# Webhelyvizsgálatok

> A kézi és az automatikus webhelyvizsgálat, a találatok kezelése, az elnémítás és a gyakori vizsgálati hibák megoldása.

A **Biztonság → Webhelyvizsgálatok** oldalon kézi vizsgálatot indíthatsz, és megnézheted az eredményét.

![A Webhelyvizsgálatok oldal a vizsgálat lépéseivel](./kepek/tuzfal-sebezhetosegek-webhelyvizsgalat.webp)

*A Webhelyvizsgálatok oldal a vizsgálat lépéseivel* (https://minta-bolt.hu/wp-admin/admin.php?page=itsec-site-scan)

A vizsgálat az alábbi területeken keres biztonsági problémát (a felső sor lépései):

- **Inactive Users**: inaktív felhasználók.
- **Rogue Installs**: elhagyott WordPress-telepítések.
- **Plugins** és **Themes**: sebezhető bővítmények és sablonok.
- **WordPress Core**: a WordPress-mag ismert sebezhetőségei.
- **Google Safe Browsing**: megnézi, hogy a Google Safe Browsing kártevősként jelölte-e meg a webhelyet (a webhely feketelistás állapota).
- **Two Factor**: kétfaktoros hitelesítés hiánya.
- **Password**: gyenge jelszavak.

Kézi vizsgálathoz kattints a **Start Site Scan** gombra. A korábbi vizsgálatok eredményét a **Biztonság → Naplók** oldalon találod. Az eredménytáblázat oszlopai: **Type**, **Scan Info**, **Priority**, **Status**, **Action**. Két lap van: **Scan Results** (eredmények) és **Muted Results** (elnémított eredmények).

## Mit tegyél, ha a vizsgálat problémát talál

A találatok egy része téves riasztás, vagy olyan ismert kockázat, amelyet tudatosan vállalsz, ezért nem mindegyik igényel azonnali beavatkozást. A **View Details** legördülő lista a részleteket és a javasolt teendőket mutatja, itt némíthatod el a problémát is. A lépésenkénti teendők:

### Inactive Users

Felsorolja az utóbbi több mint 30 napban inaktív felhasználókat. **Teendő:** nézd át őket, és minősítsd vissza (jogosultságot csökkentve) vagy töröld őket.

### Rogue Installs

Megkeresi az ugyanazon a szerveren lévő régi, már nem használt WordPress-telepítéseket. Ritka, hogy ugyanabban a gyökérkönyvtárban vagy egy másik könyvtáron belül több WordPress van, és ezt a vizsgálat észreveszi. **Teendő:** nézd meg a talált régi webhelyeket. Ha még használod, frissítsd a WordPresst, a bővítményeket és a sablonokat. Ha nem kell, a tárhely fájlkezelőjével törölheted.

### Plugins és Themes

Felsorolja az elavult és sebezhető bővítményeket, sablonokat és a WordPress-magot a súlyossággal együtt. A sebezhető bővítményeknél és sablonoknál a **Priority** oszlop a Patchstack Priority pontszámot mutatja, ami a valós kockázatot adja (lásd [Sérülékenységek](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-serulekenysegek/)).

**Teendő:** a legfontosabb, hogy keress frissítést, mert a legtöbb ismert sebezhetőséghez van javítás. Ha nincs frissítés, mérlegelned kell:

- Nézd meg, hogy a bővítményt vagy sablont aktívan támogatják-e. A hivatalos WordPress-tárban az utolsó frissítés ideje látszik, másoknál a fejlesztőt kell megkérdezni.
- Kisebb sebezhetőségnél aktívan hagyhatod, nagyobbnál érdemes alternatívát keresni.
- A Pro változatban a **Beállítások → Features** oldalon bekapcsolhatod a virtuális javítást. Ha egy sebezhetőséghez van virtuális javítás, a bővítmény automatikusan alkalmazza, amíg a gyártó frissítést nem ad ki.
- Ha már tudsz a problémáról, vagy nem akarsz róla értesítést kapni, elnémíthatod.

### WordPress Core

A WordPress-mag ismert sebezhetőségeit keresi. **Teendő:** frissítsd a WordPresst a legújabb verzióra.

### Google Safe Browsing

Ellenőrzi, hogy a webhely felkerült-e a Google Safe Browsing tiltólistájára. Ha a Google „megtévesztőnek” jelölte, ezt tedd:

1. Vizsgáld át a webhelyet sebezhetőségek és kártevők után.
2. Frissítsd vagy távolítsd el a sebezhető sablonokat és bővítményeket.
3. Keresd meg és töröld a kártevőket.
4. Kérj felülvizsgálatot a Google-től: a Google Search Console **Security & Manual Actions → Security issues** részében kattints a **Request Review** gombra.
5. Győződj meg róla, hogy már nem vagy a tiltólistán.

### Two Factor

Felsorolja azokat a felhasználókat, akiknek adminisztrátor-szintű jogaik vannak, de nincs bekapcsolva a kétfaktoros hitelesítésük. **Teendő:** küldj a felhasználónak kétfaktoros emlékeztető e-mail-értesítést (lásd [Értesítések](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/ertesitesek/)).

### Password

Felsorolja az adminisztrátor-szintű jogú, de nem biztonságos jelszót használó felhasználókat. A jelszavakat a bővítmény nem tárolja, ezért csak azokat a gyenge jelszavakat találja meg, amelyeket a funkció bekapcsolása után adtak meg. Új telepítésnél, ha még nem kényszerítettél jelszócserét, téves vagy nem egyértelmű eredmény is előfordulhat. **Teendő:** kapcsold be az **Erős jelszavak** beállítást a felhasználói csoportoknál, hogy a felhasználók erős jelszót adjanak meg (lásd [Felhasználói csoportok](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/felhasznaloi-csoportok/)).

## Automatikus vizsgálat bekapcsolása

1. Nyisd meg a **Biztonság → Beállítások → Features → Site Check** részt.
2. Kapcsold be az **Ütemezett webhelyvizsgálat** (Site Scan Scheduling) modult.

Az automatikus vizsgálat az alapváltozatban naponta négyszer, a Pro változatban óránként fut. Ha új sebezhetőséget talál, amely eléri a megadott prioritási küszöböt, és az előző vizsgálat még nem jelezte, a **Site Scan Results** e-mail-értesítést küldi. Az értesítést az **Értesítések** beállításainál kezelheted.

## Találat elnémítása

Ha várod a sebezhető szoftver frissítését, vagy megerősítetted, hogy a találat nem probléma, elnémíthatod, így nem kapsz róla több értesítést.

1. A találat sorában az **Action** oszlopban nyisd le a **View Details** listát.
2. Kattints a **Mute Issue** gombra.

Az elnémított találatok a következő vizsgálatoknál nem a **Scan Results**, hanem a **Muted Results** lapon jelennek meg, ahonnan újra bekapcsolhatod (unmute) őket.

## Van a vizsgálónak engedélyezhető IP-címe?

Igen. Előfordulhat, hogy a tárhelyszolgáltató blokkolja a vizsgáló IP-címét; ilyenkor engedélyezned kell: `207.246.255.60`.

## Gyakori vizsgálati hibák

A vizsgálatról a **Biztonság → Naplók** oldalon napló készül. A naplóbejegyzés **Raw Details** (nyers részletek) nézete adja a legtöbb információt a hiba okáról (lásd [Vizsgálati naplók](https://hub.hellowp.io/hu/plugins/ithemes-security-pro/tuzfal-sebezhetosegek-vizsgalati-naplok/)).

### cURL error 28

A naplóban: `cURL error 28: Operation timed out after x milliseconds`. A vizsgálat időtúllépésbe ütközött, ami szerveroldali és lehet átmeneti. Ha gyakran előfordul, nézd meg a szerver naplóit. A tárhelyszolgáltatóval ellenőriztesd:

- a WP Cron működését,
- hogy nincs-e letiltva a loopback,
- hogy a szerver tűzfala vagy a ModSecurity nem blokkolja-e a kimenő cURL-kéréseket.

### Exceeded rate limit

„Exceeded rate limit. Please wait x seconds.”: a vizsgálat túl sokszor futott egymás után. Várd meg a megadott időt. Ha folyamatosan megtörténik, jellemzően két dolog együtt okozza: az alapváltozat használata és a megosztott tárhely. Az alapváltozat 10 perces korlátja a szerver IP-címéhez kötött, ezért a megosztott tárhelyen lévő webhelyek egyetlen webhelynek látszanak. Megoldás: több szervererőforrás, a vizsgálat cron-feladatainak időben eltolása (a tárhellyel), vagy a Pro változat.

### Invalid response vagy Invalid JSON

A vizsgálat nem JSON-választ kapott. Tippek:

- A szerver engedélyezze a szükséges REST HTTP-módszereket: GET, POST, PUT, PATCH, DELETE és OPTIONS.
- Ne blokkold a vizsgáló IP-címét (`207.246.255.60`) a szerver tűzfalán, biztonsági bővítményben vagy CDN-tűzfalon.

A `site_verification_failed.invalid_json` kód licencproblémára is utalhat: ellenőrizd a bővítmény licencét, és érvényesítsd újra.

#### Cloudflare 524 időtúllépés

Előfordulhat, hogy az „Invalid JSON” vagy a „Site Scanning is temporarily unavailable, please try again later.” üzenet mellett Cloudflare 524-es időtúllépés részletei látszanak. Ez azt jelenti, hogy a vizsgáló csatlakozott, de a szerver túl lassan válaszolt, ezért a Cloudflare megszakította a kapcsolatot. Megoldás: nézd meg a szerver naplóit teljesítményproblémák vagy a késést okozó folyamatok után, és olvasd át a Cloudflare 524-es hibáról szóló súgóját.

### 403 Connection error

A `site_verification_failed.connection_error` kód többféle esetben jelenik meg, és az üzenet általában megmondja, hol keress:

- A vizsgáló IP-címét blokkolják („The site scanner was forbidden from accessing your site. Please check if the IP address 207.246.255.60 has been blocked.”): engedélyezd a címet.
- Valami letiltja a REST API-t (például Coming Soon oldal, W3 Total Cache, Password Protected, Members, Profile Builder, Disable Login, Clearfy, Disable REST API, REST API Toolbox, Defender Security, Shield Security, Force Login): kapcsold ki ezt a funkciót, és használd helyette a bővítmény **Korlátozott REST API hozzáférés** (Restricted REST API Access) beállítását.

### Could not verify keypair: Token not found

A kulcspár ellenőrzésekor időtúllépés történt. A kulcspár-ellenőrzés csak licenc nélküli bővítménynél kellene hogy történjen. Ha Pro, licencelt változatot használsz, és mégis ezt kapod, általában valahol még fut egy régi WordPress-példány a bővítmény licenc nélküli változatával. Ellenőrizd a tárhelyszolgáltatóval (a korábbi tárhelyeket is, ha költöztél), hogy a régi webhely tényleg le van-e kapcsolva vagy törölve, vagy a bővítmény ki van-e kapcsolva. Hibakeresésnél érdemes a webhelyen a tranzienseket is törölni, hogy a régi kulcspár-adatok ne maradjanak meg.

### Not Found, Internal Server Error

Az `Error Code: not_found` / `Error Message: Not Found` vagy az `internal_server_error` / `Internal Server Error` azt jelentheti, hogy a bővítmény vizsgálószerverének átmeneti kiesése van. Ilyenkor értesítsd a gyártó ügyfélszolgálatát, vagy kérdezz rá az állapotra.

### Missing scan URL

A „Missing scan URL” vagy a `site_verification_failed.missing_url` hiba azt jelenti, hogy a vizsgáló nem tudta ellenőrizni a webhely URL-jét, többnyire a hibás Authorization fejléc miatt. Okai lehetnek: egy biztonsági, gyorsítótár- vagy optimalizáló bővítmény módosítja vagy blokkolja a fejlécet, a szerver kimenő HTTP-proxyja zavar, vagy hibás vagy hiányzik a vizsgált URL a beállításokban.

1. Ellenőrizd, hogy a **Licensed URL** helyes-e a **Beállítások → SolidWP Licensing** oldalon.
2. Ha nem segít, kapcsold ki egyenként a biztonsági, gyorsítótár- és optimalizáló bővítményeket, és minden után futtass kézi vizsgálatot.
3. Ha nem bővítmény az ok, kérdezd meg a tárhelyszolgáltatót, korlátozzák-e az Authorization fejlécet, vagy szűrik-e a kimenő HTTP-kéréseket.
4. Proxyszolgáltatásnál (például Cloudflare) nézd meg a beállításait, hogy nem zavarják-e a vizsgálati kérést. A szerver naplói (például `/wp-content/debug.log`) további nyomot adhatnak.
5. Ha semmi sem segít, fordulj a gyártó ügyfélszolgálatához a webhely adataival és a már kipróbált lépésekkel.

### Invalid Signature

Általában hibás vagy sérült licencadatok okozzák. Ellenőrizd a licenc adatait és a **Licensed URL** mezőt. Megpróbálhatod a licenc eltávolítását és újbóli megadását is.

### Your site's SSL certificate is invalid

A vizsgáló nem tudja érvényesíteni a webhely SSL-tanúsítványát, még ha a modern böngészők szerint rendben is van. A **Raw Details**-ben ez látszik: `Error Code: site_verification_failed.connection_error` és „Unable to determine if the scan target is allowed: Target site returned invalid response. Your site's SSL certificate is invalid.” Teendők:

- Ellenőrizd, hogy a tanúsítvány érvényes, nem járt le, és helyesen van telepítve.
- A szerveren és minden hozzárendelt aldomainen legyen bekapcsolva a TLS 1.2 a TLS 1.3 mellett. Cloudflare esetén a zónaszintű minimális TLS-verziót állítsd úgy, hogy a TLS 1.2 támogatott legyen.
- Nézd meg, hogy nincs-e hiba a tanúsítványláncban vagy a gazdanév eltérésében (erre SSL-ellenőrző eszközök használhatók).