Налаштування плагіна Sucuri для безпеки WordPress
Sucuri пропонує два продукти: безплатний плагін Sucuri Security (аудит, сканування, посилення безпеки) та платний Sucuri Firewall / CDN ($9.99/місяць) — WAF на рівні DNS. Плагін без Sucuri Firewall — інструмент моніторингу, а не захисту в реальному часі.
Безплатний плагін: можливості
Security Activity Auditing — логує всі адміністративні дії: входи, зміни плагінів, оновлення. Зберігає логи в таблиці БД та опційно надсилає до Sucuri API (захист від видалення при компрометації).
File Integrity Monitoring — порівнює файли ядра з офіційними хешами. Виявляє змінені та додані файли.
Remote Malware Scanning — зовнішнє сканування через SiteCheck API: перевіряє домашню сторінку на наявність шкідливого коду, статус у чорних списках Google, Bing, Norton.
Security Hardening — набір однокліксних заходів безпеки.
Security Hardening
Sucuri → Settings → Hardening. Застосувати:
- ✓ Verify WordPress Version (нагадує оновитися)
- ✓ Remove WordPress Version (видаляє версію з head та RSS)
- ✓ Block PHP files in the uploads directory
- ✓ Block PHP files in the wp-content directory
- ✓ Block PHP files in the wp-includes directory
- ✓ Information Leakage (видаляє readme.html, license.txt)
Блокування PHP в uploads створює .htaccess:
<Files "*.php">
Order Allow,Deny
Deny from all
</Files>
На Nginx аналог потрібно додати вручну:
location ~* /(?:uploads|files)/.*\.php$ {
deny all;
}
Налаштування сповіщень
Sucuri → Settings → Alerts:
- Email для алертів: не використовуйте [email protected] — при компрометації пошти домену ви втратите сповіщення. Використовуйте зовнішню пошту.
- Alert on new user registration: ✓
- Alert on WordPress admin login: ✓ (тільки для малих сайтів)
- Alert on failed login attempt: ні (забагато листів)
- Alert on plugin activated/deactivated: ✓
Post-Hack Actions
При виявленні взлому: Sucuri → Post-Hack. Розділ містить:
- Update Secret Keys — згенерувати нові ключі в wp-config.php, скинути всі сесії
- Reset User Password — скинути паролі всіх користувачів
- Reset Installed Plugins — перевстановити всі плагіни (тільки з репозиторію WP)
- Available Free WordPress Transfers — аварійне перенесення сайту
Sucuri WAF (платний)
Платний WAF працює по-іншому: DNS вашого домену вказує на сервери Sucuri, весь трафік йде через них. Sucuri фільтрує шкідливий трафік до досягнення вашого сервера. Плагін у цьому випадку служить для налаштування та моніторингу.
Для підключення: Sucuri → Firewall WAF → Add Site. Змінюємо NS/A-запис домену. Sucuri проксирує трафік на origin-сервер за IP (не за доменом — whitelist тільки IP Sucuri).
Порівняння з Wordfence
Sucuri WAF (платний) — захист на рівні мережі, знімає навантаження з сервера. Wordfence WAF — захист на рівні PHP, сервер усе одно отримує запити. Для високо навантажених сайтів Sucuri WAF ефективніше. Для бюджетних — безплатний Wordfence достатній.
Терміни
Встановлення та налаштування безплатного плагіна Sucuri з посиленням безпеки — 1–2 години. Підключення Sucuri WAF зі змінами DNS — 2–3 години (плюс до 24 годин на розповсюдження DNS).