Документация Bearmor Security

Начало работы

Bearmor Security - бесплатный плагин безопасности WordPress для сайтов малого бизнеса и магазинов WooCommerce. В нём есть файрвол, защита входа, двухфакторная аутентификация, сканер вредоносного кода, контроль целостности файлов, оповещения об уязвимостях, 30 правил усиления защиты, журнал действий и понятная AI-сводка по безопасности. Платных тарифов нет и ничего не нужно разблокировать: всё описанное на этой странице работает сразу после активации.

Требования

• WordPress 5.8 или новее (проверено до версии 7.1)
• PHP 7.4 или новее
• Пользователь базы данных с правом создавать таблицы (обычное дело на любом хостинге)
• Права на запись в wp-content/uploads для карантина, а также в wp-config.php и .htaccess, если вы хотите использовать правила, которые их меняют
• Исходящие HTTPS-соединения с сервера, чтобы плагин мог обращаться к WordPress.org, WPVulnerability.net и bearmor.eu

Установка

1. В wp-admin откройте Plugins → Add New.
2. Найдите Bearmor Security, нажмите Install Now, затем Activate.
3. В боковом меню появится Bearmor Security. Откройте его, чтобы увидеть панель.
4. Ручная установка: скачайте ZIP с WordPress.org и используйте Plugins → Add New → Upload Plugin или распакуйте архив по SFTP в wp-content/plugins/ и активируйте.

Что происходит сразу после активации

• Сайт регистрируется на bearmor.eu и получает собственный ключ сайта. Он используется для ежедневной отметки, мониторинга доступности и AI-сводки. Больше от вас ничего не требуется.
• Первый эталонный снимок файлов (baseline) запланирован примерно через две минуты после активации. Он сохраняет отпечаток SHA-256 каждого отслеживаемого файла, чтобы потом замечать изменения.
• Планируются ежедневные задачи: сканирование на вредоносный код (около 03:00 по времени сервера), проверка целостности файлов (около 04:00), проверка уязвимостей, AI-сводка и ежедневная отметка.
• Файрвол и ловушка (honeypot) включены по умолчанию. Остальные функции выключены, пока вы их не включите.

Рекомендуемая настройка за 10 минут

1. Усиление защиты: откройте Bearmor Security → Hardening, нажмите Apply Recommended (Tier 1), сохраните и нажмите Run Self-Test.
2. Ваша 2FA: откройте Users → Profile, прокрутите до Bearmor two-factor authentication, отсканируйте QR-код приложением-аутентификатором, введите код, сохраните и спрячьте 10 резервных кодов в надёжное место.
3. Включите 2FA: откройте Settings → 2FA, отметьте Ask for a 2FA code at login, выберите администраторов, которые должны её использовать, и сохраните.
4. Email для уведомлений: в Settings → Scanning убедитесь, что указан ящик, который вы действительно читаете.
5. Проверьте отправку почты: если сайт не отправляет письма, установите SMTP-плагин. От этого зависят уведомления и коды 2FA по email.

Где что находится

Панель и статус безопасности

Панель отвечает на один вопрос: всё ли в порядке с сайтом, а если нет, что делать дальше? Вместо баллов Bearmor проверяет каждую область защиты и показывает худшее найденное состояние.

Три состояния

Под статусом есть короткая строка, которая точно говорит, что открыто, например «1 critical vulnerability, update recommended», и список пунктов, требующих внимания. Каждый пункт ведёт прямо на страницу, где это исправляется. Длинный список прокручивается.

Проверки за статусом

• SSL: работает ли сайт по HTTPS.
• Two-Factor Auth: включена ли 2FA и сколько выбранных администраторов действительно настроили способ входа.
• Firewall: включён ли файрвол.
• Hardening: сколько правил включено на каждом уровне.
• File Integrity: есть ли эталонный снимок и не менялись ли неожиданно защищённые файлы.
• Malware: открытые находки по степени опасности.
• Vulnerabilities: открытые CVE по степени опасности. Критичная CVE делает статус красным.
• Uptime: может ли bearmor.eu достучаться до вашего сайта.

Виджеты панели

• AI-сводка: понятная заметка о вашем сайте (см. следующий раздел).
• Файрвол: последние заблокированные запросы и сработавшие правила.
• Входы: успешные и неудачные входы за 24 часа и заблокированные IP.
• Изменения файлов: файлы, изменившиеся после эталонного снимка.
• Уязвимости: открытые проблемы и версия, в которой они исправлены.
• Доступность: bearmor.eu проверяет главную страницу каждые 15 минут. Виджет показывает процент доступности, время ответа и простои. Данные синхронизируются раз в час.

AI-сводка по безопасности

AI-сводка превращает сырые данные безопасности сайта в короткую заметку, которую можно прочитать за минуту: что работает, что требует внимания и куда нажать, чтобы это исправить. Она бесплатна на каждом сайте.

Как это работает

1. Сайт собирает структурированную справку из собственных данных: версии WordPress, PHP и темы, активные плагины и доступные обновления, открытые уязвимости с CVE и версией исправления, необработанные находки вредоносного кода, неожиданные изменения файлов, статистику файрвола и входов, статус 2FA и недавние действия администраторов.
2. Справка отправляется по HTTPS на bearmor.eu вместе с ключом сайта.
3. bearmor.eu составляет заметку с помощью AI-модели и перед отправкой сверяет её с фактами. Критичные находки - CVE, вредоносный код и изменения файлов ядра - всегда идут первыми, а утверждения, не подтверждённые вашими данными, удаляются.
4. Заметка появляется в виджете панели со ссылками на нужные страницы Bearmor.

Когда запускается и ограничения

Свежая заметка 15 минут помечена как New. Если лимит исчерпан, виджет показывает последнюю заметку и сообщает, когда можно запустить снова. Сначала исправьте что-нибудь, например обновите уязвимый плагин, а потом обновите сводку, чтобы она учла изменение.

Как читать заметку

• Пункты Needs attention идут первыми и говорят, что делать, например «Update Contact Form 7 to 6.2.2, fixes CVE-2026-XXXX».
• Working перечисляет то, что уже работает: активный файрвол, заблокированных атакующих, используемую 2FA.
• Длинные списки сокращаются, например «Update WooCommerce, Polylang and 3 more». Полный список - на страницах Vulnerabilities и Updates.
• Заметка объясняет ваши данные, но не заменяет сканеры. Если заметка и сканер расходятся, доверяйте сканеру и запустите сводку позже ещё раз.

Сканер вредоносного кода

Сканер ищет бэкдоры, веб-шеллы и обфусцированный код там, где на самом деле прячется вредоносный код WordPress. Он сознательно узкий и точный, чтобы не заваливать вас ложными тревогами.

Что сканируется

• PHP-файлы в корневой папке WordPress (не wp-admin и wp-includes - их проверяет контроль целостности по данным WordPress.org)
• PHP-файлы прямо в wp-content/, куда злоумышленники часто подбрасывают отдельные бэкдоры
• Активная тема и её родительская тема, все файлы
• Обязательные плагины (wp-content/mu-plugins), все файлы
• PHP-файлы в любом месте wp-content/uploads. Там должны быть только медиафайлы, поэтому любой PHP подозрителен.

Что он находит

Bearmor использует комбинированные сигнатуры. Одиночный base64_decode или eval не считается находкой, потому что их используют многие нормальные программы. Нужен шаблон, который характерен именно для вредоносного кода:

• Закодированный, сжатый или ROT13-код, который сразу выполняется
• assert или eval расшифрованного кода, двойная обфускация
• Выполнение кода, команд оболочки или запись файлов на основе пользовательского ввода ($_GET, $_POST, $_REQUEST, cookies)
• preg_replace с опасным модификатором /e
• Известные сигнатуры веб-шеллов
• Файлы, которые начинаются с подавленного вызова PHP - типичная внедрённая первая строка

Запуск сканирования

• Вручную: Bearmor Security → Malware Scan → Run Malware Scan. Большинство сайтов проверяются за секунды.
• Автоматически: ежедневно около 03:00 по времени сервера, если в Settings → Scanning → Scan Schedule выбрано Daily (по умолчанию).

Что делать с находкой

Автокарантин

В Settings → Scanning → Automated Actions можно разрешить Bearmor автоматически отправлять найденные файлы в карантин. По умолчанию выключено. Это полезно для сайтов, которые никто не проверяет каждый день, но файл темы в карантине может сломать сайт, поэтому проверьте сайт после автоматического действия.

После настоящего заражения

1. Отправьте вредоносные файлы в карантин или удалите их.
2. Переустановите ядро WordPress и обновите все плагины и темы.
3. Смените пароли всех администраторов и базы данных, удалите незнакомых администраторов.
4. Пересоздайте эталонный снимок в Settings → Scanning, чтобы чистое состояние стало новой точкой отсчёта.
5. Снова запустите сканирование и проверку целостности файлов.

Целостность файлов и эталонный снимок

Контроль целостности сообщает, когда меняются файлы, которые обычно никогда не меняются. Это самый быстрый способ заметить, что кто-то изменил ваш сайт.

Как это работает

• Ядро WordPress сравнивается с официальными контрольными суммами WordPress.org для вашей версии. Локализованные сборки, например русская или эстонская, проверяются по собственным контрольным суммам, поэтому переведённые файлы не вызывают тревог.
• wp-config.php получает отдельный отпечаток.
• Активная и родительская тема отпечатываются полностью: темы меняются редко, и изменение - сильный сигнал.
• Отпечатываются также обязательные плагины и отдельные PHP-файлы в корне WordPress и в wp-content/.
• Каждый отпечаток - хеш SHA-256, хранящийся в вашей базе данных. Набор отпечатков называется эталонным снимком (baseline).

Проверка запускается ежедневно около 04:00 по времени сервера. Bearmor сравнивает каждый файл со снимком и помечает его как changed, new или deleted. Результаты - на странице Bearmor Security → File Changes.

Обновления не вызывают ложных тревог

Когда вы обновляете WordPress, тему или сам Bearmor, снимок для изменённых файлов тихо обновляется в фоне. Вы видите только изменения, сделанные вне обычного обновления. Служебные файлы панелей хостинга, например Installatron, игнорируются.

Уведомления по email

Неожиданное изменение защищённого файла (ядро WordPress, wp-config.php или PHP-файл в uploads) отправляет одно письмо на адрес уведомлений и делает панель красной. Об одном и том же файле с тем же содержимым сообщается один раз, а не каждый день. Хранятся последние 250 изменений.

Действия с изменённым файлом

• View: посмотреть файл и время изменения.
• Mark Safe: признать изменение законным. Оно становится частью снимка.
• Lock / Unlock: сделать файл на сервере доступным только для чтения, чтобы его было трудно изменить снова.
• Quarantine / Restore: убрать файл или вернуть его.

Пересоздание эталонного снимка

Settings → Scanning → File Monitoring → Rebuild Baseline Scan заменяет все отпечатки текущим состоянием файлов. Это занимает от 30 до 120 секунд в зависимости от размера сайта. Пересоздавайте снимок:

• после очистки от вредоносного кода, когда вы уверены, что текущие файлы чистые
• после крупной смены темы или ручных правок по SFTP
• когда хотите сбросить точку отсчёта и очистить старые изменения

Ежечасная проверка

Для готовых сайтов правило уровня блокировки Hourly file tripwire проверяет файлы каждый час и сразу пишет вам о любом изменении. См. раздел «Усиление защиты».

Оповещения об уязвимостях

Большинство взломанных сайтов WordPress взламывают через известную дыру в устаревшем плагине. Bearmor ежедневно сверяет установленное ПО с открытой базой уязвимостей и точно говорит, что обновить.

Как это работает

• Раз в день Bearmor отправляет названия и версии ядра WordPress, плагинов и тем в бесплатную открытую базу WPVulnerability.net.
• Результаты кешируются на 24 часа, чтобы было меньше запросов к API. Кнопка Scan Now на странице Vulnerabilities запускает свежую проверку.
• Показываются только проблемы, которые касаются вашей установленной версии. Если у вас уже исправленная версия, проблема исчезает.

Что вы видите

Важность и статус

• Critical: делает панель красной и отправляет одно письмо администратору сайта. Обновите немедленно.
• High: обновите сегодня.
• Medium и Low: обновите при следующем обслуживании. Они показываются как Review.

Защита входа и блокировки

Боты каждый день перебирают тысячи паролей на страницах входа WordPress. Bearmor считает неудачные входы по IP-адресу и с каждым разом блокирует атакующего дольше.

Уровни блокировки

Попытки считаются за последний час, после каждой блокировки счёт начинается заново. Заблокированный посетитель видит «Too many failed login attempts. Please try again in X minutes.» Постоянно заблокированный IP видит на странице входа сообщение Access Denied. Оба правила действуют для wp-login.php и всех других способов аутентификации, включая XML-RPC.

Управление заблокированными IP

• Activity Log → Blocked IPs показывает все заблокированные адреса с причиной, временем и сроком окончания блокировки.
• Unblock сразу снимает блокировку, например если коллега ошибся в пароле.
• Manually block an IP добавляет блокировку вручную, например для адреса, который вы видите на вкладке Login Attempts.
• Истёкшие временные блокировки удаляются автоматически через 7 дней. Постоянные остаются, пока вы их не снимете.

Журнал попыток входа

Activity Log → Login Attempts показывает каждый успешный и неудачный вход с логином, IP-адресом, страной и временем. Страна определяется через ip-api.com.

Настоящие IP за Cloudflare и прокси

Блокировки работают, только если Bearmor видит настоящий IP атакующего. Пересылаемые заголовки можно подделать, поэтому Bearmor доверяет CF-Connecting-IP только тогда, когда запрос действительно пришёл с адреса Cloudflare, а X-Forwarded-For или X-Real-IP - только если сервер стоит за локальным прокси. При обычном прямом подключении используется адрес соединения, поэтому атакующий не может обойти блокировку поддельным заголовком.

Дополнительная защита входа

• Generic login errors (усиление защиты, уровень 1) скрывает, существует ли логин.
• Ловушка останавливает многих ботов ещё до проверки пароля.
• Двухфакторная аутентификация делает украденный пароль бесполезным.
• Login IP allowlist (блокировка) пускает на страницу входа только ваши IP.

Двухфакторная аутентификация (2FA)

С 2FA одного пароля для входа недостаточно. После пароля пользователь вводит 6-значный код с телефона или из письма. Даже если пароль утёк, злоумышленник не войдёт.

Для кого она действует

• 2FA действует только для администраторов (пользователей, которые могут управлять настройками). Покупателей, подписчиков и участников никогда не спрашивают, поэтому магазин WooCommerce с тысячами клиентов не заблокирует никого случайно.
• Общий переключатель: Settings → 2FA → Ask for a 2FA code at login.
• Выбор по админам: под переключателем есть список с флажком для каждого администратора. Снимите флажок, чтобы этого человека никогда не спрашивали код, например технический аккаунт для деплоя.
• Отмеченный администратор без настроенного способа всё ещё может войти только по паролю. В списке у него написано Not set up со ссылкой на профиль, а панель показывает, сколько выбранных админов защищены.

Способ 1: приложение-аутентификатор (рекомендуется)

Работает без интернета, не нуждается в почте и надёжнее всего. Подходит любое TOTP-приложение: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden Authenticator и другие.

1. Откройте Users → Profile и прокрутите до Bearmor two-factor authentication. Можно также нажать Set up your own 2FA в Settings → 2FA.
2. Установите на телефон приложение-аутентификатор, если его нет.
3. Отсканируйте QR-код приложением. QR-код создаётся на вашем сервере: секрет никогда не покидает сайт. Можно также ввести ключ настройки (setup key) под кодом или открыть ссылку otpauth на телефоне.
4. Введите 6-значный код из приложения в поле Code from the app, to confirm.
5. Нажмите Update Profile внизу страницы.
6. Сохраните 10 резервных кодов, которые появятся. Они показываются только один раз.

Резервные коды

• Вы получаете 10 кодов по 8 символов. Каждый код работает один раз.
• Введите резервный код в то же поле, что и код из приложения, например если телефон потерян или разряжен.
• Коды хранятся в виде хешей, как пароли. Прочитать их из базы данных нельзя.
• Отметьте Generate 10 new backup codes в профиле, чтобы заменить их. Старые коды перестанут работать.

Способ 2: код по email

Отметьте в профиле Also email a code at login. При каждом входе на email пользователя приходит 6-значный код, действующий 10 минут. Это работает, только если сайт надёжно отправляет почту. Если отправка не удалась, страница входа сразу сообщает об этом, а не ждёт бесконечно. Если у пользователя настроены оба способа, используется приложение.

Шаг входа

• После верного пароля пользователь видит поле для кода вместо панели.
• Remember this device for 30 days не спрашивает код в этом браузере 30 дней.
• После 5 неверных кодов вход отменяется, и нужно начать заново с пароля. Это останавливает подбор.
• Код приложения действует 30 секунд с допуском 30 секунд в обе стороны. Часы телефона должны настраиваться автоматически.

Если вы потеряли доступ

1. Используйте резервный код. Это самый быстрый способ.
2. Попросите другого администратора. Он может открыть вашего пользователя в Users → All Users, отметить Remove it and show a new setup key в разделе Bearmor two-factor authentication и сохранить. Или снять ваш флажок в Settings → 2FA.
3. Других админов нет? Добавьте в wp-config.php через SFTP или файловый менеджер хостинга строку define( 'BEARMOR_DISABLE_2FA', true );. Тогда 2FA пропускается для всех. Войдите, заново настройте приложение и удалите строку.

Файрвол и блокировка стран

Файрвол Bearmor проверяет каждый входящий запрос до того, как WordPress соберёт страницу, и останавливает типичные атаки ответом 403 Forbidden. Он включён по умолчанию.

Что он блокирует

• SQL-инъекции: шаблоны вроде OR 1=1, UNION SELECT, DROP TABLE и EXEC(
• Межсайтовый скриптинг (XSS): теги script, адреса javascript:, обработчики onerror= и onload=, eval(
• Обход каталогов: последовательности ../, их закодированные варианты и попытки прочитать /etc/passwd
• Внедрение команд: команды оболочки вроде ; rm -rf и | cat

Файрвол проверяет URL, строку запроса, данные GET и POST и cookies.

Что он никогда не блокирует

• Залогиненных администраторов. Они редактируют содержимое, похожее на код, например фрагменты скриптов в конструкторе страниц.
• WP-CLI и cron WordPress. Это сам сайт, а не посетитель.
• Heartbeat WordPress и обновления корзины WooCommerce.
• Всё, что есть в белом списке.

Каждая блокировка записывается во вкладку Activity Log → Firewall Blocks с временем, IP, адресом и сработавшим правилом.

Ограничение частоты запросов

Необязательно, по умолчанию выключено. Если включено, IP, загружающий больше страниц в минуту, чем разрешено, до конца этой минуты получает 403. По умолчанию лимит 120 запросов в минуту, минимум 60. Считаются только анонимные загрузки страниц: залогиненные пользователи, запросы REST API, AJAX и WP-CLI никогда не ограничиваются. Включите, если боты перегружают сайт, и поднимите лимит, если блокируются настоящие посетители за одним офисным IP.

Блокировка стран

1. Откройте Settings → Firewall и отметьте Block requests from specific countries.
2. Введите двухбуквенные коды стран ISO через запятую, например CN, KP, IR.
3. Нажмите Save & Apply.

• Страна определяется через ipwho.is, результат кешируется на 24 часа для каждого IP, поэтому каждого посетителя проверяют не чаще раза в день.
• Если определить страну не удалось, запрос пропускается. Bearmor никогда не блокирует посетителя из-за того, что сервис определения недоступен.
• Залогиненных администраторов и IP из белого списка по странам не блокируют.
• Перед блокировкой страны посмотрите аналитику: вместе со страной блокируются и настоящие клиенты, поисковые роботы и уведомления платёжных систем оттуда.

Белый список

Белый список проверяется раньше всех остальных правил: до ограничения частоты, блокировки стран и проверки шаблонов. Добавьте запись в Settings → Firewall → Whitelist:

• IP address: ваш офис, сервис мониторинга или платёжная система, например 203.0.113.10.
• URL contains: любой запрос, адрес которого содержит этот текст, минует файрвол, например /checkout или адрес вебхука вроде /wc-api/.

Ловушка (формы входа и комментариев)

Ловушка (honeypot) ловит спам-ботов без CAPTCHA, головоломок и баннеров. Настоящие посетители её не замечают.

Как это работает

• Bearmor добавляет невидимое текстовое поле в форму входа WordPress и форму комментариев. Поле вынесено за пределы экрана, пропускается клавиатурой и скрыто от экранных дикторов.
• У каждого сайта своё случайное имя поля (например, hp_x7k2…), поэтому боты не могут выучить его на других сайтах.
• Боты заполняют все найденные поля. Если в скрытом поле что-то есть, отправка отклоняется.
• Скрытая отметка времени также отклоняет формы, отправленные менее чем через 2 секунды после загрузки страницы. Человек так быстро не успевает, скрипт - успевает.

Что происходит с пойманным ботом

• Форма входа: вход отклоняется ещё до проверки пароля, а в журнал действий записывается Blocked Login (Honeypot).
• Форма комментариев: комментарий отклоняется и не попадает в очередь модерации.

Настройки и охват

• Включена по умолчанию. Переключатель: Settings → Firewall → Honeypot Protection.
• Покрывает стандартные формы входа и комментариев WordPress. Contact Form 7, оформление заказа WooCommerce и другие плагины форм используют свою защиту от спама и не меняются.
• Менеджеры паролей и автозаполнение браузера не вызывают срабатывания: они не заполняют скрытые поля с незнакомыми именами.

Усиление защиты (30 правил)

Усиление защиты (hardening) закрывает двери, которые WordPress по умолчанию оставляет открытыми. В Bearmor 30 правил на трёх уровнях. Каждое объясняет, что делает, что может сломать и как его проверить, поэтому включать их можно без догадок.

Три уровня

• Уровень 1 - Базовый (Baseline): безопасен на любом сайте. Заголовки безопасности, скрытая версия, защита от перебора логинов и т. п.
• Уровень 2 - Ограничение доступа (Access Hardening): безопасен на большинстве сайтов, но может затронуть отдельные плагины или процессы. Сначала прочитайте примечания.
• Уровень 3 - Блокировка (Lockdown): для готовых, «замороженных» сайтов, содержимое которых меняется редко. Эти правила намеренно мешают обычному редактированию.

Быстрые действия

• Apply Recommended (Tier 1): отмечает все базовые правила. Затем нажмите Save All Settings.
• Freeze Site (Lockdown preset): отмечает уровень 1, все правила блокировки и правила уровня 2, безопасные для замороженного сайта: XML-RPC выключен, редактор файлов выключен, пароли приложений выключены, регистрация выключена, PHP в uploads заблокирован, ленты выключены.
• Disable All: снимает все флажки.
• Undo last hardening change: в течение 24 часов возвращает набор правил, действовавший до последнего сохранения. Используйте, если после изменения что-то сломалось.
• Run Self-Test: анонимно проверяет сайт снаружи и убеждается, что каждое включённое правило действительно работает, например что /?author=1 отвечает Forbidden. Также предупреждает об известных конфликтах с активными плагинами, такими как Jetpack, WooCommerce и Contact Form 7.

На странице также показан статус WP_DEBUG. На рабочем сайте режим отладки должен быть выключен, потому что сообщения об ошибках могут раскрывать пути к файлам.

Все 30 правил

Заголовки безопасности

Заголовки безопасности - короткие инструкции, которые сервер отправляет с каждой страницей. Они говорят браузеру, как защищать ваших посетителей. Bearmor может отправлять шесть заголовков, все включаются на странице Hardening, уровень 1.

Как проверить заголовки

1. Откройте сайт в приватном окне, нажмите F12, перейдите на вкладку Network и перезагрузите страницу.
2. Нажмите на первый запрос (вашу страницу) и посмотрите Response Headers.
3. Или выполните в терминале curl -I https://вашсайт.ru.

Полезно знать

• HSTS по умолчанию выключен. Включайте его, только если SSL-сертификат продлевается автоматически. Увидев HSTS, браузер 180 дней отказывается от обычного HTTP, даже если сертификат сломается.
• Если хостинг или Cloudflare уже отправляют заголовок, выключите копию Bearmor, чтобы избежать дублей. Cloudflare может сам отправлять HSTS в разделе SSL/TLS → Edge Certificates.
• Bearmor не отправляет Content-Security-Policy. Полезная CSP зависит от всех скриптов сайта, и её легко настроить неправильно; настраивайте её для каждого сайта вместе с разработчиком.
• Плагины полностраничного кеширования сохраняют заголовки вместе со страницей. Очистите кеш после изменения правил заголовков.

Журнал действий

Журнал действий записывает, кто, что и когда сделал. После инцидента это первое место, куда стоит смотреть, а в обычный день он показывает, что ничего неожиданного не произошло.

Вкладки

Записываемые события

• Входы и выходы
• Входы, заблокированные ловушкой
• Установка, активация, деактивация и удаление плагинов
• Смена темы
• Создание и удаление пользователей
• Отправка файлов в карантин и восстановление
• Блокировка и разблокировка IP-адресов
• Изменение настроек и применение правил защиты

Фильтруйте по действию, пользователю или важности. Записи журнала действий хранятся 90 дней; для попыток входа и блокировок файрвола хранятся последние записи, поэтому таблицы не растут бесконечно.

Настройки

На странице Bearmor Security → Settings четыре вкладки. Изменения вступают в силу после нажатия Save & Apply.

General (общие)

• Site ID и Last check-in: идентификатор сайта на bearmor.eu и время последней ежедневной отметки. Пригодится при обращении в поддержку.
• Кнопки Docs и Get Support.
• Scheduled Tasks: все задачи Bearmor по расписанию (сканирование на вредоносный код, проверка уязвимостей, проверка целостности, AI-анализ, ежедневная отметка, синхронизация доступности, очистка блокировок и журнала) с расписанием и временем следующего запуска. «Not scheduled» означает, что cron WordPress работает неправильно; см. «Решение проблем».

Scanning (сканирование)

Firewall (файрвол)

2FA

Решение проблем

Сканирование или эталонный снимок не запускаются

Bearmor использует cron WordPress, который срабатывает только при посещении сайта. На тихих сайтах или если в wp-config.php задано DISABLE_WP_CRON, задачи могут опаздывать или не выполняться. Проверьте Settings → General → Scheduled Tasks. Решение - настоящий cron на сервере, вызывающий WordPress каждые 5-15 минут, например:

*/10 * * * * wget -q -O - https://вашсайт.ru/wp-cron.php?doing_wp_cron >/dev/null 2>&1

В большинстве панелей хостинга есть раздел Cron Jobs, где это можно добавить. Пока что используйте ручные кнопки на каждой странице.

Форма перестала работать после включения «REST API for logged-in users only»

Это правило заставляет /wp-json/ возвращать ошибку анонимным посетителям. Bearmor автоматически оставляет открытыми Contact Form 7 и WooCommerce Store API (корзина и блочное оформление заказа), поэтому они продолжают работать. Другие плагины, обращающиеся к REST API для посетителей, перестают работать: другие плагины форм, виджеты поиска и фильтров, Jetpack, формы конструкторов страниц, некоторые виджеты бронирования и чатов. Откройте консоль браузера на сломанной странице: ошибка 401 на запросе /wp-json/… подтверждает причину. Выключите правило или нажмите Undo last hardening change. Вместо него используйте Block REST API user listing: оно закрывает главную утечку, не ломая формы.

Cloudflare

• Настоящие IP: Bearmor читает CF-Connecting-IP только из опубликованных диапазонов Cloudflare, поэтому блокировки и журналы показывают настоящего посетителя, а не Cloudflare. Дополнительный плагин не нужен.
• Блокировка стран: работает по настоящему IP посетителя. Страны можно блокировать и в Cloudflare (Security → WAF), тогда запросы не дойдут до сервера.
• Заголовки и HSTS: если Cloudflare уже отправляет HSTS или другие заголовки, выключите копию Bearmor, чтобы избежать дублей.
• Ограничение частоты: кеш Cloudflare отдаёт многие страницы без обращения к WordPress, поэтому Bearmor считает только некешированные запросы. Это нормально.
• Другой прокси или балансировщик: пересылаемым IP доверяют, только если соединение приходит с адреса частной сети. Если у всех посетителей один и тот же IP, спросите хостинг, как прокси передаёт IP клиента.

Защита входа заблокировала меня

• Дождитесь окончания блокировки (5 минут, 30 минут или 24 часа) или войдите из другой сети, например через мобильный интернет.
• Попросите другого администратора снять блокировку вашего IP в Activity Log → Blocked IPs.
• Заблокировал Login IP allowlist? Добавьте в wp-config.php define( 'BEARMOR_UNLOCK', true );, войдите, исправьте список разрешённых IP и удалите строку.

Коды 2FA не принимаются

• Включите на телефоне автоматическую установку даты и времени. Коды аутентификатора зависят от точных часов.
• Убедитесь, что в приложении используется запись Bearmor для нужного сайта.
• Войдите по резервному коду, затем удалите приложение в профиле и настройте заново.
• Коды по email не приходят: проверьте папку «Спам» и установите SMTP-плагин. Многие хостинги ненадёжно доставляют письма PHP.
• Полные шаги - в разделе «Двухфакторная аутентификация → Если вы потеряли доступ».

Файрвол блокирует что-то нужное

Откройте Activity Log → Firewall Blocks, найдите запрос и сработавшее правило и добавьте в белый список IP или запись «URL contains». Типичные случаи - уведомления платёжных систем и вебхуков и формы, в которые вводят фрагменты кода.

Много изменений файлов после обновления

Для обычных обновлений снимок обновляется автоматически. Если вы правили файлы по SFTP, выкатывали из Git или меняли тему, просмотрите список и пересоздайте снимок в Settings → Scanning.

Правила .htaccess не действуют

Скорее всего, сервер работает на nginx, который игнорирует .htaccess. Самотест показывает, какие правила не сработали. Попросите хостинг запретить в конфигурации nginx просмотр каталогов и выполнение PHP в uploads.

Нет AI-сводки

• Проверьте Settings → General → Last check-in. Если там Never, сайт не может связаться с bearmor.eu. Спросите хостинг, не заблокированы ли исходящие HTTPS-соединения.
• Автоматический запуск происходит раз в день в случайное время, поэтому на новом сайте это может занять до 24 часов.
• Ручных запусков - 2 в день, с интервалом не меньше 10 минут.

Нет данных о доступности

Данные о доступности синхронизируются раз в час. Если bearmor.eu не может достучаться до сайта, например из-за файрвола сервера или блокировки страны, где находится мониторинг, виджет останется пустым или покажет простой. При необходимости добавьте bearmor.eu в белый список.

Производительность

Сканирование идёт в фоне через cron, а не при загрузке страниц посетителями. Файрвол - это набор быстрых проверок шаблонов на каждый запрос. Если на очень большом сайте сканирование идёт медленно, исключите папки кеша, резервных копий и node_modules в Settings → Scanning → Scan Exclusions.

Частые вопросы

Bearmor Security действительно бесплатный?

Да. Все функции на этой странице включены: файрвол, 2FA, сканер вредоносного кода, контроль целостности, оповещения об уязвимостях, AI-сводка, мониторинг доступности и все 30 правил защиты. Ничего не нужно разблокировать и вводить ключ.

Какие данные отправляются на bearmor.eu?

Адрес сайта, email администратора для уведомлений, версия плагина, проверки доступности и для AI-сводки - короткая справка с числами, версиями, названиями плагинов и путями к файлам. Пароли, данные посетителей, клиентов и заказов не отправляются. WordPress.org получает запросы контрольных сумм ядра, WPVulnerability.net - названия плагинов и тем с версиями, ip-api.com и ipwho.is - IP-адреса для определения страны.

Можно ли использовать Bearmor вместе с другим плагином безопасности?

Да, но не запускайте одновременно два файрвола или два ограничителя попыток входа. Они делают одну работу дважды, и проблемы сложнее отследить. Если оставляете другой плагин, отключите пересекающиеся функции в одном из них.

Работает ли он с WooCommerce?

Да. 2FA действует только для администраторов, никогда для покупателей. Файрвол пропускает обновления корзины, а правило REST API оставляет Store API открытым. Перед включением прочитайте «Might break» у таких правил, как Disable comments (закрывает отзывы о товарах) или Block ALL new user creation (запрещает создание аккаунтов при заказе).

Какие приложения-аутентификаторы подходят?

Любые с поддержкой стандартных TOTP-кодов, включая Google Authenticator, Microsoft Authenticator, Authy, 1Password и Bitwarden Authenticator.

Я потерял телефон. Как войти?

Введите в поле кода один из 8-символьных резервных кодов. Если их не осталось, попросите другого администратора сбросить вашу 2FA или используйте строку BEARMOR_DISABLE_2FA, описанную в разделе «Если вы потеряли доступ».

Почему папки плагинов не сканируются на вредоносный код?

Код плагинов поддерживают их авторы, а известные дыры проверяет сканер уязвимостей. Поиск шаблонов в плагинах давал в основном ложные тревоги. Bearmor сканирует места, где злоумышленники действительно прячут код: корень WordPress, wp-content, активную тему, mu-plugins и uploads.

Замедлит ли Bearmor сайт?

Заметного влияния нет. Сканирование идёт в фоне, а файрвол добавляет к каждому запросу несколько быстрых проверок.

Что будет, если отключить плагин?

Все задачи по расписанию удаляются, файрвол и 2FA перестают работать, а bearmor.eu получает сообщение, что сайт больше не активен. Правила, записанные в wp-config.php или .htaccess, удаляются, когда вы выключаете их на странице Hardening, поэтому выключите их до деактивации, если они больше не нужны.

Где получить помощь?

Нажмите Get Support в настройках или напишите на форум поддержки WordPress.org. Если хотите, чтобы кто-то следил за сайтом за вас - обновления, мониторинг и очистка после взлома, - смотрите обслуживание WordPress от Bearmor.