Wtyczka bezpieczeństwa kosztuje kilka minut instalacji i daje poczucie, że temat jest zamknięty. Potem przychodzi dzień, w którym strona firmowa nie odpowiada od rana, formularz kontaktowy nie przyjmuje zapytań, a telefon milczy. Wordfence w tym momencie zwykle działa poprawnie i nadal blokuje boty, tylko problem leży poza jego zasięgiem.
Ten tekst nie jest wyliczanką argumentów przeciwko wtyczkom. Wordfence to dobre narzędzie i sami oglądamy jego zapisy na stronach, którymi się opiekujemy. Chodzi o granicę, za którą kończy się to, co potrafi oprogramowanie, a zaczyna opieka nad WordPressem z dyżurem przy awarii, czyli praca człowieka.
Najważniejsze wnioski w skrócie
- Wordfence pilnuje ruchu wchodzącego na stronę, więc blokuje boty i próby logowania, ale nie odpowiada za to, co dzieje się ze stroną po nieudanej aktualizacji.
- W wersji darmowej nowe reguły firewalla i sygnatury złośliwego kodu docierają z opóźnieniem 30 dni, więc świeżo ogłoszona luka zostaje otwarta przez miesiąc.
- Kopia zapasowa trzymana na tym samym koncie hostingowym ginie razem z serwerem, a Wordfence kopii w ogóle nie robi.
- Alert nie jest reakcją, bo o 3 w nocy wiadomość z wtyczki trafia do skrzynki właściciela, a nie do kogoś, kto ma dostępy i wie, co przywrócić.
- Sam producent wtyczki sprzedaje reakcję człowieka jako osobną, dużo droższą usługę, co najlepiej pokazuje, gdzie kończy się oprogramowanie.
Co Wordfence naprawdę robi z ruchem na Twojej stronie
Wordfence pracuje na jednej warstwie, czyli na ruchu wchodzącym na stronę. Filtruje zapytania firewallem, skanuje pliki w poszukiwaniu znanego złośliwego kodu i pilnuje logowania, czyli blokuje automaty próbujące zgadnąć hasło. To realna ochrona przed najczęstszym typem ataku, który polega na masowym pukaniu do drzwi.
Firewall działa jak zapora sprawdzająca zapytania, zanim dotrą do WordPressa. W trybie rozszerzonym startuje przed silnikiem strony, więc zatrzymuje część ataków, zanim WordPress w ogóle się uruchomi. Skaner porównuje pliki na serwerze z bazą znanych sygnatur, czyli wzorców złośliwego kodu, i zgłasza zmiany w plikach silnika. Moduł logowania dokłada uwierzytelnianie dwuskładnikowe, czyli drugi kod poza hasłem, oraz limit nieudanych prób.
Ta warstwa ma sens i nie zamierzamy jej podważać. Na przeciętnej firmowej stronie pod naszą opieką widzimy kilkaset zablokowanych prób logowania miesięcznie, więc ruch, który wtyczka odsiewa, jest zupełnie realny.
Różnica między wersją darmową a płatną nie dotyczy jednak liczby funkcji, tylko czasu. Na stronie wtyczki Wordfence w katalogu WordPressa producent pisze wprost, że nowe reguły firewalla i sygnatury trafiają do wersji darmowej z opóźnieniem 30 dni. Kiedy w popularnej wtyczce zostaje ogłoszona krytyczna luka, atakujący zaczynają jej szukać w ciągu godzin, a darmowy Wordfence dostaje regułę miesiąc później.
Czego nie zrobi żadna wtyczka bezpieczeństwa
3 rzeczy decydują o tym, czy awaria kończy się na godzinie czy na tygodniu, i wszystkie 3 leżą poza zasięgiem wtyczki: bezpieczna aktualizacja, kopia poza serwerem oraz reakcja człowieka. Żadnej z nich nie da się włączyć suwakiem w panelu.
Wtyczka bezpieczeństwa działa jak alarm w sklepie. Alarm krzyczy i odstrasza, i to jest jego uczciwa robota. Nikogo jednak nie zatrzyma, nie oszacuje strat i nie posprząta po włamaniu, bo do tego potrzebny jest ktoś, kto przyjedzie.
Aktualizacja jest decyzją, a nie kliknięciem
Wordfence nie aktualizuje wtyczek za Ciebie, a automatyczne aktualizacje w samym WordPressie nie sprawdzają, czy po nich strona nadal działa. Aktualizacja bywa ryzykowna wtedy, gdy motyw jest przerobiony pod klienta, gdy sklep opiera się na 4 wtyczkach, które się ze sobą przeplatają, albo gdy serwer stoi na starszej wersji PHP. Kolejność, kopia zrobiona przed startem i test na kopii roboczej znaczą tu więcej niż sam przycisk, a całą procedurę rozpisaliśmy w poradniku o bezpiecznej aktualizacji rdzenia, wtyczek i motywów.
Kopia zapasowa ma leżeć poza serwerem strony
Wordfence nie wykonuje kopii zapasowych i producent tego nie ukrywa. Właściciele często zakładają, że kopie robi hosting, i często mają rację, tylko ta kopia zwykle leży na tym samym koncie co strona. Gdy problem dotyka całego konta, na przykład przy zawieszeniu za nadużycie zasobów albo awarii dysku, kopia znika razem ze stroną. Sensowna kopia leży w innym miejscu niż strona, jest odtwarzalna i ktoś ją czasem odtwarza na próbę, bo dopiero przywrócenie strony z kopii zapasowej pokazuje, czy ta kopia była cokolwiek warta.
Alert to jeszcze nie reakcja
Wtyczka wysyła maila. Mail o 3 w nocy trafia do skrzynki właściciela, który śpi, a rano czyta go między 40 innymi wiadomościami. Reakcja zaczyna się w chwili, gdy ktoś z dostępami odróżnia fałszywy alarm od prawdziwego, wie, którą kopię przywrócić i w jakiej kolejności zdejmować blokady. To praca rozłożona na cały miesiąc, opisana szczegółowo we wpisie o tym, co opiekun WordPressa robi ze stroną przez miesiąc.
Kto rozwiązuje typową awarię, a kto tylko o niej informuje
Najłatwiej zobaczyć granicę na konkretnych zdarzeniach. Poniższa tabela zestawia sytuacje, które widzimy najczęściej, z tym, co w każdej z nich zrobi wtyczka, i z tym, co i tak zostaje do zrobienia.
| Co się dzieje | Co zrobi Wordfence | Czego trzeba poza wtyczką |
|---|---|---|
| Automat próbuje setek haseł do panelu | Blokuje adres IP i wysyła alert | Nic więcej, tu wtyczka wystarcza |
| Wczoraj ogłoszono krytyczną lukę w popularnej wtyczce | Reguła firewalla od razu w wersji płatnej, w darmowej po 30 dniach | Aktualizacja albo wyłączenie tej wtyczki tego samego dnia |
| Aktualizacja kładzie stronę i zostaje biały ekran | Nie reaguje, bo to nie jest atak | Przywrócenie kopii, test na kopii roboczej, ustalenie przyczyny |
| Złośliwy kod wszedł starą luką 2 tygodnie temu | Skan wykrywa znane sygnatury, część kodu potrafi je ominąć | Czyszczenie strony po infekcji i zamknięcie drogi wejścia |
| Hosting zawiesza konto za nadużycie zasobów | Nic, jest niedostępny razem ze stroną | Kontakt z hostingiem, kopia spoza serwera, przywrócenie |
| Certyfikat SSL wygasł w sobotę | Nic, to nie jest jego obszar | Monitoring ważności i odnowienie, zanim przeglądarka pokaże ostrzeżenie |
3 z 6 wierszy tej tabeli nie mają nic wspólnego z ruchem przychodzącym, a właśnie one najczęściej kończą się utraconą sprzedażą. Gdy złośliwy kod zdążył już wejść, potrzebne jest czyszczenie strony po infekcji, bo samo zablokowanie kolejnych prób niczego nie cofa.
Czy darmowy Wordfence wystarczy dla małej firmowej strony
Dla prostej wizytówki bez sklepu, bez kont klientów i bez danych osobowych w bazie darmowy Wordfence z włączoną ochroną rozszerzoną i wymuszonym drugim składnikiem logowania jest sensownym minimum. Warunek jest jeden i dotyczy człowieka, nie wtyczki. Ktoś musi regularnie aktualizować WordPressa i wtyczki oraz trzymać kopię poza serwerem.
Sama wtyczka przestaje wystarczać, gdy strona zaczyna zarabiać. Sklep z zamówieniami, formularz zbierający dane klientów, kalendarz rezerwacji albo strona generująca zapytania warte więcej niż kilkaset złotych miesięcznie zmieniają rachunek. Przy sklepie każda godzina przestoju to konkretne pieniądze, a przy danych klientów dochodzi jeszcze obowiązek zgłoszenia naruszenia.
Jest też trzeci przypadek, najczęstszy ze wszystkich. Wtyczka jest zainstalowana, alerty przychodzą, nikt ich nie czyta, a aktualizacje czekają od pół roku. Kiedy w końcu ktoś klika je hurtem, kończy się to nieudaną aktualizacją i ratowaniem strony z kopii. Formalnie strona ma ochronę, faktycznie stoi otworem, bo ochrona bez obsługi jest tylko ikoną w panelu.
Jak ustawić Wordfence, żeby realnie pomagał
Skoro wtyczka ma pracować, niech pracuje dobrze. Cztery ustawienia robią największą różnicę, a zajmują kwadrans:
- Włącz ochronę rozszerzoną firewalla i nie zostawiaj go na stałe w trybie uczenia się, bo w tym trybie zapora tylko obserwuje ruch, zamiast go blokować.
- Wymuś drugi składnik logowania dla wszystkich kont administratora, a nie tylko dla własnego.
- Ustaw twardy limit nieudanych prób logowania i zablokuj dostęp do pliku xmlrpc.php, jeśli nie korzystasz z aplikacji mobilnej WordPressa.
- Ogranicz alerty do zdarzeń krytycznych. Zalew powiadomień o każdym zablokowanym adresie IP uczy ignorowania skrzynki, a wtedy tonie w niej także ten jeden ważny mail.
Pełną listę ustawień poza samą wtyczką zebraliśmy w osobnym materiale, czyli w checkliście zabezpieczania strony WordPress i sklepu WooCommerce.
Ile kosztuje wtyczka premium, a ile opieka nad stroną
Licencja Wordfence Premium kosztuje według cennika producenta około 149 dolarów rocznie za jedną witrynę, czyli mniej więcej tyle, co jedna godzina pracy programisty przy awarii. Opieka nad WordPressem zaczyna się u nas od 299 zł netto miesięcznie w planie WYGODNYM, przez 499 zł w planie BEZPIECZNYM, do 599 zł w planie EKSPERCKIM, a przy rozliczeniu kwartalnym każdy z nich jest o 10% tańszy.
Różnica w cenie jest duża i nie ma sensu jej wygładzać. Płacisz jednak za inną rzecz. Licencja kupuje szybsze reguły firewalla dla jednej strony, abonament kupuje codzienną kopię poza serwerem, cotygodniowe aktualizacje robione przez człowieka, monitoring dostępności co 15 minut i kogoś, kto odbiera zgłoszenie, gdy strona leży. Dobrze widać to po samym producencie Wordfence, który reakcję swojego zespołu sprzedaje osobno i znacznie drożej. Pakiet Care z pomocą w godzinach pracy kosztuje 590 dolarów rocznie za witrynę, a Response z reakcją w godzinę 1250 dolarów, czyli odpowiednio cztery i ponad osiem razy więcej niż sama licencja, bo praca analityka nigdy nie mieści się w cenie wtyczki.
Uczciwa odpowiedź brzmi więc tak. Wordfence jest jednym z elementów opieki i sami włączamy go na stronach klientów, z tym że żaden pojedynczy element nie zastępuje pozostałych. Zamiast pytać, wtyczka czy opieka, sprawdź, kto w Twojej firmie robi te 3 rzeczy, których wtyczka nie zrobi. Jeśli odpowiedź brzmi „nikt”, to jest luka, a nie oszczędność. Zakres poszczególnych planów i to, co dokładnie wchodzi w każdy z nich, widać najlepiej w zestawieniu poniżej.
Poznaj plany opieki
Plan BEZPIECZNY
Pytania i odpowiedzi
Czy Wordfence spowalnia stronę
Skan i firewall zużywają zasoby serwera, więc na współdzielonym hostingu o słabych parametrach różnica bywa odczuwalna. Zwykle wystarczy przestawić pełny skan na godziny nocne i ograniczyć jego zakres do plików silnika oraz wtyczek. Jeśli po tym strona nadal zwalnia, problem leży w hostingu, a nie we wtyczce.
Czy warto płacić za Wordfence Premium
Ma to sens wtedy, gdy strona zarabia i korzysta z popularnych wtyczek, bo właśnie w nich znajdowana jest większość luk. Wersja płatna daje reguły firewalla od razu zamiast po 30 dniach, a przy krytycznej luce ten miesiąc jest całą różnicą. Przy prostej wizytówce aktualizowanej na bieżąco wersja darmowa zwykle wystarcza.
Czy dwie wtyczki bezpieczeństwa dają lepszą ochronę
Nie, zwykle dają kłopot. Dwa firewalle potrafią blokować się nawzajem, dwa skanery obciążają serwer podwójnie, a sprzeczne reguły logowania kończą się zablokowaniem właściciela na jego własnej stronie. Lepiej działa jedna wtyczka ustawiona porządnie niż dwie zostawione na ustawieniach domyślnych.
Czy Wordfence wykryje wirusa, który już siedzi na stronie
Część infekcji wykryje, bo porównuje pliki ze znanymi sygnaturami i zgłasza zmiany w plikach WordPressa. Kod pisany pod konkretną stronę albo ukryty w bazie danych potrafi jednak przejść przez skan. Czysty wynik skanu jest dobrą informacją, ale nie jest dowodem, że strona jest zdrowa.
Co zrobić, gdy Wordfence codziennie wysyła alerty
Najpierw sprawdzić, czego dotyczą. Powiadomienia o zablokowanych próbach logowania to normalny szum i można je wyłączyć. Alerty o zmianie plików silnika, nowym koncie administratora albo modyfikacji pliku wp-config.php są sygnałem do obejrzenia tego samego dnia, bo dotyczą rzeczy, które nie zmieniają się same.
Autorka: Sylwia Jasiak
Copywriterka i strateżka treści. Pisze teksty na strony firmowe, opisy usług i artykuły eksperckie tak, żeby jednocześnie sprzedawały i budowały widoczność w Google. Odpowiada za komunikację marki Avangardo, szkolenia z WordPressa oraz zarządzanie projektami.
