JDM Shield chroni Twoją stronę przed atakami brute-force na logowanie i przed ruchem botów. Wszystko konfigurujesz w jednej karcie: ochronę panelu WordPressa, blokadę krajów i JS Challenge.
Znajdziesz ją tak: zaloguj się do panel.jdm.pl → Hosting → przy stronie kliknij Szczegóły → zakładka Bezpieczeństwo → karta JDM Shield. Po zmianach kliknij Zapisz JDM Shield.
Ochrona wp-login / wp-admin
Sekcja Ochrona wp-login / wp-admin decyduje, kto może otworzyć stronę logowania i panel WordPressa. Do wyboru są 4 tryby:
- Wyłączona (dostęp z całego świata): brak dodatkowej ochrony.
- Dostęp tylko z Unii Europejskiej sprawia, że logowanie działa wyłącznie z adresów IP z UE. Dobra opcja, gdy Ty i redaktorzy jesteście w Europie.
- JS Challenge: wymagaj weryfikacji JavaScript (zalecane) każe przeglądarce wykonać zadanie w JavaScript przed wejściem na stronę logowania. Boty odpadają, a prawdziwi użytkownicy z dowolnego kraju przechodzą bez ingerencji.
- Pełna blokada (na czas ataku) całkowicie odcina dostęp do
/wp-adminiwp-login.php. Używaj tylko w trakcie aktywnego ataku; pamiętaj, że blokuje też Ciebie.
Tryb Pełna blokada (na czas ataku) całkowicie odcina dostęp do wp-admin i wp-login.php, również dla Ciebie. Używaj go tylko w trakcie aktywnego ataku i wróć do JS Challenge, gdy minie.
Blokada krajów
Domyślnie blokowany jest ruch z krajów wysokiego ryzyka. Jeśli chcesz zezwolić na ruch ze wszystkich krajów, zaznacz przełącznik Wyłącz globalną blokadę kraju.
JS Challenge: ochrona przed botami
Ta sekcja obejmuje całą stronę, nie tylko logowanie. Podejrzany odwiedzający musi wykonać zadanie w JavaScript, zanim zobaczy stronę. To skuteczna obrona przed botami i scraperami.
- Zaznacz Włącz JS Challenge.
- Wybierz Tryb działania, czyli to, kogo obejmuje weryfikacja: Tylko wybrane kraje, Wszyscy oprócz wybranych krajów, Wszyscy spoza Unii Europejskiej, Wszyscy spoza Polski albo Wszyscy odwiedzający.
- Dla dwóch pierwszych trybów uzupełnij listę krajów 2-literowymi kodami ISO, np.
PL, DE, US. - Wybierz Akcja dla pasujących: Challenge (wymagaj JS) to weryfikacja z możliwością przejścia, a Blokuj całkowicie to twarde odcięcie.
JS Challenge działa wyłącznie przez HTTPS. Bez aktywnego certyfikatu SSL ustawienia się zapiszą, ale zaczną działać dopiero po jego uruchomieniu. Pełna blokada i blokada krajów działają niezależnie od SSL.
Typowe scenariusze
Ktoś zgaduje hasła do logowania (brute-force).
Ustaw Ochrona wp-login / wp-admin na JS Challenge: wymagaj weryfikacji JavaScript (zalecane). Jeśli atak trwa i jest intensywny, przełącz na Pełna blokada (na czas ataku), a po jego ustaniu wróć do JS Challenge.
Statystyki zapycha ruch botów z zagranicy.
Włącz JS Challenge w trybie Wszyscy spoza Polski (lub Wszyscy spoza Unii Europejskiej) z akcją Challenge (wymagaj JS). Prawdziwi zagraniczni goście przejdą, boty nie.
Najczęstsze problemy
Włączyłem Pełną blokadę i sam nie mogę się zalogować.
Tak działa ten tryb: blokuje wszystkich. Wejdź do panelu jdm.pl i przestaw tryb na łagodniejszy.
Wybrałem JS Challenge, ale nic się nie zmieniło.
Sprawdź, czy strona ma aktywny certyfikat SSL (zakładka SSL). Bez HTTPS weryfikacja JavaScript nie wystartuje.