Jak skonfigurować firewall w WordPress?

Firewall w WordPressie nie jest pojedynczą wtyczką. Najlepszą ochronę tworzą trzy warstwy: WAF, który filtruje ruch przed serwerem, firewall serwerowy kontrolujący porty oraz wtyczka zabezpieczająca aplikację. Dzięki temu Cloudflare może odciążyć VPS od części ataków DDoS, UFW ograniczy dostęp do usług, a Wordfence lub WP Cerber przeanalizuje logowania i żądania kierowane do samego WordPressa.

Jaki firewall wybrać do WordPressa?

Wybór zależy przede wszystkim od tego, do czego masz dostęp. Jeśli zarządzasz tylko panelem WordPress, najłatwiej zacząć od wtyczki. Przy własnym VPS potrzebujesz także zapory serwerowej. Z kolei Cloudflare WAF działa przed serwerem i może odrzucać część szkodliwego ruchu, zanim ten zużyje zasoby PHP i bazy danych.

Te rozwiązania się nie wykluczają. WAF filtruje ruch zewnętrzny, UFW ogranicza dostęp do infrastruktury, a wtyczka widzi zdarzenia, których nie da się ocenić wyłącznie na podstawie portu lub adresu IP.

Jak skonfigurować Cloudflare WAF?

Cloudflare działa jako pośrednik między użytkownikiem a serwerem. Aby ochrona faktycznie filtrowała ruch, rekordy DNS dla strony muszą korzystać z proxy Cloudflare, oznaczonego pomarańczową chmurką. Samo dodanie domeny do panelu bez włączenia proxy nie zapewnia takiej samej ochrony.

Przed zmianą DNS sprawdź wszystkie rekordy domeny. Proxy włączaj dla adresów obsługujących stronę WWW, zwykle rekordów domeny głównej i www. Nie kieruj przez proxy rekordów pocztowych ani usług, których Cloudflare nie obsługuje, ponieważ poczta lub FTP mogą przestać działać.

Podstawowa konfiguracja wygląda następująco:

1. Utwórz konto Cloudflare i dodaj domenę WordPress.
2. Sprawdź zaimportowane rekordy DNS, zwłaszcza rekordy A, CNAME oraz MX.
3. Włącz proxy dla rekordów prowadzących do strony WWW.
4. Zmień serwery nazw domeny u rejestratora na te podane przez Cloudflare.
5. Poczekaj na aktywację zmiany DNS i sprawdź, czy domena działa przez HTTPS.
6. W panelu Cloudflare otwórz sekcję reguł WAF i dodaj reguły dopasowane do rzeczywistego ruchu.

Reguła może na przykład ograniczać żądania z określonych adresów IP, krajów albo ścieżek. Szczególną ostrożność zachowaj przy regułach obejmujących /wp-login.php i /wp-admin. Zbyt szerokie blokowanie może odciąć administratora albo użytkowników korzystających z panelu.

Po włączeniu proxy sprawdź ustawienia SSL/TLS. Poziom szyfrowania musi odpowiadać konfiguracji certyfikatu na serwerze. Tryb „Full” jest właściwy wtedy, gdy serwer źródłowy również obsługuje HTTPS i ma certyfikat. Po zmianach przetestuj stronę, logowanie, formularze oraz zasoby statyczne, aby wykryć problemy z mieszanymi treściami lub przekierowaniami.

Jak bezpiecznie skonfigurować UFW na VPS?

UFW jest uproszczonym interfejsem do reguł zapory systemu Linux. Pozwala dopuścić tylko wymagane usługi, na przykład SSH, HTTP i HTTPS, a pozostały ruch przychodzący odrzucić.

Ostrzeżenie: zanim aktywujesz UFW, zezwól na połączenie SSH. Jeśli najpierw zablokujesz port 22, możesz stracić dostęp do VPS i będzie potrzebna konsola awaryjna lub pomoc dostawcy serwera.

Przed rozpoczęciem upewnij się, że masz działającą sesję SSH, uprawnienia sudo i dostęp do konsoli administracyjnej hostingu. Następnie wykonaj reguły w tej kolejności:

1. Zainstaluj UFW, jeśli nie jest dostępny, na przykład poleceniem sudo apt install ufw.
2. Zezwól na SSH poleceniem sudo ufw allow 22/tcp. Jeśli SSH działa na innym porcie, użyj tego portu.
3. Otwórz HTTP i HTTPS za pomocą sudo ufw allow 80/tcp oraz sudo ufw allow 443/tcp.
4. Włącz zaporę poleceniem sudo ufw enable i potwierdź komunikat.
5. Sprawdź aktywne reguły poleceniem sudo ufw status verbose.

Jeżeli korzystasz z profili aplikacji, możesz sprawdzić ich zawartość poleceniem sudo ufw app list. Dla serwera WWW dostępne profile mogą nazywać się między innymi „WWW Full” lub „Nginx Full”, zależnie od dystrybucji i zainstalowanych pakietów. Przed użyciem sprawdź, jakie porty otwiera dany profil.

Nie otwieraj przypadkowych portów tylko dlatego, że są dostępne. Każda dodatkowa usługa, taka jak panel administracyjny, baza danych czy FTP, powinna mieć konkretną regułę i najlepiej ograniczenie do zaufanych adresów IP. Cloudflare nie zastępuje UFW, ponieważ proxy chroni ruch WWW, ale nie zabezpiecza automatycznie wszystkich usług działających na VPS.

Jaką rolę pełnią wtyczki bezpieczeństwa?

Firewall aplikacyjny działa wewnątrz WordPressa. Wtyczka może analizować żądania do panelu, próby logowania, zmiany plików i zachowanie użytkowników. Przydaje się szczególnie wtedy, gdy nie masz dostępu do konfiguracji serwera.

Wtyczki takie jak Wordfence lub WP Cerber mogą zapewnić między innymi:

• monitorowanie logowań i ograniczanie prób brute force,
• blokowanie wybranych adresów IP lub zakresów adresów,
• skanowanie plików WordPressa pod kątem zmian i malware,
• powiadomienia o podejrzanej aktywności oraz zmianach w konfiguracji.

Ich ograniczeniem jest moment działania. Żądanie zwykle dociera już do serwera WWW i może uruchomić PHP, zanim wtyczka je odrzuci. Dlatego przy dużym natężeniu ruchu WAF jest lepszą pierwszą barierą, a wtyczka powinna służyć do kontroli zdarzeń wewnątrz aplikacji. reCAPTCHA może ograniczyć spam w formularzach, ale nie zastępuje firewalla ani ochrony przed atakami na infrastrukturę.

Co sprawdzić po konfiguracji?

Po wdrożeniu ochrony wykonaj kilka testów, aby upewnić się, że reguły nie blokują prawidłowego ruchu:

• Sprawdź stronę główną, panel WordPress i adres /wp-login.php.
• Potwierdź działanie certyfikatu HTTPS oraz formularzy kontaktowych.
• Zweryfikuj, czy poczta, DNS i ewentualne usługi FTP nadal działają.
• Przejrzyj logi Cloudflare, UFW i wtyczki bezpieczeństwa.
• Wykonuj aktualizacje WordPressa, motywów i wtyczek.
• Twórz kopie zapasowe plików oraz bazy danych i sprawdzaj możliwość ich odtworzenia.

Najprostsza konfiguracja dla strony na hostingu to Cloudflare WAF połączony z jedną dobrze skonfigurowaną wtyczką. Przy VPS dodaj UFW i pozostaw otwarte wyłącznie potrzebne porty. Taki podział ogranicza ruch przed serwerem, zabezpiecza infrastrukturę i pozwala kontrolować zdarzenia w samym WordPressie.