Bearmor Security dokumentatsioon

Alustamine

Bearmor Security on tasuta WordPressi turvaplugin väikeettevõtete kodulehtedele ja WooCommerce’i e-poodidele. See ühendab tulemüüri, sisselogimise kaitse, kaheastmelise autentimise, pahavara skanneri, failide tervikluse jälgimise, haavatavuste teavitused, 30 turvaseadet, tegevuslogi ja lihtsas keeles AI-turvakokkuvõtte. Tasulisi pakette ei ole ja midagi ei ole vaja avada: kõik sellel lehel kirjeldatu töötab kohe pärast aktiveerimist.

Nõuded

• WordPress 5.8 või uuem (testitud kuni versioonini 7.1)
• PHP 7.4 või uuem
• Andmebaasi kasutaja, kes saab tabeleid luua (igal majutusel tavaline)
• Kirjutusõigus kausta wp-content/uploads karantiini jaoks ning failidele wp-config.php ja .htaccess, kui soovid kasutada neid muutvaid seadeid
• Väljuv HTTPS-ühendus serverist, et plugin jõuaks WordPress.org-i, WPVulnerability.net-i ja bearmor.eu-ni

Paigaldamine

1. Ava wp-adminis Plugins → Add New.
2. Otsi Bearmor Security, vajuta Install Now ja seejärel Activate.
3. Admini külgmenüüsse ilmub Bearmor Security. Ava see, et näha töölauda.
4. Käsitsi paigaldus: laadi ZIP-fail alla WordPress.org-ist ja kasuta Plugins → Add New → Upload Plugin või paki see SFTP kaudu lahti kausta wp-content/plugins/ ja aktiveeri.

Mis juhtub kohe pärast aktiveerimist

• Sait registreerub bearmor.eu-s ja saab oma saidivõtme. Seda kasutatakse igapäevaseks registreerimiseks, tööaja jälgimiseks ja AI-turvakokkuvõtteks. Sinult ei ole midagi muud vaja.
• Esimene failide baastase (baseline) ajastatakse umbes kaks minutit pärast aktiveerimist. See salvestab iga jälgitava faili SHA-256 sõrmejälje, et hilisemad muudatused oleks näha.
• Ajastatakse igapäevased tööd: pahavara skaneerimine (umbes kell 03:00 serveri aja järgi), failide tervikluse kontroll (umbes kell 04:00), haavatavuste kontroll, AI-kokkuvõte ja igapäevane registreerimine.
• Tulemüür ja meepott (honeypot) on vaikimisi sees. Ülejäänud funktsioonid jäävad välja, kuni need ise sisse lülitad.

Soovitatav 10-minutiline seadistus

1. Turvaseaded: ava Bearmor Security → Hardening, vajuta Apply Recommended (Tier 1), salvesta ja vajuta Run Self-Test.
2. Sinu enda 2FA: ava Users → Profile, keri jaotiseni Bearmor two-factor authentication, skaneeri QR-kood autentimisrakendusega, sisesta kood, salvesta ja hoia 10 varukoodi turvalises kohas.
3. Lülita 2FA sisse: ava Settings → 2FA, märgi Ask for a 2FA code at login, vali, millised administraatorid peavad seda kasutama, ja salvesta.
4. Teavituste e-post: kontrolli jaotises Settings → Scanning, et teavituste aadress oleks postkast, mida sa päriselt loed.
5. Kontrolli e-kirjade saatmist: kui sait ei suuda e-kirju saata, paigalda SMTP-plugin. Sellest sõltuvad nii teavitused kui ka e-postiga saadetavad 2FA koodid.

Kust mida leida

Töölaud ja turvaolek

Töölaud vastab ühele küsimusele: kas minu sait on korras ja kui ei, mida ma järgmisena tegema peaksin? Punktisüsteemi asemel kontrollib Bearmor iga kaitseala eraldi ja näitab halvimat leitud olekut.

Kolm olekut

Oleku all on lühike rida, mis ütleb täpselt, mis on avatud, näiteks „1 critical vulnerability, update recommended“, ning nimekiri tähelepanu vajavatest asjadest. Iga rida viib otse lehele, kus saad selle korda teha. Pikk nimekiri on keritav.

Oleku taga olev kontrollnimekiri

• SSL: kas sait töötab HTTPS-iga.
• Two-Factor Auth: kas 2FA on sisse lülitatud ja mitu valitud administraatorit on meetodi päriselt seadistanud.
• Firewall: kas tulemüür on sees.
• Hardening: mitu seadet on igal tasemel sisse lülitatud.
• File Integrity: kas baastase on olemas ja kas kaitstud failid on ootamatult muutunud.
• Malware: avatud leiud raskusastme järgi.
• Vulnerabilities: avatud CVE-d raskusastme järgi. Kriitiline CVE muudab oleku punaseks.
• Uptime: kas bearmor.eu jõuab sinu saidini.

Töölaua vidinad

• AI-turvakokkuvõte: lihtsas keeles märkus sinu saidi kohta (vaata järgmist jaotist).
• Tulemüür: viimased blokeeritud päringud ja reeglid, mis need peatasid.
• Sisselogimised: viimase 24 tunni õnnestunud ja ebaõnnestunud sisselogimised ning blokeeritud IP-d.
• Failimuudatused: pärast baastaset muutunud failid.
• Haavatavused: avatud probleemid koos versiooniga, mis need parandab.
• Tööaeg: bearmor.eu kontrollib sinu avalehte iga 15 minuti järel. Vidin näitab tööaja protsenti, vastamisaega ja katkestusi. Andmed sünkroonitakse saidiga kord tunnis.

AI-turvakokkuvõte

AI-turvakokkuvõte muudab saidi toored turvaandmed lühikeseks märkuseks, mille loed läbi minutiga: mis töötab, mis vajab tähelepanu ja kuhu klõpsata, et see korda teha. See on igal saidil tasuta kaasas.

Kuidas see töötab

1. Sait koostab oma andmetest struktureeritud lühikokkuvõtte: WordPressi, PHP ja teema versioonid, aktiivsed pluginad ja saadaolevad uuendused, avatud haavatavused koos CVE ja parandatud versiooniga, ootel pahavaraleiud, ootamatud failimuudatused, tulemüüri ja sisselogimiste statistika, 2FA olek ning hiljutised admini tegevused.
2. See saadetakse HTTPS-i kaudu bearmor.eu-le koos saidivõtmega.
3. bearmor.eu koostab AI-mudeliga märkuse ja kontrollib seda enne tagastamist faktide vastu. Kriitilised leiud nagu CVE-d, pahavara ja tuumafailide muudatused tulevad alati esimesena ning väited, mida sinu andmed ei toeta, eemaldatakse.
4. Märkus ilmub töölaua vidinasse koos linkidega õigetele Bearmori lehtedele.

Millal see käivitub ja piirangud

Värske märkus on 15 minutit tähisega New. Kui piirang on täis, näitab vidin viimast märkust ja ütleb, millal saad uuesti käivitada. Paranda enne midagi ära, näiteks uuenda haavatav plugin, ja värskenda siis, et märkus kajastaks muudatust.

Kuidas märkust lugeda

• Needs attention tuleb esimesena ja ütleb, mida teha, näiteks „Update Contact Form 7 to 6.2.2, fixes CVE-2026-XXXX“.
• Working loetleb, mis on juba paigas, näiteks aktiivne tulemüür, blokeeritud ründajad ja kasutusel olev 2FA.
• Pikad nimekirjad lühendatakse, näiteks „Update WooCommerce, Polylang and 3 more“. Täisnimekiri on lehtedel Vulnerabilities ja Updates.
• Märkus selgitab sinu andmeid, aga ei asenda skannereid. Kui märkus ja skanner on eri meelt, usalda skannerit ja käivita kokkuvõte hiljem uuesti.

Pahavara skanner

Pahavara skanner otsib tagauksi, veebikestasid ja hägustatud koodi kohtadest, kuhu päris WordPressi pahavara peitub. See on teadlikult kitsas ja täpne, et sind ei uputataks valehäiretesse.

Mida skaneeritakse

• PHP-failid WordPressi juurkaustas (mitte wp-admin ega wp-includes, mida failide terviklikkus võrdleb WordPress.org-iga)
• PHP-failid otse kaustas wp-content/, kuhu ründajad tihti üksikuid tagauksi jätavad
• Aktiivne teema ja selle vanemteema, kõik failid
• Kohustuslikud pluginad (wp-content/mu-plugins), kõik failid
• PHP-failid kõikjal kaustas wp-content/uploads. Seal peaks olema ainult meedia, nii et iga PHP-fail on kahtlane.

Mida see tuvastab

Bearmor kasutab kombineeritud signatuure. Üksik base64_decode või eval ei ole veel leid, sest paljud korralikud programmid kasutavad neid. Leiuks on vaja mustrit, mida pahavara päriselt kasutab:

• Kodeeritud, pakitud või ROT13 sisu, mis käivitatakse kohe
• Dekodeeritud sisu assert või eval, topelthägustatud sisu
• Koodi või käsurea käivitamine või failide kirjutamine kasutaja sisendi põhjal ($_GET, $_POST, $_REQUEST, küpsised)
• preg_replace ohtliku /e lisaga
• Tuntud veebikestade signatuurid
• Failid, mis algavad summutatud PHP-kutsega, mis on tüüpiline süstitud esimene rida

Skaneerimine

• Käsitsi: Bearmor Security → Malware Scan → Run Malware Scan. Enamik saite on valmis sekunditega.
• Automaatselt: iga päev umbes kell 03:00 serveri aja järgi, kui Settings → Scanning → Scan Schedule on Daily (vaikimisi).

Mida leiuga teha

Automaatne karantiin

Jaotises Settings → Scanning → Automated Actions saad lubada Bearmoril leitud failid automaatselt karantiini panna. Vaikimisi on see väljas. See on kasulik saitidel, mida keegi iga päev ei vaata, aga karantiini pandud teemafail võib avalehe katki teha, seega kontrolli saiti pärast automaatset tegevust.

Pärast päris nakatumist

1. Pane pahatahtlikud failid karantiini või eemalda need.
2. Paigalda WordPressi tuum uuesti ja uuenda kõik pluginad ning teemad.
3. Vaheta kõigi administraatorite paroolid ja andmebaasi parool ning eemalda tundmatud adminikasutajad.
4. Ehita baastase uuesti jaotises Settings → Scanning, et puhas olek saaks uueks võrdluspunktiks.
5. Käivita pahavara skaneerimine ja failide tervikluse kontroll uuesti.

Failide terviklikkus ja baastase

Failide tervikluse jälgimine annab teada, kui muutuvad failid, mis tavaliselt kunagi ei muutu. See on kiireim viis märgata, et keegi on sinu saidil midagi muutnud.

Kuidas see töötab

• WordPressi tuuma võrreldakse sinu täpse versiooni ametlike kontrollsummadega WordPress.org-ist. Lokaliseeritud versioone, näiteks eesti- või saksakeelset WordPressi, kontrollitakse nende endi kontrollsummade järgi, nii et tõlgitud failid häireid ei tekita.
• wp-config.php saab eraldi sõrmejälje.
• Aktiivse teema ja vanemteema kõik failid saavad sõrmejälje, sest teemad muutuvad harva ja muudatus on tugev signaal.
• Sõrmejälje saavad ka kohustuslikud pluginad ning üksikud PHP-failid WordPressi juurkaustas ja kaustas wp-content/.
• Iga sõrmejälg on SHA-256 räsi, mis salvestatakse sinu enda andmebaasi. Neid sõrmejälgi kokku nimetatakse baastasemeks (baseline).

Kontroll käib iga päev umbes kell 04:00 serveri aja järgi. Bearmor võrdleb iga faili baastasemega ja märgib selle olekuks changed, new või deleted. Tulemused on lehel Bearmor Security → File Changes.

Uuendused ei tekita valehäireid

Kui uuendad WordPressi, teemat või Bearmorit ennast, uuendatakse muutunud failide baastase taustal vaikselt. Näed ainult muudatusi, mis toimusid väljaspool tavalist uuendust. Majutuse halduspaneelide abifaile, näiteks Installatroni omi, ignoreeritakse.

E-posti teavitused

Ootamatu muudatus kaitstud failis (WordPressi tuum, wp-config.php või PHP-fail uploads kaustas) saadab teavituste aadressile ühe e-kirja ja muudab töölaua punaseks. Sama faili sama sisuga muudatusest teatatakse üks kord, mitte iga päev. Alles hoitakse viimased 250 muudatust.

Tegevused muutunud failiga

• View: vaata faili ja millal see muutus.
• Mark Safe: kinnita muudatus õigustatuks. See saab baastaseme osaks.
• Lock / Unlock: muuda fail serveris kirjutuskaitstuks, et seda ei saaks lihtsalt uuesti muuta.
• Quarantine / Restore: teisalda fail eemale või too see tagasi.

Baastaseme uuesti ehitamine

Settings → Scanning → File Monitoring → Rebuild Baseline Scan asendab kõik sõrmejäljed failide praeguse olekuga. See võtab sõltuvalt saidi suurusest 30 kuni 120 sekundit. Ehita uuesti:

• pärast pahavara puhastamist, kui oled kindel, et praegused failid on puhtad
• pärast suurt teemavahetust või käsitsi SFTP kaudu tehtud muudatusi
• kui tahad võrdluspunkti lähtestada ja vanad muudatused nimekirjast eemaldada

Iga tunni kontroll

Valmis saitidele mõeldud lukustustaseme seade Hourly file tripwire kontrollib faile iga tund ja saadab iga muudatuse korral kohe e-kirja. Vaata jaotist Turvaseaded.

Haavatavuste teavitused

Enamik häkitud WordPressi saite murtakse sisse aegunud plugina teadaoleva augu kaudu. Bearmor kontrollib paigaldatud tarkvara iga päev avaliku haavatavuste andmebaasi vastu ja ütleb täpselt, mida uuendada.

Kuidas see töötab

• Kord päevas saadab Bearmor WordPressi tuuma, pluginate ja teemade nimed ning versioonid tasuta avalikku andmebaasi WPVulnerability.net.
• Tulemusi hoitakse 24 tundi vahemälus, et API-päringuid oleks vähe. Lehel Vulnerabilities olev Scan Now teeb kohe värske kontrolli.
• Näidatakse ainult probleeme, mis puudutavad sinu paigaldatud versiooni. Kui kasutad juba parandatud versiooni, kaob probleem nimekirjast.

Mida näed

Raskusaste ja olek

• Critical: muudab töölaua punaseks ja saadab saidi adminile ühe e-kirja. Uuenda kohe.
• High: uuenda täna.
• Medium ja Low: uuenda järgmise hoolduse käigus. Need kuvatakse olekuna Review.

Sisselogimise kaitse ja blokeeringud

Robotid proovivad WordPressi sisselogimislehtedel iga päev tuhandeid paroole. Bearmor loeb ebaõnnestunud sisselogimisi IP-aadressi kaupa ja lukustab ründaja iga korraga kauemaks välja.

Blokeeringu astmed

Katseid loetakse viimase tunni jooksul ja pärast iga blokeeringut algab loendus otsast. Blokeeritud külastaja näeb teadet „Too many failed login attempts. Please try again in X minutes.“ Püsivalt blokeeritud IP näeb sisselogimislehel teadet Access Denied. Mõlemad kehtivad nii wp-login.php kui ka kõigi teiste autentimisteede kohta, sealhulgas XML-RPC.

Blokeeritud IP-de haldamine

• Activity Log → Blocked IPs näitab kõiki blokeeritud aadresse koos põhjuse, aja ja aegumisajaga.
• Unblock eemaldab blokeeringu kohe, näiteks kui kolleeg kirjutas parooli valesti.
• Manually block an IP lisab blokeeringu käsitsi, näiteks aadressile, mida näed vahekaardil Login Attempts ründamas.
• Aegunud ajutised blokeeringud kustutatakse automaatselt 7 päeva pärast. Püsivad jäävad alles, kuni need ise eemaldad.

Sisselogimiskatsete logi

Activity Log → Login Attempts näitab iga õnnestunud ja ebaõnnestunud sisselogimist koos kasutajanime, IP-aadressi, riigi ja ajaga. Riik tuvastatakse teenusega ip-api.com.

Päris IP-aadressid Cloudflare’i ja proksi taga

Blokeeringud töötavad ainult siis, kui Bearmor näeb ründaja päris IP-d. Edasisaadetud päiseid saab võltsida, seega usaldab Bearmor päist CF-Connecting-IP ainult siis, kui päring tuleb päriselt Cloudflare’i aadressilt, ning päiseid X-Forwarded-For või X-Real-IP ainult siis, kui server asub kohaliku proksi taga. Tavalise otseühenduse korral kasutatakse ühenduse aadressi, nii et ründaja ei saa blokeeringust võltsitud päisega mööda hiilida.

Veel sisselogimise kaitset

• Generic login errors (turvaseaded, tase 1) peidab, kas kasutajanimi on olemas.
• Meepott peatab paljud robotid enne, kui parooli üldse kontrollitakse.
• Kaheastmeline autentimine muudab varastatud parooli üksi kasutuks.
• Login IP allowlist (lukustus) laseb sisselogimislehele ainult sinu enda IP-d.

Kaheastmeline autentimine (2FA)

2FA puhul ei piisa sisselogimiseks ainult paroolist. Pärast parooli sisestab kasutaja 6-kohalise koodi telefonist või e-postist. Isegi kui parool lekib, ei pääse ründaja sisse.

Kelle kohta see kehtib

• 2FA kehtib ainult administraatoritele (kasutajad, kes saavad seadeid hallata). Kliente, tellijaid ja liikmeid ei küsita kunagi, nii et tuhandete klientidega WooCommerce’i pood ei saa kogemata kedagi välja lukustada.
• Üldlüliti: Settings → 2FA → Ask for a 2FA code at login.
• Valik admini kaupa: lüliti all olevas nimekirjas on iga administraatori jaoks märkeruut. Eemalda linnuke, et seda inimest koodi kunagi ei küsitaks, näiteks juurutustööriista tehnilise konto puhul.
• Märgitud administraator, kes pole meetodit seadistanud, saab endiselt sisse logida ainult parooliga. Nimekirjas on tema juures Not set up ja link profiilile ning töölaud näitab, mitu valitud admini on kaitstud.

1. meetod: autentimisrakendus (soovitatav)

Töötab ilma internetita, ei vaja e-posti ja on kõige turvalisem valik. Sobib iga TOTP-rakendus: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden Authenticator ja teised.

1. Ava Users → Profile ja keri jaotiseni Bearmor two-factor authentication. Võid vajutada ka nuppu Set up your own 2FA lehel Settings → 2FA.
2. Paigalda telefoni autentimisrakendus, kui seda veel ei ole.
3. Skaneeri rakendusega QR-kood. QR-kood luuakse sinu enda serveris: saladus ei lahku kunagi sinu saidilt. Teise võimalusena sisesta koodi all olev seadistusvõti (setup key) või ava telefonis otpauth-link.
4. Sisesta rakenduse näidatud 6-kohaline kood välja Code from the app, to confirm.
5. Vajuta lehe allosas Update Profile.
6. Salvesta 10 varukoodi, mis ilmuvad. Neid näidatakse ainult üks kord.

Varukoodid

• Saad 10 koodi, igaüks 8 märki. Iga kood töötab ühe korra.
• Sisesta varukood samasse välja kui rakenduse kood, näiteks kui telefon on kadunud või aku tühi.
• Koodid salvestatakse räsitult nagu paroolid. Keegi ei saa neid andmebaasist välja lugeda.
• Märgi profiilil Generate 10 new backup codes, et need asendada. Vanad koodid lakkavad töötamast.

2. meetod: kood e-postiga

Märgi profiilil Also email a code at login. Igal sisselogimisel saadetakse kasutaja e-posti aadressile 6-kohaline kood, mis aegub 10 minutiga. See töötab ainult siis, kui sait suudab e-kirju usaldusväärselt saata. Kui saatmine ebaõnnestub, ütleb sisselogimisleht seda kohe, selle asemel et lõputult oodata. Kui kasutajal on mõlemad meetodid, kasutatakse autentimisrakendust.

Sisselogimise samm

• Pärast õiget parooli näeb kasutaja töölaua asemel koodivälja.
• Remember this device for 30 days jätab koodi selles brauseris 30 päevaks küsimata.
• Pärast 5 valet koodi sisselogimine katkestatakse ja kasutaja peab parooliga uuesti alustama. See peatab arvamise.
• Rakenduse kood kehtib 30 sekundit ja lubatud on 30-sekundiline nihe mõlemale poole. Telefoni kell peab olema automaatselt seadistatud.

Kui jääd välja lukku

1. Kasuta varukoodi. See on kiireim viis.
2. Palu abi teiselt administraatorilt. Ta saab avada sinu kasutaja lehel Users → All Users, märkida jaotises Bearmor two-factor authentication Remove it and show a new setup key ja salvestada. Või eemaldada sinu juurest linnukese lehel Settings → 2FA.
3. Teist admini ei ole? Lisa SFTP või majutuse failihalduri kaudu faili wp-config.php rida define( 'BEARMOR_DISABLE_2FA', true );. Siis jäetakse 2FA kõigi jaoks vahele. Logi sisse, seadista rakendus uuesti ja eemalda rida.

Tulemüür ja riikide blokeerimine

Bearmori tulemüür kontrollib iga sissetulevat päringut enne, kui WordPress lehe kokku paneb, ja peatab levinud rünnakud vastusega 403 Forbidden. See on vaikimisi sees.

Mida see blokeerib

• SQL-süst: mustrid nagu OR 1=1, UNION SELECT, DROP TABLE ja EXEC(
• Saidiülene skriptimine (XSS): script-sildid, javascript: aadressid, onerror= ja onload= sündmused, eval(
• Kaustade läbimine: ../ jadad, nende kodeeritud variandid ja katsed lugeda faili /etc/passwd
• Käsusüst: käsurea käsud nagu ; rm -rf ja | cat

Tulemüür kontrollib URL-i, päringustringi, GET- ja POST-andmeid ning küpsiseid.

Mida see kunagi ei blokeeri

• Sisse loginud administraatoreid. Nad muudavad sisu, mis võib välja näha nagu kood, näiteks skriptijupid lehehitajas.
• WP-CLI-d ja WordPressi croni. See on sait ise, mitte külastaja.
• WordPressi heartbeat’i ja WooCommerce’i ostukorvi värskendusi.
• Midagi, mis on valges nimekirjas.

Iga blokeering logitakse vahekaardile Activity Log → Firewall Blocks koos aja, IP, URL-i ja reegliga, mis rakendus.

Päringute piiramine

Valikuline, vaikimisi väljas. Kui see on sees, saab IP, mis laadib minutis rohkem lehti kui lubatud, selle minuti lõpuni vastuseks 403. Vaikimisi piir on 120 päringut minutis ja väikseim lubatud väärtus on 60. Arvesse lähevad ainult anonüümsed lehelaadimised: sisse loginud kasutajaid, REST API päringuid, AJAX-i ja WP-CLI-d ei piirata kunagi. Lülita sisse, kui robotid saiti koormavad, ja tõsta piiri, kui ühe kontori IP taga olevad päris külastajad blokeeritakse.

Riikide blokeerimine

1. Ava Settings → Firewall ja märgi Block requests from specific countries.
2. Sisesta kahetähelised ISO riigikoodid komadega eraldatult, näiteks CN, KP, IR.
3. Vajuta Save & Apply.

• Riik tuvastatakse teenusega ipwho.is ja tulemust hoitakse iga IP kohta 24 tundi, nii et iga külastajat kontrollitakse kõige rohkem kord päevas.
• Kui tuvastamine ebaõnnestub, päring lubatakse. Bearmor ei blokeeri kunagi külastajat selle pärast, et tuvastusteenus ei tööta.
• Sisse loginud administraatoreid ja valges nimekirjas olevaid IP-sid riigi järgi ei blokeerita.
• Enne riigi blokeerimist vaata oma analüütikat: riigi blokeerimine peatab ka sealsed päris kliendid, otsingumootorite robotid ja makseteenuste tagasikutsed, mis sealt tulevad.

Valge nimekiri

Valget nimekirja kontrollitakse enne kõiki teisi reegleid: enne päringute piiramist, riikide blokeerimist ja mustrite kontrolli. Lisa kirje jaotises Settings → Firewall → Whitelist:

• IP address: sinu kontor, seireteenus või makseteenus, näiteks 203.0.113.10.
• URL contains: iga päring, mille URL sisaldab seda teksti, läheb tulemüürist mööda, näiteks /checkout või veebihaagi (webhook) aadress nagu /wc-api/.

Meepott (sisselogimis- ja kommentaarivorm)

Meepott (honeypot) püüab rämpsposti saatvad robotid kinni ilma CAPTCHA, mõistatuste ja küpsisebänneriteta. Päris külastajad seda ei märka.

Kuidas see töötab

• Bearmor lisab WordPressi sisselogimisvormile ja kommentaarivormile nähtamatu tekstivälja. Väli on ekraanist väljas, klaviatuur jätab selle vahele ja ekraanilugejad seda ei näe.
• Igal saidil on oma juhuslik väljanimi (näiteks hp_x7k2…), nii et robotid ei saa seda teistelt saitidelt õppida.
• Robotid täidavad kõik leitud väljad. Kui peidetud väljas on midagi, lükatakse saatmine tagasi.
• Peidetud ajatempel lükkab tagasi ka vormid, mis saadetakse vähem kui 2 sekundit pärast lehe laadimist. Inimene ei ole nii kiire, skript on.

Mis juhtub kinni püütud robotiga

• Sisselogimisvorm: sisselogimine lükatakse tagasi enne parooli kontrolli ja tegevuslogisse lisatakse kirje Blocked Login (Honeypot).
• Kommentaarivorm: kommentaar lükatakse tagasi ega jõua kunagi modereerimisjärjekorda.

Seaded ja ulatus

• Vaikimisi sees. Lüliti on jaotises Settings → Firewall → Honeypot Protection.
• See katab WordPressi tavalise sisselogimis- ja kommentaarivormi. Contact Form 7, WooCommerce’i kassa ja teised vormipluginad kasutavad oma rämpspostikaitset ja neid ei muudeta.
• Paroolihaldurid ja brauseri automaattäide seda ei käivita, sest nad ei täida tundmatu nimega peidetud välju.

Turvaseaded (30 reeglit)

Turvaseaded (hardening) sulgevad uksed, mida WordPress vaikimisi lahti jätab. Bearmoril on 30 reeglit kolmel tasemel. Iga reegel selgitab, mida see teeb, mida võib katki teha ja kuidas seda testida, nii et saad need sisse lülitada ilma arvamata.

Kolm taset

• Tase 1 - Baas (Baseline): ohutu igal saidil. Turvapäised, peidetud versioon, blokeeritud kasutajanimede väljaselgitamine ja muu sarnane.
• Tase 2 - Ligipääsu piiramine (Access Hardening): ohutu enamikul saitidel, kuid võib mõjutada konkreetseid pluginaid või töövooge. Loe enne märkusi.
• Tase 3 - Lukustus (Lockdown): valmis, „külmutatud“ saitidele, mille sisu muutub harva. Need reeglid teevad tavalise sisuhalduse meelega katki.

Kiirtegevused

• Apply Recommended (Tier 1): märgib kõik baastaseme reeglid. Seejärel vajuta Save All Settings.
• Freeze Site (Lockdown preset): märgib taseme 1, kõik lukustusreeglid ja need taseme 2 reeglid, mis on külmutatud saidil ohutud: XML-RPC väljas, failiredaktor väljas, Application Passwords väljas, registreerimine väljas, PHP blokeeritud uploads kaustas ja vood väljas.
• Disable All: eemaldab kõik linnukesed.
• Undo last hardening change: taastab viimase salvestuse eelse reeglite komplekti kuni 24 tunni jooksul. Kasuta seda, kui midagi läks pärast muudatust katki.
• Run Self-Test: kompab saiti anonüümselt väljastpoolt ja kontrollib, kas iga sisselülitatud reegel päriselt töötab, näiteks kas /?author=1 annab vastuseks Forbidden. Samuti hoiatab see teadaolevate konfliktide eest aktiivsete pluginatega nagu Jetpack, WooCommerce ja Contact Form 7.

Leht näitab ka WP_DEBUG olekut. Silumisrežiim peaks töötaval saidil olema väljas, sest veateated võivad paljastada failiteid.

Kõik 30 reeglit

Turvapäised

Turvapäised on lühikesed juhised, mille server saadab iga lehega kaasa. Need ütlevad brauserile, kuidas sinu külastajaid kaitsta. Bearmor saab saata kuus päist, kõik Hardening lehe 1. tasemelt.

Kuidas päiseid kontrollida

1. Ava sait privaatses aknas, vajuta F12, ava vahekaart Network ja laadi leht uuesti.
2. Klõpsa esimesel päringul (sinu leht) ja vaata jaotist Response Headers.
3. Või käivita terminalis curl -I https://sinusait.ee.

Hea teada

• HSTS on vaikimisi väljas. Lülita see sisse ainult siis, kui SSL-sertifikaat uueneb automaatselt. Kui brauser on HSTS-i näinud, keeldub see 180 päeva tavalisest HTTP-st, isegi kui sertifikaat läheb katki.
• Kui majutaja või Cloudflare juba saadab mõnda päist, lülita Bearmori koopia välja, et vältida topeltpäiseid. Cloudflare saab HSTS-i ise saata jaotises SSL/TLS → Edge Certificates.
• Bearmor ei saada Content-Security-Policy päist. Kasulik CSP sõltub igast skriptist, mida sait laadib, ja seda on lihtne valesti seadistada; tee see iga saidi jaoks koos arendajaga.
• Täislehe vahemälu pluginad salvestavad päised koos lehega. Tühjenda vahemälu pärast päiste muutmist.

Tegevuslogi

Tegevuslogi salvestab, kes mida ja millal tegi. Pärast intsidenti on see esimene koht, kuhu vaadata, ja tavalisel päeval näitab see, et midagi ootamatut ei juhtunud.

Vahekaardid

Salvestatavad sündmused

• Sisse- ja väljalogimised
• Meepoti blokeeritud sisselogimised
• Pluginate paigaldamine, aktiveerimine, deaktiveerimine ja kustutamine
• Teema vahetused
• Kasutajate loomine ja kustutamine
• Failide karantiini panemine ja taastamine
• IP-aadresside blokeerimine ja blokeeringu eemaldamine
• Seadete muutmine ja turvaseadete rakendamine

Filtreeri tegevuse, kasutaja või raskusastme järgi. Tegevuste kirjeid hoitakse 90 päeva; sisselogimiskatsete ja tulemüüri blokeeringute puhul hoitakse viimaseid kirjeid, nii et tabelid ei kasva piiramatult.

Seaded

Lehel Bearmor Security → Settings on neli vahekaarti. Muudatused hakkavad kehtima pärast nupu Save & Apply vajutamist.

General (üldine)

• Site ID ja Last check-in: selle saidi tunnus bearmor.eu-s ja viimane igapäevane registreerimine. Kasulik toega suheldes.
• Nupud Docs ja Get Support.
• Scheduled Tasks: kõik Bearmori ajastatud tööd (pahavara skaneerimine, haavatavuste kontroll, failide tervikluse kontroll, AI-analüüs, igapäevane registreerimine, tööaja sünkroonimine, blokeeringute ja tegevuslogi puhastamine) koos ajakava ja järgmise käivitusega. „Not scheduled“ tähendab, et WordPressi cron ei tööta korralikult; vaata Probleemide lahendamine.

Scanning (skaneerimine)

Firewall (tulemüür)

2FA

Probleemide lahendamine

Skaneerimine või baastase ei käivitu kunagi

Bearmor kasutab WordPressi croni, mis töötab ainult siis, kui keegi saiti külastab. Vaiksetel saitidel või siis, kui wp-config.php failis on DISABLE_WP_CRON, võivad tööd hilineda või jääda tegemata. Vaata jaotist Settings → General → Scheduled Tasks. Lahendus on päris serveri cron, mis kutsub WordPressi iga 5-15 minuti järel, näiteks:

*/10 * * * * wget -q -O - https://sinusait.ee/wp-cron.php?doing_wp_cron >/dev/null 2>&1

Enamikus majutuse halduspaneelides on Cron Jobs leht, kus saad selle lisada. Seni kasuta igal lehel käsitsi nuppe.

Vorm lakkas töötamast pärast „REST API for logged-in users only“ sisselülitamist

See reegel paneb aadressi /wp-json/ anonüümsetele külastajatele viga tagastama. Bearmor hoiab automaatselt avatuna Contact Form 7 ja WooCommerce Store API (ostukorv ja plokipõhine kassa), nii et need töötavad edasi. Teised pluginad, mis kasutavad külastajate jaoks REST API-t, lakkavad töötamast: teised vormipluginad, otsingu- ja filtrividinad, Jetpack, lehehitajate vormid ning mõned broneerimis- ja vestlusvidinad. Ava katkisel lehel brauseri konsool: viga 401 päringul /wp-json/… kinnitab põhjuse. Lülita reegel välja või kasuta nuppu Undo last hardening change. Kasuta selle asemel reeglit Block REST API user listing, mis sulgeb olulisima lekke vorme katki tegemata.

Cloudflare

• Päris IP-d: Bearmor loeb päist CF-Connecting-IP ainult Cloudflare’i avaldatud IP-vahemikest, nii et blokeeringud ja logid näitavad päris külastajat, mitte Cloudflare’i. Lisapluginat pole vaja.
• Riikide blokeerimine: töötab päris külastaja IP põhjal. Riike saab blokeerida ka Cloudflare’is (Security → WAF), mis peatab need enne serverini jõudmist.
• Päised ja HSTS: kui Cloudflare juba saadab HSTS-i või muid päiseid, lülita Bearmori koopia välja, et vältida topeltpäiseid.
• Päringute piiramine: Cloudflare’i vahemälu serveerib paljusid lehti ilma WordPressini jõudmata, seega loeb Bearmor ainult vahemälust mööda tulevaid päringuid. See on ootuspärane.
• Muu proksi või koormusjaotur: edasisaadetud IP-sid usaldatakse ainult siis, kui ühendus tuleb privaatvõrgu aadressilt. Kui kõik külastajad näitavad sama IP-d, küsi majutajalt, kuidas proksi kliendi IP edasi annab.

Sisselogimise kaitse lukustas mind välja

• Oota blokeeringu lõppu (5 minutit, 30 minutit või 24 tundi) või logi sisse teisest võrgust, näiteks mobiilse andmesidega.
• Palu teisel administraatoril eemaldada sinu IP blokeering lehel Activity Log → Blocked IPs.
• Login IP allowlist lukustas su välja? Lisa wp-config.php faili define( 'BEARMOR_UNLOCK', true );, logi sisse, paranda lubatud IP-de nimekiri ja eemalda rida.

2FA koode ei aktsepteerita

• Sea telefoni kuupäev ja kellaaeg automaatseks. Autentimiskoodid sõltuvad täpsest kellast.
• Veendu, et kasutad rakenduses õige saidi Bearmori kirjet.
• Kasuta varukoodi, seejärel eemalda rakendus profiililt ja seadista see uuesti.
• E-posti koodid ei jõua kohale: vaata rämpsposti kausta ja paigalda SMTP-plugin. Paljud majutajad ei toimeta PHP e-kirju usaldusväärselt kohale.
• Täielikud sammud on jaotises Kaheastmeline autentimine → Kui jääd välja lukku.

Tulemüür blokeerib midagi õigustatut

Ava Activity Log → Firewall Blocks, leia päring ja rakendunud reegel ning lisa valgesse nimekirja IP või „URL contains“ kirje. Tüüpilised juhud on makse- ja veebihaagide tagasikutsed ning vormid, kuhu sisestatakse koodijuppe.

Palju failimuudatusi pärast uuendust

Tavaliste uuenduste baastase uuendatakse automaatselt. Kui muutsid faile SFTP kaudu, juurutasid Gitist või vahetasid teemat, vaata nimekiri üle ja ehita baastase uuesti jaotises Settings → Scanning.

.htaccess reeglid ei mõju

Sinu server kasutab tõenäoliselt nginxi, mis ignoreerib .htaccess faile. Enesetest näitab, millised reeglid ei rakendunud. Palu majutajal keelata nginxi seadetes kaustade sirvimine ja PHP käivitamine uploads kaustas.

AI-kokkuvõtet ei ole

• Vaata Settings → General → Last check-in. Kui seal on Never, ei jõua sait bearmor.eu-ni. Küsi majutajalt, kas väljuv HTTPS on blokeeritud.
• Automaatne käivitus toimub kord päevas juhuslikul ajal, nii et uuel saidil võib see võtta kuni 24 tundi.
• Käsitsi käivitusi on 2 päevas ja nende vahel peab olema 10 minutit.

Tööaja andmeid ei ole

Tööaja andmed sünkroonitakse kord tunnis. Kui bearmor.eu ei jõua sinu saidini, näiteks serveri tulemüüri või seireasukohta hõlmava riigiblokeeringu tõttu, jääb vidin tühjaks või näitab katkestust. Vajadusel lisa bearmor.eu valgesse nimekirja.

Jõudlus

Skaneerimised käivad taustal croni kaudu, mitte siis, kui külastajad lehti laadivad. Tulemüür on kiirete mustrikontrollide komplekt iga päringu kohta. Kui väga suurel saidil on skaneerimine aeglane, jäta vahemälu, varukoopiate ja node_modules kaustad välja jaotises Settings → Scanning → Scan Exclusions.

Korduma kippuvad küsimused

Kas Bearmor Security on päriselt tasuta?

Jah. Kõik sellel lehel kirjeldatud funktsioonid on kaasas: tulemüür, 2FA, pahavara skanner, failide terviklikkus, haavatavuste teavitused, AI-kokkuvõte, tööaja jälgimine ja kõik 30 turvaseadet. Midagi ei ole vaja avada ega võtit sisestada.

Milliseid andmeid saadetakse bearmor.eu-le?

Saidi URL, admini e-post teavituste jaoks, plugina versioon, tööaja kontrollid ja AI-kokkuvõtte jaoks lühike ülevaade arvude, versioonide, pluginate nimede ja failiteedega. Paroole, külastajate andmeid ega klientide ja tellimuste andmeid ei saadeta. WordPress.org saab päringud tuuma kontrollsummade kohta, WPVulnerability.net saab pluginate ja teemade nimed koos versioonidega ning ip-api.com ja ipwho.is saavad riigi tuvastamiseks IP-aadressid.

Kas Bearmorit saab kasutada koos teise turvapluginaga?

Jah, aga väldi kahte tulemüüri või kahte sisselogimiskatsete piirajat korraga. Need teevad sama tööd topelt ja probleeme on raskem leida. Kui jätad teise plugina alles, lülita kattuvad osad ühes neist välja.

Kas see töötab WooCommerce’iga?

Jah. 2FA kehtib ainult administraatoritele, mitte kunagi klientidele. Tulemüür jätab ostukorvi värskendused vahele ja REST API reegel hoiab Store API avatuna. Loe enne reeglite sisselülitamist „Might break“ märkusi, näiteks Disable comments (sulgeb tooteülevaated) või Block ALL new user creation (peatab kontode loomise kassas).

Millised autentimisrakendused sobivad?

Iga rakendus, mis toetab standardseid TOTP-koode, sealhulgas Google Authenticator, Microsoft Authenticator, Authy, 1Password ja Bitwarden Authenticator.

Kaotasin telefoni. Kuidas sisse logida?

Sisesta koodivälja üks oma 8-märgilistest varukoodidest. Kui neid enam pole, palu teisel administraatoril sinu 2FA lähtestada või kasuta rida BEARMOR_DISABLE_2FA, mida on kirjeldatud jaotises Kui jääd välja lukku.

Miks pluginate kaustu pahavara suhtes ei skaneerita?

Pluginate koodi haldavad nende autorid ja teadaolevaid auke kontrollib haavatavuste skanner. Mustrite otsimine pluginatest andis peamiselt valehäireid. Bearmor skaneerib kohti, kuhu ründajad päriselt koodi peidavad: WordPressi juurkaust, wp-content, aktiivne teema, mu-plugins ja uploads.

Kas Bearmor aeglustab saiti?

Märgatavat mõju ei ole. Skaneerimised käivad taustal ja tulemüür lisab iga päringu juurde mõne kiire kontrolli.

Mis juhtub, kui plugina välja lülitan?

Kõik ajastatud tööd eemaldatakse, tulemüür ja 2FA lõpetavad töö ning bearmor.eu-le antakse teada, et sait ei ole enam aktiivne. wp-config.php või .htaccess faili kirjutatud reeglid eemaldatakse, kui lülitad need Hardening lehel välja, seega tee seda enne plugina deaktiveerimist, kui neid enam ei soovi.

Kust abi saada?

Kasuta seadetes nuppu Get Support või WordPress.org-i tugifoorumit. Kui soovid, et keegi hoolitseks sinu saidi eest, sealhulgas uuenduste, jälgimise ja häkkimise järel puhastamise eest, vaata Bearmori WordPressi hooldust.