Firewall de aplicație web (WAF) pentru WordPress, explicat simplu

Când auzi cuvântul „firewall", probabil te gândești la un zid care ține pe cineva afară. Imaginea e utilă, dar incompletă: există mai multe tipuri de firewall, iar cel care contează pentru un site WordPress nu seamănă cu cel din rețeaua unei firme. Cel pe care îl vei întâlni cel mai des în ghiduri de securitate se numește firewall de aplicație web, pe scurt WAF, de la „Web Application Firewall".

Ca să înțelegi ce face, imaginează-ți un portar care nu se uită la actele tale de identitate, ci la ce spui și ce ceri la intrare. Dacă ceri ceva care seamănă cu o încercare de păcălire, portarul nu te lasă să intri. Exact asta face un WAF cu fiecare cerere trimisă către site-ul tău. Mai jos vezi cum funcționează, unde poate fi montat, ce poate și ce nu poate opri și cum alegi soluția potrivită.

Ce este, de fapt, un firewall de aplicație web

Un WAF este un filtru care analizează cererile HTTP/HTTPS (cele pe care browserul sau un program automat le trimite către un site) și decide pentru fiecare dacă o lasă să treacă, o blochează sau o marchează pentru verificare. Spre deosebire de un firewall de rețea, care se uită la adrese și porturi, WAF-ul „citește" conținutul cererii: adresa cerută, parametrii, câmpurile din formulare, antetele, cookie-urile.

De ce contează asta pentru WordPress? Pentru că majoritatea atacurilor asupra site-urilor nu forțează o ușă tehnică a serverului, ci trimit cereri special construite către o pagină, un formular sau o extensie, sperând ca aplicația să le execute. Un WAF încearcă să recunoască aceste cereri înainte ca ele să ajungă la codul WordPress.

Cum decide un WAF ce să blocheze

Nu există o metodă unică. De obicei, un WAF combină mai multe tehnici.

Reguli și semnături

Sunt tipare cunoscute de cereri rău intenționate. Exemple de categorii:

• Tentative de injecție SQL: text introdus într-un câmp, construit să păcălească baza de date.
• Tentative de XSS (cross-site scripting): cod JavaScript strecurat într-un parametru, ca să ruleze în browserul altui utilizator.
• Încercări de includere de fișiere sau de parcurgere a directoarelor, adică cereri care încearcă să citească fișiere pe care nu ar trebui să le vadă.
• Cereri către fișiere sensibile (copii de rezervă lăsate pe server, fișiere de configurare).
• Instrumente de scanare cunoscute, care se identifică prin antete caracteristice.

Regulile trebuie actualizate periodic, pentru că apar mereu variante noi. O soluție cu reguli care nu se actualizează devine în timp mai puțin utilă.

Reputația și comportamentul

Un WAF poate ține evidența adreselor IP care au avut comportament abuziv, a cererilor repetate prea des sau a celor care testează o listă lungă de adrese inexistente. Dacă același vizitator cere în câteva secunde zeci de pagini care nu există, comportamentul seamănă mai mult cu un program decât cu o persoană, iar WAF-ul poate încetini sau bloca accesul.

Limitarea ratei

Este o regulă simplă: nu mai mult de un anumit număr de cereri într-un interval. Este foarte folosită pentru pagina de autentificare, unde ajută la oprirea încercărilor repetate (despre acest scenariu vorbim în articolul despre atacul brute force pe wp-login).

Reguli personalizate

Pe lângă regulile generale, administratorul poate adăuga reguli proprii: blochează o țară, permite accesul în panou doar de la anumite adrese, interzice anumite metode HTTP, blochează cereri către un fișier specific.

Cele trei locuri unde poate sta un WAF

Aceeași idee de filtrare poate fi implementată în trei locuri diferite, cu avantaje și limite diferite.

1. La nivel de extensie WordPress

Filtrarea rulează în interiorul WordPress, ca extensie. Cererea ajunge la server, serverul pornește WordPress, iar extensia o analizează la început, înainte de restul codului.

Avantaje:

• Se instalează simplu, din panoul de administrare.
• Înțelege contextul WordPress: utilizatori, roluri, setări, extensii instalate.
• Nu cere acces la configurarea serverului sau a DNS-ului.

Limite:

• Cererea consumă deja resurse ale serverului, pentru că WordPress este pornit parțial. La un atac foarte mare, serverul tot poate fi încărcat.
• Dacă extensia este dezactivată sau compromisă, protecția dispare.
• Nu poate opri trafic care nu trece prin WordPress (de exemplu, accesul direct la un fișier static).

2. La nivel de server

Filtrarea se face în software-ul serverului web (de exemplu cu un modul al acestuia) sau într-un firewall instalat pe server. Este tipică pentru hostingurile care oferă protecție inclusă.

Avantaje:

• Cererile sunt oprite înainte să pornească WordPress, deci consumă mai puține resurse.
• Acoperă tot ce rulează pe server, nu doar WordPress.

Limite:

• Depinde de ce îți permite furnizorul de hosting. Pe un hosting partajat, regulile pot fi generale, nu adaptate la site-ul tău.
• Poate bloca uneori și cereri legitime, iar ajustarea necesită acces sau suport tehnic.

3. La nivel de CDN sau serviciu extern

Traficul trece mai întâi printr-un serviciu intermediar, care filtrează și apoi trimite la server doar cererile curate. Se configurează de obicei prin schimbarea înregistrărilor DNS.

Avantaje:

• Cererile rău intenționate nu ajung deloc pe serverul tău.
• Serviciul poate absorbi trafic foarte mare și poate oferi și funcții suplimentare (cache, rețea de distribuție).
• Beneficiezi de informații adunate din multe site-uri.

Limite:

• Cere configurare DNS și, adesea, un abonament.
• Traficul tău trece prin terțe părți, aspect pe care ar trebui să-l ai în vedere în politica de confidențialitate și în evaluarea GDPR (nu oferim sfaturi juridice; consultă un specialist dacă ai dubii).
• Dacă adresa reală a serverului este cunoscută, un atacator o poate ataca direct, ocolind serviciul.

Comparație rapidă

Nu există un câștigător universal. Mulți administratori combină două straturi: unul la nivel de rețea sau server pentru volum și unul la nivel de extensie pentru reguli care țin de WordPress.

Ce poate opri un WAF și ce nu

Este important să ai așteptări realiste. Un WAF este un strat de protecție, nu un scut absolut.

Ce ajută să reducă:

• Încercările automate de exploatare a vulnerabilităților cunoscute.
• Cererile cu conținut tipic de injecție sau de scripting.
• Scanările și sondările făcute de programe automate.
• Încercările repetate de autentificare.
• Accesul la fișiere sau adrese sensibile.

Ce nu poate garanta:

• Oprirea unei vulnerabilități necunoscute încă, pentru care nu există regulă (așa-numitele zero-day).
• Protecția împotriva parolelor slabe, dacă atacatorul folosește datele corecte.
• Rezolvarea unei infectări deja existente pe site.
• Înlocuirea actualizărilor: un WAF poate ajuta să câștigi timp până la actualizare, dar nu o face inutilă.
• Imunitatea la atacuri. Orice produs care promite așa ceva trebuie privit cu rezervă.

Cum alegi între variante: întrebări utile

1. Ce hosting ai? Dacă furnizorul oferă deja filtrare la nivel de server, află ce reguli folosește și ce control ai asupra lor.
2. Cât de mare e riscul? Un magazin online cu conturi de clienți și plăți are alte nevoi decât un site de prezentare.
3. Ce volum de trafic rău intenționat primești? Dacă serverul se încarcă din cauza cererilor, filtrarea în afara serverului devine mai valoroasă.
4. Cine administrează? Dacă nu ai un tehnician, soluția cu configurare simplă și setări implicite rezonabile este mai potrivită.
5. Ce spune GDPR? Verifică ce date trec prin serviciu, unde sunt prelucrate și ce prevede contractul de prelucrare. Dacă folosești o extensie, află ce date păstrează în jurnal și pentru cât timp.
6. Poți vedea ce s-a blocat? Un jurnal clar al cererilor oprite, cu motivul blocării, te ajută să identifici și greșelile.

Cum îl pui în funcțiune fără să-ți blochezi clienții

Orice WAF poate produce fals pozitive, adică blocarea unor cereri legitime. Un exemplu frecvent: un administrator care salvează un articol cu cod în text sau un client care completează un formular cu simboluri speciale. Ca să eviți surprizele:

1. Fă un backup înainte de activare.
2. Dacă soluția are un mod de învățare sau de „doar înregistrare", pornește-l mai întâi, pentru a vedea ce ar fi blocat.
3. Testează funcțiile cheie: autentificare, formulare, plăți, căutare, salvarea de articole.
4. Adaugă excepții pentru cazurile legitime, nu dezactiva protecția în întregime.
5. Citește jurnalul în primele zile și ajustează.
6. Adaugă în lista de IP-uri permise adresele serviciilor de care ai nevoie (de exemplu un serviciu de plăți care trimite notificări către site).

Greșeli frecvente

• Instalarea simultană a mai multor firewalluri la același nivel. Pot intra în conflict sau pot bloca dublu aceleași cereri.
• Activarea modului cel mai strict din prima zi. Fără testare, riști să blochezi clienți și plăți.
• Credința că WAF-ul înlocuiește actualizările. O extensie vulnerabilă rămâne vulnerabilă.
• Neverificarea jurnalului. Dacă nu te uiți niciodată la ce s-a blocat, nu afli nici de atacuri, nici de blocările greșite.
• Uitarea adresei reale a serverului. Dacă folosești un serviciu extern, dar adresa serverului este publică, atacul poate ocoli serviciul.
• Reguli copiate din surse necunoscute. Un fragment de configurare luat de pe un forum poate bloca site-ul sau poate crea alte probleme.

Întrebări frecvente

Am nevoie de WAF dacă site-ul meu este mic?

Atacurile automate nu aleg după mărime, deci filtrarea cererilor poate ajuta și la un site mic. Nivelul și complexitatea soluției se aleg însă în funcție de riscuri, de buget și de cine o administrează.

Un WAF îmi încetinește site-ul?

Poate adăuga un strat de verificare, dar o soluție bine configurată are un efect mic. În plus, prin filtrarea traficului abuziv, poate reduce încărcarea inutilă a serverului. Efectul real depinde de implementare și de resursele hostingului.

Care este diferența dintre WAF și un antivirus pentru site?

WAF-ul oprește cererile suspecte în timp real, înainte să producă daune. Scanerul de malware caută cod rău intenționat deja prezent în fișiere (vezi și ghidul site WordPress infectat). Sunt complementare: unul previne, celălalt detectează.

Hostingul meu are deja firewall. Mai am nevoie de altul?

Depinde de ce acoperă. Firewall-ul hostingului este de obicei general. Reguli care înțeleg WordPress (autentificare, roluri, extensii) pot completa protecția. Întreabă furnizorul ce reguli aplică și ce poți personaliza.

Cum te ajută Leono Security

Leono Security include un firewall la nivel de aplicație pentru WordPress, cu reguli și blocarea cererilor suspecte, care funcționează împreună cu protecția autentificării și cu alertele pe email. Pagina despre firewall pentru WordPress descrie funcțiile, iar pagina produsului le prezintă pe toate. Fiind o soluție la nivel de extensie, funcționează în interiorul WordPress, deci nu înlocuiește complet filtrarea de la nivel de server sau CDN, ci o poate completa.

Concluzie

Un WAF este un filtru inteligent pentru cererile care ajung la site, nu un zid fără ușă. Poate sta în extensie, pe server sau într-un serviciu extern, fiecare variantă având avantaje și limite clare. Alege în funcție de hosting, de riscuri și de timpul pe care îl poți dedica administrării, pornește cu o configurare prudentă, citește jurnalul și nu renunța la actualizări, parole bune și backup. Împreună, aceste straturi fac un site mult mai greu de atacat decât oricare dintre ele singure.