Webhelyvizsgálatok

A Biztonság → Webhelyvizsgálatok oldalon kézi vizsgálatot indíthatsz, és megnézheted az eredményét.

https://minta-bolt.hu/wp-admin/admin.php?page=itsec-site-scan

A vizsgálat az alábbi területeken keres biztonsági problémát (a felső sor lépései):

• Inactive Users: inaktív felhasználók.
• Rogue Installs: elhagyott WordPress-telepítések.
• Plugins és Themes: sebezhető bővítmények és sablonok.
• WordPress Core: a WordPress-mag ismert sebezhetőségei.
• Google Safe Browsing: megnézi, hogy a Google Safe Browsing kártevősként jelölte-e meg a webhelyet (a webhely feketelistás állapota).
• Two Factor: kétfaktoros hitelesítés hiánya.
• Password: gyenge jelszavak.

Kézi vizsgálathoz kattints a Start Site Scan gombra. A korábbi vizsgálatok eredményét a Biztonság → Naplók oldalon találod. Az eredménytáblázat oszlopai: Type, Scan Info, Priority, Status, Action. Két lap van: Scan Results (eredmények) és Muted Results (elnémított eredmények).

Mit tegyél, ha a vizsgálat problémát talál

A találatok egy része téves riasztás, vagy olyan ismert kockázat, amelyet tudatosan vállalsz, ezért nem mindegyik igényel azonnali beavatkozást. A View Details legördülő lista a részleteket és a javasolt teendőket mutatja, itt némíthatod el a problémát is. A lépésenkénti teendők:

Inactive Users

Felsorolja az utóbbi több mint 30 napban inaktív felhasználókat. Teendő: nézd át őket, és minősítsd vissza (jogosultságot csökkentve) vagy töröld őket.

Rogue Installs

Megkeresi az ugyanazon a szerveren lévő régi, már nem használt WordPress-telepítéseket. Ritka, hogy ugyanabban a gyökérkönyvtárban vagy egy másik könyvtáron belül több WordPress van, és ezt a vizsgálat észreveszi. Teendő: nézd meg a talált régi webhelyeket. Ha még használod, frissítsd a WordPresst, a bővítményeket és a sablonokat. Ha nem kell, a tárhely fájlkezelőjével törölheted.

Plugins és Themes

Felsorolja az elavult és sebezhető bővítményeket, sablonokat és a WordPress-magot a súlyossággal együtt. A sebezhető bővítményeknél és sablonoknál a Priority oszlop a Patchstack Priority pontszámot mutatja, ami a valós kockázatot adja (lásd Sérülékenységek).

Teendő: a legfontosabb, hogy keress frissítést, mert a legtöbb ismert sebezhetőséghez van javítás. Ha nincs frissítés, mérlegelned kell:

• Nézd meg, hogy a bővítményt vagy sablont aktívan támogatják-e. A hivatalos WordPress-tárban az utolsó frissítés ideje látszik, másoknál a fejlesztőt kell megkérdezni.
• Kisebb sebezhetőségnél aktívan hagyhatod, nagyobbnál érdemes alternatívát keresni.
• A Pro változatban a Beállítások → Features oldalon bekapcsolhatod a virtuális javítást. Ha egy sebezhetőséghez van virtuális javítás, a bővítmény automatikusan alkalmazza, amíg a gyártó frissítést nem ad ki.
• Ha már tudsz a problémáról, vagy nem akarsz róla értesítést kapni, elnémíthatod.

WordPress Core

A WordPress-mag ismert sebezhetőségeit keresi. Teendő: frissítsd a WordPresst a legújabb verzióra.

Google Safe Browsing

Ellenőrzi, hogy a webhely felkerült-e a Google Safe Browsing tiltólistájára. Ha a Google „megtévesztőnek” jelölte, ezt tedd:

1. Vizsgáld át a webhelyet sebezhetőségek és kártevők után.
2. Frissítsd vagy távolítsd el a sebezhető sablonokat és bővítményeket.
3. Keresd meg és töröld a kártevőket.
4. Kérj felülvizsgálatot a Google-től: a Google Search Console Security & Manual Actions → Security issues részében kattints a Request Review gombra.
5. Győződj meg róla, hogy már nem vagy a tiltólistán.

Two Factor

Felsorolja azokat a felhasználókat, akiknek adminisztrátor-szintű jogaik vannak, de nincs bekapcsolva a kétfaktoros hitelesítésük. Teendő: küldj a felhasználónak kétfaktoros emlékeztető e-mail-értesítést (lásd Értesítések).

Password

Felsorolja az adminisztrátor-szintű jogú, de nem biztonságos jelszót használó felhasználókat. A jelszavakat a bővítmény nem tárolja, ezért csak azokat a gyenge jelszavakat találja meg, amelyeket a funkció bekapcsolása után adtak meg. Új telepítésnél, ha még nem kényszerítettél jelszócserét, téves vagy nem egyértelmű eredmény is előfordulhat. Teendő: kapcsold be az Erős jelszavak beállítást a felhasználói csoportoknál, hogy a felhasználók erős jelszót adjanak meg (lásd Felhasználói csoportok).

Automatikus vizsgálat bekapcsolása

1. Nyisd meg a Biztonság → Beállítások → Features → Site Check részt.
2. Kapcsold be az Ütemezett webhelyvizsgálat (Site Scan Scheduling) modult.

Az automatikus vizsgálat az alapváltozatban naponta négyszer, a Pro változatban óránként fut. Ha új sebezhetőséget talál, amely eléri a megadott prioritási küszöböt, és az előző vizsgálat még nem jelezte, a Site Scan Results e-mail-értesítést küldi. Az értesítést az Értesítések beállításainál kezelheted.

Találat elnémítása

Ha várod a sebezhető szoftver frissítését, vagy megerősítetted, hogy a találat nem probléma, elnémíthatod, így nem kapsz róla több értesítést.

1. A találat sorában az Action oszlopban nyisd le a View Details listát.
2. Kattints a Mute Issue gombra.

Az elnémított találatok a következő vizsgálatoknál nem a Scan Results, hanem a Muted Results lapon jelennek meg, ahonnan újra bekapcsolhatod (unmute) őket.

Van a vizsgálónak engedélyezhető IP-címe?

Igen. Előfordulhat, hogy a tárhelyszolgáltató blokkolja a vizsgáló IP-címét; ilyenkor engedélyezned kell: 207.246.255.60.

Gyakori vizsgálati hibák

A vizsgálatról a Biztonság → Naplók oldalon napló készül. A naplóbejegyzés Raw Details (nyers részletek) nézete adja a legtöbb információt a hiba okáról (lásd Vizsgálati naplók).

cURL error 28

A naplóban: cURL error 28: Operation timed out after x milliseconds. A vizsgálat időtúllépésbe ütközött, ami szerveroldali és lehet átmeneti. Ha gyakran előfordul, nézd meg a szerver naplóit. A tárhelyszolgáltatóval ellenőriztesd:

• a WP Cron működését,
• hogy nincs-e letiltva a loopback,
• hogy a szerver tűzfala vagy a ModSecurity nem blokkolja-e a kimenő cURL-kéréseket.

Exceeded rate limit

„Exceeded rate limit. Please wait x seconds.”: a vizsgálat túl sokszor futott egymás után. Várd meg a megadott időt. Ha folyamatosan megtörténik, jellemzően két dolog együtt okozza: az alapváltozat használata és a megosztott tárhely. Az alapváltozat 10 perces korlátja a szerver IP-címéhez kötött, ezért a megosztott tárhelyen lévő webhelyek egyetlen webhelynek látszanak. Megoldás: több szervererőforrás, a vizsgálat cron-feladatainak időben eltolása (a tárhellyel), vagy a Pro változat.

Invalid response vagy Invalid JSON

A vizsgálat nem JSON-választ kapott. Tippek:

• A szerver engedélyezze a szükséges REST HTTP-módszereket: GET, POST, PUT, PATCH, DELETE és OPTIONS.
• Ne blokkold a vizsgáló IP-címét (207.246.255.60) a szerver tűzfalán, biztonsági bővítményben vagy CDN-tűzfalon.

A site_verification_failed.invalid_json kód licencproblémára is utalhat: ellenőrizd a bővítmény licencét, és érvényesítsd újra.

Cloudflare 524 időtúllépés

Előfordulhat, hogy az „Invalid JSON” vagy a „Site Scanning is temporarily unavailable, please try again later.” üzenet mellett Cloudflare 524-es időtúllépés részletei látszanak. Ez azt jelenti, hogy a vizsgáló csatlakozott, de a szerver túl lassan válaszolt, ezért a Cloudflare megszakította a kapcsolatot. Megoldás: nézd meg a szerver naplóit teljesítményproblémák vagy a késést okozó folyamatok után, és olvasd át a Cloudflare 524-es hibáról szóló súgóját.

403 Connection error

A site_verification_failed.connection_error kód többféle esetben jelenik meg, és az üzenet általában megmondja, hol keress:

• A vizsgáló IP-címét blokkolják („The site scanner was forbidden from accessing your site. Please check if the IP address 207.246.255.60 has been blocked.”): engedélyezd a címet.
• Valami letiltja a REST API-t (például Coming Soon oldal, W3 Total Cache, Password Protected, Members, Profile Builder, Disable Login, Clearfy, Disable REST API, REST API Toolbox, Defender Security, Shield Security, Force Login): kapcsold ki ezt a funkciót, és használd helyette a bővítmény Korlátozott REST API hozzáférés (Restricted REST API Access) beállítását.

Could not verify keypair: Token not found

A kulcspár ellenőrzésekor időtúllépés történt. A kulcspár-ellenőrzés csak licenc nélküli bővítménynél kellene hogy történjen. Ha Pro, licencelt változatot használsz, és mégis ezt kapod, általában valahol még fut egy régi WordPress-példány a bővítmény licenc nélküli változatával. Ellenőrizd a tárhelyszolgáltatóval (a korábbi tárhelyeket is, ha költöztél), hogy a régi webhely tényleg le van-e kapcsolva vagy törölve, vagy a bővítmény ki van-e kapcsolva. Hibakeresésnél érdemes a webhelyen a tranzienseket is törölni, hogy a régi kulcspár-adatok ne maradjanak meg.

Not Found, Internal Server Error

Az Error Code: not_found / Error Message: Not Found vagy az internal_server_error / Internal Server Error azt jelentheti, hogy a bővítmény vizsgálószerverének átmeneti kiesése van. Ilyenkor értesítsd a gyártó ügyfélszolgálatát, vagy kérdezz rá az állapotra.

Missing scan URL

A „Missing scan URL” vagy a site_verification_failed.missing_url hiba azt jelenti, hogy a vizsgáló nem tudta ellenőrizni a webhely URL-jét, többnyire a hibás Authorization fejléc miatt. Okai lehetnek: egy biztonsági, gyorsítótár- vagy optimalizáló bővítmény módosítja vagy blokkolja a fejlécet, a szerver kimenő HTTP-proxyja zavar, vagy hibás vagy hiányzik a vizsgált URL a beállításokban.

1. Ellenőrizd, hogy a Licensed URL helyes-e a Beállítások → SolidWP Licensing oldalon.
2. Ha nem segít, kapcsold ki egyenként a biztonsági, gyorsítótár- és optimalizáló bővítményeket, és minden után futtass kézi vizsgálatot.
3. Ha nem bővítmény az ok, kérdezd meg a tárhelyszolgáltatót, korlátozzák-e az Authorization fejlécet, vagy szűrik-e a kimenő HTTP-kéréseket.
4. Proxyszolgáltatásnál (például Cloudflare) nézd meg a beállításait, hogy nem zavarják-e a vizsgálati kérést. A szerver naplói (például /wp-content/debug.log) további nyomot adhatnak.
5. Ha semmi sem segít, fordulj a gyártó ügyfélszolgálatához a webhely adataival és a már kipróbált lépésekkel.

Invalid Signature

Általában hibás vagy sérült licencadatok okozzák. Ellenőrizd a licenc adatait és a Licensed URL mezőt. Megpróbálhatod a licenc eltávolítását és újbóli megadását is.

Your site’s SSL certificate is invalid

A vizsgáló nem tudja érvényesíteni a webhely SSL-tanúsítványát, még ha a modern böngészők szerint rendben is van. A Raw Details-ben ez látszik: Error Code: site_verification_failed.connection_error és „Unable to determine if the scan target is allowed: Target site returned invalid response. Your site’s SSL certificate is invalid.” Teendők:

• Ellenőrizd, hogy a tanúsítvány érvényes, nem járt le, és helyesen van telepítve.
• A szerveren és minden hozzárendelt aldomainen legyen bekapcsolva a TLS 1.2 a TLS 1.3 mellett. Cloudflare esetén a zónaszintű minimális TLS-verziót állítsd úgy, hogy a TLS 1.2 támogatott legyen.
• Nézd meg, hogy nincs-e hiba a tanúsítványláncban vagy a gazdanév eltérésében (erre SSL-ellenőrző eszközök használhatók).