelszó megadása nélkül jelentkezhetnek be.

| Beállítás | Mit csinál |
| --- | --- |
| **Elérhető hitelesítési módszerek** | **Mágikus link** (e-mailben kapott link, egy kattintással belép) és **Hozzáférési kulcsok** (biometrikus azonosítás, például Face ID, Touch ID, Windows Hello, vagy az eszköz által támogatott hozzáférési kulcs). |
| **Felhasználónkénti elérhetőség** | **Alapértelmezés szerint engedélyezve**: a kijelölt felhasználók használhatják. **Alapértelmezés szerint letiltva**: a felhasználók maguk kapcsolják be. |
| **Jelszó nélküli bejelentkezési folyamat** | **Bejelentkezési mód kiválasztása először** vagy **Felhasználónév megadása először**. |
| **Felhasználó-ellenőrzés hozzáférési kulcsokhoz** | **Preferált**: a böngésző dönti el, kell-e további ellenőrzés (PIN, biometria). **Kötelező**: mindig kell. Nem minden böngésző támogatja. |

### Jogosultságszint-emelés

Az adminisztrátor meghatározott időtartamra ideiglenesen további hozzáférést adhat egy felhasználónak. A modulnak nincs külön beállítási sora.

### Megbízható eszközök

Azonosítja azokat az eszközöket, amelyekről a felhasználók bejelentkeznek, és az ismeretlen eszközökre további korlátozásokat alkalmazhat.

| Beállítás | Mit csinál |
| --- | --- |
| **Jogosultságok korlátozása** | Ismeretlen eszközről bejelentkezve a felhasználó adminisztrátori jogai korlátozottak, és nem módosíthatja a bejelentkezési adatait. Az „ismeretlen bejelentkezés” értesítést is be kell kapcsolni hozzá. |
| **Munkamenet-eltérítés elleni védelem** | Ellenőrzi, hogy a felhasználó eszköze nem változik-e a munkamenet közben. |

### Hozzáférési kulcsok

Lehetővé teszi, hogy a felhasználók biometrikus azonosítással vagy az eszközük hozzáférési kulcsával jelentkezzenek be. SSL-t igényel, és a jelszó nélküli bejelentkezés bekapcsolása után próbálható ki.

### Adminisztrátori hozzáférés korlátozása ország szerint

Az adminisztrátori bejelentkezést csak jóváhagyott földrajzi helyekről engedi.

## Firewall: tűzfal

![A Firewall fül moduljai](./kepek/funkciok-tuzfal.webp)

*A Firewall fül moduljai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flockout)

### Felhasználók kitiltása

Megtiltja bizonyos IP-címeknek és user agenteknek, hogy elérjék a webhelyet.

| Beállítás | Mit csinál |
| --- | --- |
| **Alapértelmezett tiltólista** | Felveszi a HackRepair.com tiltólistáját (készítője Jim Walker). |
| **Tiltólisták engedélyezése** | Saját tiltólisták használata. |
| **A kitiltott IP-k korlátozása a szerverkonfigurációs fájlokban** | A `.htaccess` és az `nginx.conf` által blokkolt címek számának korlátja. Ha a lista hosszabb, a többi címet PHP blokkolja. A szerveroldali blokkolás gyorsabb, a korlát az időtúllépés kockázatát csökkenti a fájl frissítésekor. |
| **User agentek kitiltása** | Azoknak a user agenteknek a listája, amelyek nem érhetik el a webhelyet. Soronként egyet adj meg. |

### Tűzfalszabály-motor

Tűzfalszabályokkal védi a webhelyet.

| Beállítás | Mit csinál |
| --- | --- |
| **IP-címenkénti maximális tűzfal-szabálysértések száma** | Hányszor aktiválódhat egy tűzfalszabály, mielőtt a támadót hosszabb időre kizárják. |
| **Megőrzési idő percben (ellenőrzési időszak)** | Mennyi ideig őrzi a tűzfal-szabálysértések nyilvántartását. |

### Helyi brute force

Védelem a bejelentkezési adatok találgatása ellen.

![A helyi brute force beállításai](./kepek/helyi-brute-force.webp)

*A helyi brute force beállításai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flockout)

| Beállítás | Mit csinál | Alapérték |
| --- | --- | --- |
| **„admin” felhasználó automatikus kizárása** | Azonnal kizárja azt az IP-címet, amely az „admin” felhasználónévvel próbál bejelentkezni. | kikapcsolva |
| **IP-címenkénti maximális bejelentkezési kísérletszám** | Ennyi kísérlet után az IP-cím ki lesz zárva. 0 esetén csak naplóz. | 5 |
| **Felhasználónkénti maximális bejelentkezési kísérletszám** | Ennyi kísérlet után a felhasználónév zárolva lesz. 0 esetén csak naplóz (nem ajánlott). | 10 |
| **Sikertelen bejelentkezési kísérletek megőrzési ideje** | Hány percig őrzi a sikertelen kísérleteket. | 5 |

### Hálózati brute force

Csatlakoztat egy webhelyhálózathoz, amely jelentést tesz a rosszindulatú szereplőkről, és véd ellenük. Bekapcsoláskor meg kell adnod egy **E-mail cím**et az API-konfigurációhoz. Az **E-mailes frissítések fogadása** pipával heti sérülékenységi jelentést és biztonsági híreket kaphatsz.

### Varázslinkek

A zárolás megkerülésére szolgál: akkor is be tudsz jelentkezni, ha a felhasználóneved vagy az IP-címed zárolva van.

### CAPTCHA

Ellenőrzi, hogy a bejelentkező vagy hozzászólást beküldő valóban ember-e.

| Beállítás | Mit csinál |
| --- | --- |
| **Szolgáltató** | **Google**, **CloudFlare** vagy **hCaptcha**. |
| **Típus** (Google) | **reCAPTCHA v2**, **Láthatatlan reCAPTCHA** vagy **reCAPTCHA v3**: azt válaszd, amelyikhez a kulcsokat létrehoztad. |
| **Webhelykulcs**, **Titkos kulcs** | A szolgáltató felületén létrehozott kulcspár. |
| **Védett műveletek** | Bejelentkezés, új felhasználó regisztrációja, jelszó-visszaállítás, hozzászólások. |
| **Szkript beillesztése** | **Minden oldalon** (a Google ezt javasolja a pontosságért) vagy **Csak a szükséges oldalakon**. |
| **Nyelv kényszerítése** | A CAPTCHA felületének nyelve; alapértéke **Felismerés**. |

## Site Check: webhelyellenőrzés

![A Site Check fül moduljai](./kepek/funkciok-webhelyellenorzes.webp)

*A Site Check fül moduljai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Fsite-check)

### Fájlváltozás

Figyeli a váratlan fájlváltozásokat. A **Kizárt fájlok** listában (fájlválasztóval) megadhatod azokat a fájlokat és mappákat, amelyeket ki kell hagyni a vizsgálatból.

### Ütemezett webhelyvizsgálat

Automatikus vizsgálat: naponta négyszer fut le (a Pro változatban óránként). Probléma esetén e-mailt küld a kiválasztott felhasználóknak. A **Sérülékenységi értesítési küszöb** adja meg, mely sérülékenységek kerüljenek az értesítésbe: **Mind**, **Közepes és magas prioritású** vagy **Csak magas prioritású**.

### Felhasználói naplózás

Naplózza a felhasználói műveleteket: bejelentkezést, tartalom mentését, a webhely szoftverén végzett módosításokat.

### Verziókezelés

Védi a webhelyet, ha az elavult szoftvereket nem frissítik elég gyorsan.

| Beállítás | Mit csinál |
| --- | --- |
| **WordPress-frissítések** | Automatikusan telepíti a legfrissebb WordPress-kiadást. Érdemes bekapcsolni, kivéve ha naponta kézzel frissítesz. |
| **Bővítmény-frissítések** | **Egyéni** vagy **Mind**: automatikusan telepíti a bővítményfrissítéseket, és a WordPress saját automatikus frissítését kikapcsolja az ütközések elkerülésére. |
| **Sablonfrissítések** | Ugyanez a sablonokra. |
| **Régi WordPress-webhelyek vizsgálata** | Naponta megkeresi a tárhelyfiókban a régi WordPress-webhelyeket, amelyek révén a szerver veszélybe kerülhet. |
| **Automatikus frissítés, ha sebezhetőséget javít** | A bővítményt vagy sablont azonnal frissíti, ha a frissítés a Site Scanner által talált sebezhetőséget javít. |

## Utilities: eszközök

![Az Utilities fül moduljai](./kepek/funkciok-eszkozok.webp)

*Az Utilities fül moduljai* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Futility)

### Adatbázis-mentések

Kézi vagy ütemezett adatbázis-mentés.

| Beállítás | Mit csinál |
| --- | --- |
| **Adatbázis-biztonsági mentések ütemezése** | Automatikus mentések bekapcsolása. |
| **Mentési mód** | **Helyi mentés és e-mailben küldés**, **Csak e-mailben** vagy **Csak helyi mentés**. |
| **Mentési fájlok tömörítése** | Alapból be van kapcsolva; ha gond van a mentésekkel, kapcsold ki. |
| **Mentendő táblák** | A **Belefoglalandó táblák** és a **Kizárt táblák** listája. A WordPress alaptáblái mindig szerepelnek. |

### Helymeghatározás

A Megbízható eszközök funkciót külső helymeghatározási vagy térképező szolgáltatással bővíti. Alapból több ingyenes GeoIP-szolgáltatást használ; a nagyobb pontossághoz a MaxMind valamelyik API-ját javasolja.

| Beállítás | Mit csinál |
| --- | --- |
| **MaxMind GeoLite2** | Ingyenes adatbázis külső API nélkül. Ingyenes MaxMind-fiók és licenckulcs kell hozzá; az **API-kulcs** megadása után a **Download DB** gomb letölti az adatbázist (kb. 27 MB). |
| **MaxMind API** | A MaxMind-fiók **Services > My License Key** részén található **API-felhasználó** és **API-kulcs**. |
| **Térképszolgáltatás** | Statikus képtérkép mutatja a fel nem ismert bejelentkezés hozzávetőleges helyét; a Mapbox vagy a MapQuest API javasolt. |

## Modulok: kiegészítő részletek

### Jogosultságszint-emelés

Az adminisztrátor meghatározott időre Adminisztrátor vagy Szerkesztő jogosultságot adhat egy felhasználónak. Egy vállalkozó például 24 órára kaphat fejlesztői hozzáférést, ami utána magától megszűnik. A jogosultság megadásához nyisd meg a felhasználó **Profil** oldalát, és keresd meg a beállítást a biztonsági felhasználói beállítások között. A felhasználó megjelenített szerepköre nem változik, csak a jogosultságai.

### Jelszó nélküli bejelentkezés

A mágikus link e-mailben érkezik a profilban szereplő címre, és a WordPress bejelentkező oldalára irányít. A hozzáférési kulcsokkal a jelszó megjegyzése nélkül léphetsz be, akár a készüléked biometrikus azonosítójával (Face ID, Touch ID, Windows Hello), akár fizikai biztonsági kulccsal.

### Adminisztrátori hozzáférés korlátozása ország szerint

A `/wp-admin/` elérését jóváhagyott országok listájára korlátozhatod. Ha valaki ellopott jelszóval külföldről próbál belépni, a kísérlet még azelőtt elakad, hogy elérné a webhelyet.

### Felhasználók kitiltása: további tudnivalók

A modul legördülő részében csak a user agentek kitiltása van; a konkrét IP-címek kitiltása a **Biztonság → Vezérlőpult** oldal **Kitiltott IP-címek** kártyáján történik. A modul nem érhető el, ha az IP-észlelés nincs beállítva (lásd [Gyakori kérdések](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/elso-lepesek-gyik/)).

A **Tiltólisták engedélyezése** bekapcsolásával korlátozhatod a szerverfájlban tárolt tiltott IP-k számát (alapérték: 100), ami kis erőforrású szervereken csökkenti az időtúllépés esélyét. A **User agentek kitiltása** mezőben megadott karakterláncú user agentek nem érhetik el a webhelyet.

### Tűzfalszabály-motor

A tűzfal ismert rossz mintákhoz hasonlítja a forgalmat (a Patchstack és a saját szabályaid alapján). Ha egy látogató túl sok szabálysértést követ el a beállított időszakban, az IP-címét zárolja. Az **IP-címenkénti maximális tűzfal-szabálysértések száma** és a **Megőrzési idő** értékével szabályozhatod a szigort.

### Helyi brute force: kétlépcsős rendszer

1. **Ideiglenes zárolás:** IP-címenként 5, felhasználónként 10 sikertelen próbálkozás után az IP-cím vagy a felhasználó 15 percre zárolva lesz (ekkor megy a webhelyzárolási értesítés).
2. **Végleges tiltás:** ha 7 napon belül 3 ideiglenes zárolás gyűlt össze, az IP-cím véglegesen tiltott lesz, és megjelenik a vezérlőpult **Kitiltott IP-címek** kártyáján.

A küszöbértékeket az **IP-címenkénti maximális bejelentkezési kísérletszám** és a **Sikertelen bejelentkezési kísérletek megőrzési ideje** mezőkben módosíthatod.

### Hálózati brute force: működés

A résztvevő webhelyek megosztják a rosszindulatú IP-címek adatait. Ha egy címet a hálózat visszaélésesnek jelölt, nálad is azonnal blokkolható, még akkor is, ha a bejelentkezési kísérlet technikailag helyes. Az automatikus API-kulcshoz meg kell adnod egy e-mail-címet.

### Varázslinkek

A zárolási oldalon, ha a zárolás egy ismert felhasználóhoz kötődik, megjelenik a **Send Magic Link** gomb; rákattintva rövid életű bejelentkezési linket kapsz e-mailben. IP-alapú zárolásnál (például ismétlődő 404 vagy általános tiltás) a gomb nem látszik. A Varázslinkek nem működnek, amíg a bővítmény Must-Use bővítményként töltődik be (lásd [Gyakori kérdések](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/elso-lepesek-gyik/)).

### CAPTCHA

A bejelentkezési űrlapok védelmére szolgál: szűri a rosszindulatú bejelentkezéseket és a spam-regisztrációkat, amelyek a regisztrációt engedő webhelyek gyakori támadásai.

### Fájlváltozás, ütemezett vizsgálat, felhasználói naplózás

- A **Fájlváltozás** figyeli, mely fájlok változtak a WordPress-telepítésben, és értesít a nem általad végzett módosításokról, mert a kártevők rendszerint fájlokat adnak hozzá, törölnek vagy módosítanak.
- Az **Ütemezett webhelyvizsgálat** naponta négyszer (Pro: óránként) fut. Ha olyan új sérülékenységet talál, amelyet az előző vizsgálat nem jelzett, és a prioritása eléri a beállított küszöböt, e-mailt küld az adminisztrátornak vagy a kijelölt felhasználóknak.
- A **Felhasználói naplózás** a bejelentkezést, a tartalom mentését és a szoftvermódosításokat naplózza.

### Verziókezelés részletesen

A Verziókezelés bekapcsolásával a bővítmény veszi át a frissítések irányítását, és kikapcsolja a WordPress alapértelmezett, bővítményenkénti automatikus frissítését, hogy ne ütközzenek. Két előnye van: a frissítések automatikusak, de szabályozhatók (azonnal, késleltetve vagy kizárva), és ismert sebezhetőségnél a javítás automatikusan telepíthető; ha még nincs javítás, a tűzfal virtuális javítása (Patchstack) ad átmeneti védelmet.

Érdemes használni, ha sok bővítményt és sablont kezelsz és kiszámítható frissítési szabályt akarsz, vagy a nagy hatású kiadásokat késleltetni szeretnéd, a biztonsági javításokat viszont gyorsan akarod telepíteni.

Bekapcsolás: **Biztonság → Beállítások → Features → Site Check → Verziókezelés**, majd bontsd ki a beállításokat.

| Beállítás | Mit csinál |
| --- | --- |
| **WordPress-frissítések** | Automatikusan telepíti a legújabb WordPress-kiadást. Karbantartási és biztonsági kiadásoknál ajánlott; bonyolult webhelyen a nagy kiadásokat előbb tesztelni kell. |
| **Bővítmény- és sablonfrissítések** | Komponensenként: **Enable** (azonnali frissítés), **Delay** (késleltetés napokban, hasznos nagy kiadásoknál) vagy **Disable** (kizárás, kézzel frissítesz). |
| **Automatikus frissítés, ha sebezhetőséget javít** | Ha a vizsgálat ismert sebezhetőséget talál, és van frissítés, azonnal telepíti, a késleltetéstől függetlenül. |
| **Régi WordPress-webhelyek vizsgálata** | Megkeresi az ugyanazon tárhelyfiókon lévő elhagyott, még sebezhető WordPress-telepítéseket. |

A **Tűzfal** oldalon egy **Valós idejű frissítések** állapot látszik. **Active**: a Verziókezelés be van kapcsolva, a sebezhetőségi információ és a virtuális javítás működik. **Inactive**: nincs bekapcsolva, kapcsold be a védelemhez. Ha „Real-Time Updates Inactive” látszik, kapcsold be a Verziókezelést, mentsd, és frissítsd a Tűzfal oldalt; ellenőrizd azt is, hogy a webhely licencelt, és eléri a szolgáltatásokat (nincs kimenő tűzfal- vagy REST-blokk).

### Kényszerített SSL

Minden kapcsolatot SSL/TLS-en kényszerít a `define( 'FORCE_SSL_ADMIN', true );` konstans `wp-config.php`-ba írásával. Ez nem helyettesíti az SSL-tanúsítványt: előbb szerezz be és telepíts egyet (kérdezd a tárhelyszolgáltatót). Bekapcsolás után ellenőrizd a webhelyet, különösen a vegyes tartalomra (mixed content) vonatkozó figyelmeztetéseket. Védi a bejelentkezési és fizetési adatokat, és az https a keresőrangsorolásnak is jó.

### Adatbázis-mentések: működés és gondok

A bővítmény először egy nyers `.sql` fájlt készít. Ha a tömörítés be van kapcsolva, `.zip`-be csomagolja, és sikeres tömörítés után az `.sql` törlődik. A mentés után a régebbi mentések törlődnek, csak a **Megőrzendő mentések** számát hagyja meg. A megőrzés csak a helyi mentésekre vonatkozik: **Csak e-mailben** módnál nincs törlés. A **Mentési időköz** napokban adja meg a gyakoriságot (például 3 = háromnaponta). A WordPress alaptáblái mindig bekerülnek; a **Kizárt táblák** listája hasznos nagy, nem lényeges táblákhoz (például naplók). A funkció nem jelenik meg, ha a Solid Backups (régi változat) aktív. Teljes körű mentéshez külön mentőbővítmény ajánlott.

Ha halmozódnak az `.sql` fájlok, vagy a régi mentések nem törlődnek, a folyamat nem jut el a tömörítésig és a törlésig. Tipikus okok: túl alacsony PHP-végrehajtási idő (nagy adatbázis, 60 mp felett), kevés tárhely az `.sql` és a `.zip` együtt, a fájlengedélyek tiltják a törlést, WP-Cron időtúllépés vagy nagy táblák.

### Security Check Pro és helymeghatározás

A **Security Check Pro** modul az IP-címek azonosításának helyes módját keresi meg a szerverkonfiguráció alapján. Csak az alap változatban jelenik meg; a Pro változat alapból ezt használja.

A **Helymeghatározás** a Megbízható eszközök funkcióhoz ad külső helymeghatározó szolgáltatást: a fel nem ismert bejelentkezések hozzávetőleges helyét látod, így gyorsabban felmérheted a veszélyt. Fontos: a hely közelítő, nem pontos cím, és a VPN-t használók valódi helyét elfedheti.