Funkciók

A Biztonság → Beállítások oldal bal oldali menüjében a Features pont alatt a bővítmény moduljai négy fülön találhatók: Login Security, Firewall, Site Check és Utilities. Minden modulnak van egy kapcsolója; bekapcsolt állapotban a modul Settings sora lenyitható, és ott állíthatod be a részleteket. A módosításokat a lap alján a Save gombbal mented, a Undo Changes gomb visszavonja a még nem mentett változtatásokat.

Login Security: bejelentkezés védelme

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin

A képen a bejelentkezést védő modulok láthatók. A Hozzáférési kulcsok modul akkor érhető el, ha a webhely SSL-t használ; ellenkező esetben a „Your site must support SSL.” üzenet látszik.

Kétfaktoros hitelesítés

A felhasználónév és a jelszó mellett egy további kódot kér a bejelentkezéskor.

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flogin

Beállítás	Mit csinál
A felhasználók számára elérhető hitelesítési módszerek	Összes módszer (ajánlott), Összes, kivéve az e-mailt vagy Módszerek kézi kiválasztása. A támogatott módok: mobilalkalmazás, e-mail üzenet és biztonsági kódok.
Letiltás az első bejelentkezéskor	Kihagyja a beállítási folyamatot az első bejelentkezéskor, ha a felhasználó fiókján a kétfaktoros hitelesítést engedélyezni kell.
Bevezető üdvözlő szöveg	A beállítási folyamat elején megjelenő szöveg, szabadon átírható.
Sérülékeny felhasználók védelme	A gyenge jelszavú vagy támadás célpontjául szolgáló fiókoknál akkor is kötelezővé teszi a kétfaktoros hitelesítést, ha korábban nem volt kötelező. Erősen ajánlott.
Sérülékeny webhely védelme	Minden felhasználót kötelez a kétfaktoros hitelesítésre, amíg a webhelyen elavult vagy kihasználható szoftver van. Erősen ajánlott.

Jelszó nélküli bejelentkezés

A felhasználók jelszó megadása nélkül jelentkezhetnek be.

Beállítás	Mit csinál
Elérhető hitelesítési módszerek	Mágikus link (e-mailben kapott link, egy kattintással belép) és Hozzáférési kulcsok (biometrikus azonosítás, például Face ID, Touch ID, Windows Hello, vagy az eszköz által támogatott hozzáférési kulcs).
Felhasználónkénti elérhetőség	Alapértelmezés szerint engedélyezve: a kijelölt felhasználók használhatják. Alapértelmezés szerint letiltva: a felhasználók maguk kapcsolják be.
Jelszó nélküli bejelentkezési folyamat	Bejelentkezési mód kiválasztása először vagy Felhasználónév megadása először.
Felhasználó-ellenőrzés hozzáférési kulcsokhoz	Preferált: a böngésző dönti el, kell-e további ellenőrzés (PIN, biometria). Kötelező: mindig kell. Nem minden böngésző támogatja.

Jogosultságszint-emelés

Az adminisztrátor meghatározott időtartamra ideiglenesen további hozzáférést adhat egy felhasználónak. A modulnak nincs külön beállítási sora.

Megbízható eszközök

Azonosítja azokat az eszközöket, amelyekről a felhasználók bejelentkeznek, és az ismeretlen eszközökre további korlátozásokat alkalmazhat.

Beállítás	Mit csinál
Jogosultságok korlátozása	Ismeretlen eszközről bejelentkezve a felhasználó adminisztrátori jogai korlátozottak, és nem módosíthatja a bejelentkezési adatait. Az „ismeretlen bejelentkezés” értesítést is be kell kapcsolni hozzá.
Munkamenet-eltérítés elleni védelem	Ellenőrzi, hogy a felhasználó eszköze nem változik-e a munkamenet közben.

Hozzáférési kulcsok

Lehetővé teszi, hogy a felhasználók biometrikus azonosítással vagy az eszközük hozzáférési kulcsával jelentkezzenek be. SSL-t igényel, és a jelszó nélküli bejelentkezés bekapcsolása után próbálható ki.

Adminisztrátori hozzáférés korlátozása ország szerint

Az adminisztrátori bejelentkezést csak jóváhagyott földrajzi helyekről engedi.

Firewall: tűzfal

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flockout

Felhasználók kitiltása

Megtiltja bizonyos IP-címeknek és user agenteknek, hogy elérjék a webhelyet.

Beállítás	Mit csinál
Alapértelmezett tiltólista	Felveszi a HackRepair.com tiltólistáját (készítője Jim Walker).
Tiltólisták engedélyezése	Saját tiltólisták használata.
A kitiltott IP-k korlátozása a szerverkonfigurációs fájlokban	A .htaccess és az nginx.conf által blokkolt címek számának korlátja. Ha a lista hosszabb, a többi címet PHP blokkolja. A szerveroldali blokkolás gyorsabb, a korlát az időtúllépés kockázatát csökkenti a fájl frissítésekor.
User agentek kitiltása	Azoknak a user agenteknek a listája, amelyek nem érhetik el a webhelyet. Soronként egyet adj meg.

Tűzfalszabály-motor

Tűzfalszabályokkal védi a webhelyet.

Beállítás	Mit csinál
IP-címenkénti maximális tűzfal-szabálysértések száma	Hányszor aktiválódhat egy tűzfalszabály, mielőtt a támadót hosszabb időre kizárják.
Megőrzési idő percben (ellenőrzési időszak)	Mennyi ideig őrzi a tűzfal-szabálysértések nyilvántartását.

Helyi brute force

Védelem a bejelentkezési adatok találgatása ellen.

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Flockout

Beállítás	Mit csinál	Alapérték
„admin” felhasználó automatikus kizárása	Azonnal kizárja azt az IP-címet, amely az „admin” felhasználónévvel próbál bejelentkezni.	kikapcsolva
IP-címenkénti maximális bejelentkezési kísérletszám	Ennyi kísérlet után az IP-cím ki lesz zárva. 0 esetén csak naplóz.	5
Felhasználónkénti maximális bejelentkezési kísérletszám	Ennyi kísérlet után a felhasználónév zárolva lesz. 0 esetén csak naplóz (nem ajánlott).	10
Sikertelen bejelentkezési kísérletek megőrzési ideje	Hány percig őrzi a sikertelen kísérleteket.	5

Hálózati brute force

Csatlakoztat egy webhelyhálózathoz, amely jelentést tesz a rosszindulatú szereplőkről, és véd ellenük. Bekapcsoláskor meg kell adnod egy E-mail címet az API-konfigurációhoz. Az E-mailes frissítések fogadása pipával heti sérülékenységi jelentést és biztonsági híreket kaphatsz.

Varázslinkek

A zárolás megkerülésére szolgál: akkor is be tudsz jelentkezni, ha a felhasználóneved vagy az IP-címed zárolva van.

CAPTCHA

Ellenőrzi, hogy a bejelentkező vagy hozzászólást beküldő valóban ember-e.

Beállítás	Mit csinál
Szolgáltató	Google, CloudFlare vagy hCaptcha.
Típus (Google)	reCAPTCHA v2, Láthatatlan reCAPTCHA vagy reCAPTCHA v3: azt válaszd, amelyikhez a kulcsokat létrehoztad.
Webhelykulcs, Titkos kulcs	A szolgáltató felületén létrehozott kulcspár.
Védett műveletek	Bejelentkezés, új felhasználó regisztrációja, jelszó-visszaállítás, hozzászólások.
Szkript beillesztése	Minden oldalon (a Google ezt javasolja a pontosságért) vagy Csak a szükséges oldalakon.
Nyelv kényszerítése	A CAPTCHA felületének nyelve; alapértéke Felismerés.

Site Check: webhelyellenőrzés

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Fsite-check

Fájlváltozás

Figyeli a váratlan fájlváltozásokat. A Kizárt fájlok listában (fájlválasztóval) megadhatod azokat a fájlokat és mappákat, amelyeket ki kell hagyni a vizsgálatból.

Ütemezett webhelyvizsgálat

Automatikus vizsgálat: naponta négyszer fut le (a Pro változatban óránként). Probléma esetén e-mailt küld a kiválasztott felhasználóknak. A Sérülékenységi értesítési küszöb adja meg, mely sérülékenységek kerüljenek az értesítésbe: Mind, Közepes és magas prioritású vagy Csak magas prioritású.

Felhasználói naplózás

Naplózza a felhasználói műveleteket: bejelentkezést, tartalom mentését, a webhely szoftverén végzett módosításokat.

Verziókezelés

Védi a webhelyet, ha az elavult szoftvereket nem frissítik elég gyorsan.

Beállítás	Mit csinál
WordPress-frissítések	Automatikusan telepíti a legfrissebb WordPress-kiadást. Érdemes bekapcsolni, kivéve ha naponta kézzel frissítesz.
Bővítmény-frissítések	Egyéni vagy Mind: automatikusan telepíti a bővítményfrissítéseket, és a WordPress saját automatikus frissítését kikapcsolja az ütközések elkerülésére.
Sablonfrissítések	Ugyanez a sablonokra.
Régi WordPress-webhelyek vizsgálata	Naponta megkeresi a tárhelyfiókban a régi WordPress-webhelyeket, amelyek révén a szerver veszélybe kerülhet.
Automatikus frissítés, ha sebezhetőséget javít	A bővítményt vagy sablont azonnal frissíti, ha a frissítés a Site Scanner által talált sebezhetőséget javít.

Utilities: eszközök

https://minta-bolt.hu/wp-admin/admin.php?page=itsec&path=%2Fsettings%2Fconfigure%2Futility

Adatbázis-mentések

Kézi vagy ütemezett adatbázis-mentés.

Beállítás	Mit csinál
Adatbázis-biztonsági mentések ütemezése	Automatikus mentések bekapcsolása.
Mentési mód	Helyi mentés és e-mailben küldés, Csak e-mailben vagy Csak helyi mentés.
Mentési fájlok tömörítése	Alapból be van kapcsolva; ha gond van a mentésekkel, kapcsold ki.
Mentendő táblák	A Belefoglalandó táblák és a Kizárt táblák listája. A WordPress alaptáblái mindig szerepelnek.

Helymeghatározás

A Megbízható eszközök funkciót külső helymeghatározási vagy térképező szolgáltatással bővíti. Alapból több ingyenes GeoIP-szolgáltatást használ; a nagyobb pontossághoz a MaxMind valamelyik API-ját javasolja.

Beállítás	Mit csinál
MaxMind GeoLite2	Ingyenes adatbázis külső API nélkül. Ingyenes MaxMind-fiók és licenckulcs kell hozzá; az API-kulcs megadása után a Download DB gomb letölti az adatbázist (kb. 27 MB).
MaxMind API	A MaxMind-fiók Services > My License Key részén található API-felhasználó és API-kulcs.
Térképszolgáltatás	Statikus képtérkép mutatja a fel nem ismert bejelentkezés hozzávetőleges helyét; a Mapbox vagy a MapQuest API javasolt.

Modulok: kiegészítő részletek

Jogosultságszint-emelés

Az adminisztrátor meghatározott időre Adminisztrátor vagy Szerkesztő jogosultságot adhat egy felhasználónak. Egy vállalkozó például 24 órára kaphat fejlesztői hozzáférést, ami utána magától megszűnik. A jogosultság megadásához nyisd meg a felhasználó Profil oldalát, és keresd meg a beállítást a biztonsági felhasználói beállítások között. A felhasználó megjelenített szerepköre nem változik, csak a jogosultságai.

Jelszó nélküli bejelentkezés

A mágikus link e-mailben érkezik a profilban szereplő címre, és a WordPress bejelentkező oldalára irányít. A hozzáférési kulcsokkal a jelszó megjegyzése nélkül léphetsz be, akár a készüléked biometrikus azonosítójával (Face ID, Touch ID, Windows Hello), akár fizikai biztonsági kulccsal.

Adminisztrátori hozzáférés korlátozása ország szerint

A /wp-admin/ elérését jóváhagyott országok listájára korlátozhatod. Ha valaki ellopott jelszóval külföldről próbál belépni, a kísérlet még azelőtt elakad, hogy elérné a webhelyet.

Felhasználók kitiltása: további tudnivalók

A modul legördülő részében csak a user agentek kitiltása van; a konkrét IP-címek kitiltása a Biztonság → Vezérlőpult oldal Kitiltott IP-címek kártyáján történik. A modul nem érhető el, ha az IP-észlelés nincs beállítva (lásd Gyakori kérdések).

A Tiltólisták engedélyezése bekapcsolásával korlátozhatod a szerverfájlban tárolt tiltott IP-k számát (alapérték: 100), ami kis erőforrású szervereken csökkenti az időtúllépés esélyét. A User agentek kitiltása mezőben megadott karakterláncú user agentek nem érhetik el a webhelyet.

Tűzfalszabály-motor

A tűzfal ismert rossz mintákhoz hasonlítja a forgalmat (a Patchstack és a saját szabályaid alapján). Ha egy látogató túl sok szabálysértést követ el a beállított időszakban, az IP-címét zárolja. Az IP-címenkénti maximális tűzfal-szabálysértések száma és a Megőrzési idő értékével szabályozhatod a szigort.

Helyi brute force: kétlépcsős rendszer

1. Ideiglenes zárolás: IP-címenként 5, felhasználónként 10 sikertelen próbálkozás után az IP-cím vagy a felhasználó 15 percre zárolva lesz (ekkor megy a webhelyzárolási értesítés).
2. Végleges tiltás: ha 7 napon belül 3 ideiglenes zárolás gyűlt össze, az IP-cím véglegesen tiltott lesz, és megjelenik a vezérlőpult Kitiltott IP-címek kártyáján.

A küszöbértékeket az IP-címenkénti maximális bejelentkezési kísérletszám és a Sikertelen bejelentkezési kísérletek megőrzési ideje mezőkben módosíthatod.

Hálózati brute force: működés

A résztvevő webhelyek megosztják a rosszindulatú IP-címek adatait. Ha egy címet a hálózat visszaélésesnek jelölt, nálad is azonnal blokkolható, még akkor is, ha a bejelentkezési kísérlet technikailag helyes. Az automatikus API-kulcshoz meg kell adnod egy e-mail-címet.

Varázslinkek

A zárolási oldalon, ha a zárolás egy ismert felhasználóhoz kötődik, megjelenik a Send Magic Link gomb; rákattintva rövid életű bejelentkezési linket kapsz e-mailben. IP-alapú zárolásnál (például ismétlődő 404 vagy általános tiltás) a gomb nem látszik. A Varázslinkek nem működnek, amíg a bővítmény Must-Use bővítményként töltődik be (lásd Gyakori kérdések).

CAPTCHA

A bejelentkezési űrlapok védelmére szolgál: szűri a rosszindulatú bejelentkezéseket és a spam-regisztrációkat, amelyek a regisztrációt engedő webhelyek gyakori támadásai.

Fájlváltozás, ütemezett vizsgálat, felhasználói naplózás

• A Fájlváltozás figyeli, mely fájlok változtak a WordPress-telepítésben, és értesít a nem általad végzett módosításokról, mert a kártevők rendszerint fájlokat adnak hozzá, törölnek vagy módosítanak.
• Az Ütemezett webhelyvizsgálat naponta négyszer (Pro: óránként) fut. Ha olyan új sérülékenységet talál, amelyet az előző vizsgálat nem jelzett, és a prioritása eléri a beállított küszöböt, e-mailt küld az adminisztrátornak vagy a kijelölt felhasználóknak.
• A Felhasználói naplózás a bejelentkezést, a tartalom mentését és a szoftvermódosításokat naplózza.

Verziókezelés részletesen

A Verziókezelés bekapcsolásával a bővítmény veszi át a frissítések irányítását, és kikapcsolja a WordPress alapértelmezett, bővítményenkénti automatikus frissítését, hogy ne ütközzenek. Két előnye van: a frissítések automatikusak, de szabályozhatók (azonnal, késleltetve vagy kizárva), és ismert sebezhetőségnél a javítás automatikusan telepíthető; ha még nincs javítás, a tűzfal virtuális javítása (Patchstack) ad átmeneti védelmet.

Érdemes használni, ha sok bővítményt és sablont kezelsz és kiszámítható frissítési szabályt akarsz, vagy a nagy hatású kiadásokat késleltetni szeretnéd, a biztonsági javításokat viszont gyorsan akarod telepíteni.

Bekapcsolás: Biztonság → Beállítások → Features → Site Check → Verziókezelés, majd bontsd ki a beállításokat.

Beállítás	Mit csinál
WordPress-frissítések	Automatikusan telepíti a legújabb WordPress-kiadást. Karbantartási és biztonsági kiadásoknál ajánlott; bonyolult webhelyen a nagy kiadásokat előbb tesztelni kell.
Bővítmény- és sablonfrissítések	Komponensenként: Enable (azonnali frissítés), Delay (késleltetés napokban, hasznos nagy kiadásoknál) vagy Disable (kizárás, kézzel frissítesz).
Automatikus frissítés, ha sebezhetőséget javít	Ha a vizsgálat ismert sebezhetőséget talál, és van frissítés, azonnal telepíti, a késleltetéstől függetlenül.
Régi WordPress-webhelyek vizsgálata	Megkeresi az ugyanazon tárhelyfiókon lévő elhagyott, még sebezhető WordPress-telepítéseket.

A Tűzfal oldalon egy Valós idejű frissítések állapot látszik. Active: a Verziókezelés be van kapcsolva, a sebezhetőségi információ és a virtuális javítás működik. Inactive: nincs bekapcsolva, kapcsold be a védelemhez. Ha „Real-Time Updates Inactive” látszik, kapcsold be a Verziókezelést, mentsd, és frissítsd a Tűzfal oldalt; ellenőrizd azt is, hogy a webhely licencelt, és eléri a szolgáltatásokat (nincs kimenő tűzfal- vagy REST-blokk).

Kényszerített SSL

Minden kapcsolatot SSL/TLS-en kényszerít a define( 'FORCE_SSL_ADMIN', true ); konstans wp-config.php-ba írásával. Ez nem helyettesíti az SSL-tanúsítványt: előbb szerezz be és telepíts egyet (kérdezd a tárhelyszolgáltatót). Bekapcsolás után ellenőrizd a webhelyet, különösen a vegyes tartalomra (mixed content) vonatkozó figyelmeztetéseket. Védi a bejelentkezési és fizetési adatokat, és az https a keresőrangsorolásnak is jó.

Adatbázis-mentések: működés és gondok

A bővítmény először egy nyers .sql fájlt készít. Ha a tömörítés be van kapcsolva, .zip-be csomagolja, és sikeres tömörítés után az .sql törlődik. A mentés után a régebbi mentések törlődnek, csak a Megőrzendő mentések számát hagyja meg. A megőrzés csak a helyi mentésekre vonatkozik: Csak e-mailben módnál nincs törlés. A Mentési időköz napokban adja meg a gyakoriságot (például 3 = háromnaponta). A WordPress alaptáblái mindig bekerülnek; a Kizárt táblák listája hasznos nagy, nem lényeges táblákhoz (például naplók). A funkció nem jelenik meg, ha a Solid Backups (régi változat) aktív. Teljes körű mentéshez külön mentőbővítmény ajánlott.

Ha halmozódnak az .sql fájlok, vagy a régi mentések nem törlődnek, a folyamat nem jut el a tömörítésig és a törlésig. Tipikus okok: túl alacsony PHP-végrehajtási idő (nagy adatbázis, 60 mp felett), kevés tárhely az .sql és a .zip együtt, a fájlengedélyek tiltják a törlést, WP-Cron időtúllépés vagy nagy táblák.

Security Check Pro és helymeghatározás

A Security Check Pro modul az IP-címek azonosításának helyes módját keresi meg a szerverkonfiguráció alapján. Csak az alap változatban jelenik meg; a Pro változat alapból ezt használja.

A Helymeghatározás a Megbízható eszközök funkcióhoz ad külső helymeghatározó szolgáltatást: a fel nem ismert bejelentkezések hozzávetőleges helyét látod, így gyorsabban felmérheted a veszélyt. Fontos: a hely közelítő, nem pontos cím, és a VPN-t használók valódi helyét elfedheti.