WordSec

Описание

WordSec представляет собой продвинутую платформу безопасности и threat intelligence для WordPress, созданную для современных команд безопасности и владельцев сайтов, которым нужна защита корпоративного уровня. Восемь интегрированных модулей, от файрвола веб-приложений до оповещений безопасности в реальном времени, работают вместе в рамках единой современной панели управления, а ваш текущий рейтинг безопасности всегда на виду. Каждый модуль можно включить или отключить независимо, поэтому вы получаете именно ту защиту, которая нужна вашему сайту, не платя за неё производительностью.

Файрвол

Проверяйте каждый запрос, пишите свои собственные правила и усиливайте безопасность WordPress переключателями в один клик.
* Конструктор пользовательских правил с несколькими условиями, с сопоставлением по регулярным выражениям и подстановочным знакам
* Встроенные правила по основным категориям атак (SQL injection, XSS, path traversal, PHP injection и command injection и другие)
* Режимы обучения и активной работы WAF, блокировка ботов и заголовки безопасности
* Более 25 переключателей усиления безопасности в один клик для доступа к wp-config, перечисления авторов, REST API и другого
* Дополнительная Расширенная защита: проверка запросов до загрузки WordPress через загрузчик auto_prepend_file (явное подключение, полностью отменяется при отключении или деактивации)
* Ограничение частоты запросов к конечным точкам, защита XML-RPC и подробные журналы файрвола

Сканер

Семиэтапная система сканирования, которая проверяет файлы, базу данных и запланированные задачи.
* Сканирование содержимого на основе правил обнаружения вредоносного ПО (синхронизируемых с сервиса WordSec)
* Проверка целостности файлов ядра WordPress, плагинов и тем (через API WordPress.org)
* Запланированные сканирования с пакетной обработкой во избежание тайм-аутов
* Карантин и восстановление в один клик, с полной историей сканирований

Безопасность входа

Останавливайте атаки на учётные данные до того, как они начнутся.
* Двухфакторная аутентификация на основе ролей (RFC 6238 TOTP), без необходимости во внешней библиотеке
* Три провайдера CAPTCHA (reCAPTCHA, hCaptcha, Cloudflare Turnstile) плюс встроенная математическая CAPTCHA
* Защита от brute-force с прогрессивной блокировкой и ловушками honeypot
* Проверка утечки паролей (Have I Been Pwned, k-anonymity) и принудительное применение Argon2 для паролей
* Управление сеансами и конструктор пользовательской страницы входа

Живой трафик

Наблюдайте за трафиком в реальном времени, а затем воспроизводите его в истории.
* Журналирование запросов в реальном времени (IP, URI, метод, статус, время ответа)
* Безопасный осмотр запросов и ответов с автоматическим обнаружением ботов
* Фильтрация исключений по роли, IP, стране или URI, с экспортом в CSV

Блокировка

• Списки разрешений или блокировки по странам и континентам
• Блокировка отдельных IP и диапазонов CIDR, временная или постоянная, с поддержкой списка разрешений
• Автоматическая защита от злоупотреблений и ограничение частоты запросов к конечным точкам
• Пользовательские сообщения о блокировке

Цепочка поставок

• Оценка репутации для каждого установленного плагина и темы
• Оповещения об известных уязвимостях (данные с сервиса WordSec) для ядра, плагинов, тем и PHP
• Обнаружение заброшенных плагинов и тем
• Проверка целостности обновлений с автоматическими резервными копиями и полной инвентаризацией SBOM

Журнал аудита

• Полное отслеживание активности по 11 типам объектов и 14 действиям
• Изменения содержимого, изменения плагинов, тем и настроек, и другое
• Быстрая фильтрация и экспорт в один клик

Оповещения

• 36 типов событий в шести категориях
• Доставка по Email, Telegram или Slack
• Режимы оповещений Basic, Advanced и Full

WordSec полностью функционален из коробки. Каждая функция (WAF, сканирование на вредоносное ПО и целостность файлов, безопасность входа, двухфакторная аутентификация, усиление безопасности, блокировка по IP и странам, журнал аудита, мониторинг цепочки поставок и оповещения) работает локально на вашем сервере без лицензионного ключа и без ограничений. При желании сервис WordSec на wordsec.net предоставляет непрерывно обновляемые данные threat-intelligence, которые невозможно получить локально: управляемые наборы правил WAF, полную ленту сигнатур вредоносного ПО, списки репутации IP, базу данных GeoIP, список доменов одноразовой электронной почты и записи об известных уязвимостях. Подключение сервиса необязательно; локальные функции работают как с ним, так и без него, просто используя те данные, которые доступны. Каждый внешний сервис и данные, которые он получает, документированы в разделе «Внешние сервисы» ниже.

Внешние сервисы

WordSec спроектирован для локальной работы, и без лицензионного ключа он не отправляет исходящих запросов к сервису WordSec. Основная фильтрация запросов и сканирование файлов выполняются на вашем сервере. К перечисленным ниже сервисам обращение происходит только для описанных конкретных функций, и к большинству из них только когда вы явно включаете соответствующую функцию (или, в случае WordSec API, только после активации лицензионного ключа). В этом разделе документируется каждый сторонний сервис, к которому может подключаться плагин, и данные, которые получает каждый из них.

WordSec API (api.wordsec.net)

WordSec работает бесплатно без лицензии, и в этом случае он вообще не обращается к этому сервису. Бесплатная лицензия доступна каждому; после активации ключа плагин связывается с сервисом WordSec для двух отдельных целей:

1. Обязательные обращения к сервису (только пока активен лицензионный ключ): активация и проверка лицензии, а также обновления данных об угрозах (правила файрвола, сигнатуры вредоносного ПО, списки репутации IP, данные GeoIP, список доменов одноразовой электронной почты и данные об известных уязвимостях). Они обеспечивают работу облачных функций и не могут выполняться локально; без ключа ни одно из этих обращений не выполняется. Локальный код применения для этих функций (движок WAF, сканер вредоносного ПО, фильтры блокировки IP и фильтр ограничения регистрации) всегда присутствует и активен; без актуальной ленты у него просто нет данных threat-intelligence, с которыми можно сверять запросы.

* Когда: при активации/проверке и при плановых проверках обновлений данных об угрозах.
* Отправляемые данные: URL вашего сайта и лицензионный ключ (используются для вашей аутентификации и привязки лицензии к этому сайту), а для проверок обновлений: текущие версии установленных вами лент данных об угрозах.

1. Дополнительная телеметрия использования/окружения (ПО ЖЕЛАНИЮ, ПО УМОЛЧАНИЮ ОТКЛЮЧЕНА): анонимный ежедневный снимок, используемый для улучшения WordSec. Он отправляется только после того, как вы явно включите «Share usage & environment data» (при активации лицензии или в Настройки → Advanced → Usage Data), и его можно снова отключить в любой момент.

* Когда: один раз в день, только пока включена опция.
* Отправляемые данные: обезличенный снимок окружения сайта (версии сервера, WordPress, PHP и базы данных, список активных плагинов и тем) и агрегированная статистика использования функций и безопасности WordSec. Пароли, учётные данные базы данных, секретные ключи или адреса электронной почты никогда не отправляются.

• Условия обслуживания: https://wordsec.net/terms
• Политика конфиденциальности: https://wordsec.net/privacy

Have I Been Pwned (api.pwnedpasswords.com)

Используется дополнительной проверкой утечки паролей для обнаружения того, встречается ли пароль в известных утечках данных, с использованием k-anonymity.
* Когда: когда пользователь задаёт или отправляет пароль и включена проверка утечки паролей.
* Отправляемые данные: только первые 5 символов SHA-1 хеша пароля. Сам пароль и его полный хеш никогда не покидают ваш сайт.
* Условия и конфиденциальность: https://haveibeenpwned.com/Privacy

WordPress.org API (api.wordpress.org, downloads.wordpress.org, wordpress.org, core.svn.wordpress.org)

Используется для проверки целостности файлов ядра WordPress, плагинов и тем, для получения публичной информации о плагинах/темах (plugins_api/themes_api) для оценок репутации цепочки поставок и проверок целостности обновлений, а также (только когда вы нажимаете «Repair» по результату сканирования) для загрузки оригинальной копии изменённого файла ядра/плагина/темы, чтобы его можно было восстановить. Загрузки для восстановления поступают с downloads.wordpress.org (zip-архивы плагинов/тем), wordpress.org (zip-архивы релизов ядра) и core.svn.wordpress.org (отдельные файлы ядра).
* Когда: во время сканирований на вредоносное ПО и целостность и проверок репутации цепочки поставок, а также при явном действии восстановления.
* Отправляемые данные: версия ядра WordPress, локаль сайта и слаги/версии проверяемых плагинов/тем.
* Условия и конфиденциальность: https://wordpress.org/about/privacy/

RDAP (rdap.org)

Используется инструментом поиска WHOIS/RDAP на странице Инструменты для отображения информации о владельце IP-адреса или домена, который вы проверяете.
* Когда: только когда вы запускаете инструмент поиска WHOIS/RDAP.
* Отправляемые данные: IP-адрес или домен, который вы выбрали для поиска.
* Условия и конфиденциальность: https://about.rdap.org/

ipify (api.ipify.org)

Используется инструментом проверки чёрных списков на странице Инструменты и инструментом информации о сервере для определения собственного публичного IP-адреса вашего сервера.
* Когда: только когда вы запускаете инструмент «Blacklist Check» или «Server IPs».
* Отправляемые данные: обычный запрос с вашего сервера; данные сайта не включаются (сервис просто возвращает запрашивающий IP).
* Условия и конфиденциальность: https://www.ipify.org/

Провайдеры списков блокировки DNS (инструмент Blacklist Check)

Инструмент «Blacklist Check» на странице Инструменты отправляет запросы к спискам блокировки на основе DNS (DNSBL), чтобы сообщить, внесён ли публичный IPv4-адрес вашего сервера в списки. Каждый провайдер получает стандартный DNS-запрос, содержащий IP-адрес вашего сервера в обратном порядке. Опрашиваются пять провайдеров:
* Spamhaus ZEN (zen.spamhaus.org): https://www.spamhaus.org/privacy-notice/
* SpamCop (bl.spamcop.net), управляется Cisco: https://www.cisco.com/c/en/us/about/legal/privacy-full.html
* Barracuda Reputation Block List (b.barracudacentral.org): https://www.barracuda.com/company/legal/privacy-policy
* UCEPROTECT Level 1 (dnsbl-1.uceprotect.net): https://www.uceprotect.net/en/index.php
* PSBL (psbl.surriel.com): https://psbl.org/
Подробности:
* Когда: только когда вы нажимаете «Blacklist Check» на странице Инструменты.
* Отправляемые данные: публичный IPv4-адрес вашего сервера, встроенный в каждый DNS-запрос к спискам блокировки.

Telegram Bot API (api.telegram.org)

Дополнительный канал доставки оповещений. Активен только когда вы настраиваете собственный токен бота Telegram и ID чата.
* Когда: когда срабатывает включённое вами оповещение безопасности и настроена доставка через Telegram.
* Отправляемые данные: текст сообщения оповещения (тип события, название сайта, соответствующий контекст IP/пользователя) на настроенный вами бот/чат.
* Условия обслуживания: https://telegram.org/tos
* Политика конфиденциальности: https://telegram.org/privacy

Входящие вебхуки Slack (hooks.slack.com)

Дополнительный канал доставки оповещений. Активен только когда вы настраиваете собственный URL входящего вебхука Slack.
* Когда: когда срабатывает включённое вами оповещение безопасности и настроена доставка через Slack.
* Отправляемые данные: текст сообщения оповещения (тип события, название сайта, соответствующий контекст IP/пользователя) на настроенный вами вебхук.
* Условия обслуживания: https://slack.com/terms-of-service
* Политика конфиденциальности: https://slack.com/privacy-policy

Google reCAPTCHA (www.google.com, www.gstatic.com)

Дополнительная CAPTCHA для входа/регистрации. Активна только когда вы выбираете reCAPTCHA и указываете свои собственные ключи.
* Когда: на формах входа и регистрации, пока функция включена.
* Загружается удалённо: reCAPTCHA требует, чтобы его скрипт виджета (www.google.com/recaptcha/api.js, поставляемый с ресурсами с www.gstatic.com) загружался из Google в браузере посетителя; он подключается только на этих формах и только пока reCAPTCHA выбран в качестве провайдера. Проверка токена выполняется серверным запросом с вашего сайта к www.google.com.
* Отправляемые данные: токен ответа CAPTCHA, ваш публичный ключ сайта и IP-адрес посетителя.
* Условия обслуживания: https://policies.google.com/terms
* Политика конфиденциальности: https://policies.google.com/privacy

hCaptcha (hcaptcha.com, js.hcaptcha.com)

Дополнительная CAPTCHA для входа/регистрации. Активна только когда вы выбираете hCaptcha и указываете свои собственные ключи.
* Когда: на формах входа и регистрации, пока функция включена.
* Загружается удалённо: hCaptcha требует, чтобы его скрипт виджета (js.hcaptcha.com/1/api.js) загружался из hCaptcha в браузере посетителя; он подключается только на этих формах и только пока hCaptcha выбран в качестве провайдера. Проверка токена выполняется серверным запросом с вашего сайта к hcaptcha.com.
* Отправляемые данные: токен ответа CAPTCHA, ваш публичный ключ сайта и IP-адрес посетителя.
* Условия обслуживания: https://www.hcaptcha.com/terms
* Политика конфиденциальности: https://www.hcaptcha.com/privacy

Cloudflare Turnstile (challenges.cloudflare.com)

Дополнительная CAPTCHA для входа/регистрации. Активна только когда вы выбираете Turnstile и указываете свои собственные ключи.
* Когда: на формах входа и регистрации, пока функция включена.
* Загружается удалённо: Turnstile требует, чтобы его скрипт виджета (challenges.cloudflare.com/turnstile/v0/api.js) загружался из Cloudflare в браузере посетителя; он подключается только на этих формах и только пока Turnstile выбран в качестве провайдера. Проверка токена выполняется серверным запросом с вашего сайта к challenges.cloudflare.com.
* Отправляемые данные: токен ответа CAPTCHA, ваш публичный ключ сайта и IP-адрес посетителя.
* Условия обслуживания: https://www.cloudflare.com/website-terms/
* Политика конфиденциальности: https://www.cloudflare.com/privacypolicy/

ipwhois.io (ipwho.is)

Дополнительный сервис IP-геолокации, отключённый по умолчанию. Все запросы выполняются по HTTPS с проверкой сертификата, и ни один из них не отправляется, пока вы не включите «External IP Lookup Service» в настройках WordSec (раздел Visitor IP Handling). Он используется для трёх целей: (1) определение страны по IP посетителя, когда локальная база данных GeoIP недоступна, (2) определение города по IP посетителя для журнала Живого трафика, когда локальная база данных не может дать ответ, и (3) поиск «IP details» в Живом трафике (страна, регион, город, ISP, организация, ASN).
* Когда: только пока включена опция External IP Lookup Service. Автоматически для страны/города при журналировании трафика и по вашему клику для поиска сведений об IP.
* Отправляемые данные: запрашиваемый IP-адрес (IP посетителя для страны/города или IP, который вы решили проверить).
* Условия обслуживания: https://ipwhois.io/terms
* Политика конфиденциальности: https://ipwhois.io/privacy

VirusTotal (virustotal.com)

Не запрашивается автоматически. Сканер показывает ссылку «Check on VirusTotal», которую можно нажать, чтобы открыть VirusTotal в браузере для конкретного файла.
* Когда: только когда вы нажимаете ссылку.
* Отправляемые данные: хеш файла, содержащийся в URL ссылки.
* Условия и конфиденциальность: https://docs.virustotal.com/docs/privacy-policy

Qualys SSL Labs (ssllabs.com)

Не запрашивается автоматически. Тест «Check SSL Health» на странице Инструменты выполняется полностью на вашем собственном сервере (он открывает TLS-соединение с вашим доменом и считывает сертификат). Рядом с ним ссылка «Deep Scan (SSL Labs)» открывает тест Qualys SSL Labs в новой вкладке браузера; затем SSL Labs подключается к вашему сайту снаружи и оценивает его конфигурацию TLS. Ссылка содержит флаг «hide results», поэтому отчёт не публикуется на публичной доске SSL Labs.
* Когда: только когда вы нажимаете ссылку «Deep Scan (SSL Labs)».
* Отправляемые данные: доменное имя вашего сайта, содержащееся в URL ссылки.
* Условия: https://www.ssllabs.com/about/terms.html
* Конфиденциальность: https://www.qualys.com/company/privacy/

Благодарности

WordSec включает перечисленные ниже сторонние библиотеки. Каждая библиотека распространяется под лицензией, совместимой с собственной лицензией WordSec «GPLv2 or later». Каждая включённая библиотека сохраняет свой внутрифайловый лицензионный баннер и/или свой исходный файл лицензии, а полный оригинальный (не минифицированный) исходный код каждой из них доступен по ссылке на соответствующий проект и версию.

Библиотеки PHP (`vendor/`)

TCPDF 6.11.3
* Лицензия: LGPL-3.0-or-later
* Авторские права: Nicola Asuni, Tecnick.com LTD
* Источник: https://github.com/tecnickcom/TCPDF
* Файл лицензии: vendor/tecnickcom/tcpdf/LICENSE.TXT
* Используется для: генерации отчётов и экспорта в PDF

SimpleXLSXGen 1.5.x
* Лицензия: MIT
* Авторские права: (c) 2020-2022 Sergey Shuchkin
* Источник: https://github.com/shuchkin/simplexlsxgen
* Файл лицензии: vendor/shuchkin/simplexlsxgen/LICENSE
* Используется для: экспорта в XLSX (Excel)

Библиотеки JavaScript / CSS (`assets/*/vendor/`)

Select2 4.1.0-rc.0
* Лицензия: MIT
* Авторские права: Kevin Brown, Igor Vaynberg и участники Select2
* Источник: https://github.com/select2/select2
* Текст лицензии: https://github.com/select2/select2/blob/master/LICENSE.md
* Включённые файлы: assets/js/vendor/select2.min.js, assets/css/vendor/select2.min.css

ApexCharts 5.16.0
* Лицензия: MIT
* Авторские права: (c) 2018-2026 ApexCharts
* Источник: https://github.com/apexcharts/apexcharts.js
* Текст лицензии: https://github.com/apexcharts/apexcharts.js/blob/main/LICENSE
* Включённые файлы: assets/js/vendor/apexcharts.min.js

jsVectorMap 1.7.0
* Лицензия: MIT
* Авторские права: (c) Mustafa Omar и участники jsVectorMap
* Источник: https://github.com/themustafaomar/jsvectormap
* Текст лицензии: https://github.com/themustafaomar/jsvectormap/blob/master/LICENSE
* Включённые файлы: assets/js/vendor/jsvectormap.min.js, assets/css/vendor/jsvectormap.min.css
* Используется для: визуализаций карты мира (Живой трафик / Блокировка / Файрвол)

Данные карты мира (world_mill), зарегистрированные как карта «world» в jsVectorMap
* Лицензия: MIT
* Авторские права: участники jvectormap-content; геометрия карты получена из Natural Earth (public domain)
* Источник: https://www.npmjs.com/package/jvectormap-content
* Включённые файлы: assets/js/vendor/world.js
* Используется для: геометрии стран, отображаемой в визуализациях карты мира выше

qrcode-generator 1.4.4
* Лицензия: MIT
* Авторские права: Kazuhiko Arase
* Источник: https://github.com/kazuhikoarase/qrcode-generator
* Текст лицензии: https://github.com/kazuhikoarase/qrcode-generator/blob/master/LICENSE
* Включённые файлы: assets/js/vendor/qrcode.min.js

Иконки / ресурсы

flag-icons (SVG-флаги стран)
* Лицензия: MIT (SVG-разметка); сами дизайны флагов находятся в public domain
* Авторские права: (c) 2013 Panayiotis Lipiridis
* Источник: https://github.com/lipis/flag-icons
* Текст лицензии: https://github.com/lipis/flag-icons/blob/main/LICENSE
* Включённые файлы: assets/images/flags/*.svg (флаги стран, 4×3 viewBox="0 0 640 480")