/Руководство

Файрвол, белый список и правила Cloudflare

Блокируйте адреса, диапазоны и страны, держите свои адреса в списке «никогда не блокировать» и включайте готовые защиты одной галочкой: закрыть админку, xmlrpc.php и перебор имён пользователей, запретить PHP в uploads, отсечь SEO-сканеры, скрипты или целые страны. Если подключён Cloudflare, панель работает через него, иначе — через собственный файрвол плагина WPManager.

Видеоурок · 2:15
На этой странице
  1. Что понадобится
  2. Cloudflare или файрвол WordPress?
  3. Блокировка и разрешённые адреса
  4. Белый список в двух местах
  5. Готовые правила Cloudflare
  6. Как безопасно закрыть админку
  7. Блокировка стран
  8. О чём помнить
  9. Как готовые правила записываются в Cloudflare
  10. Другие правила зоны
  11. Настройки
  12. Сколько это стоит
  13. Если что-то пошло не так
  14. Вопросы и ответы
  15. См. также

Где найти: Дашборд → название сайта → вкладка Безопасность → Файрвол. С подключённым Cloudflare те же правила есть и на вкладке Cloudflare → Безопасность.

Что понадобится

  • Сайт подключён через плагин WPManager («Подключено» на вкладке сайта Настройки → Подключение — см. Установка и подключение плагина WPManager).
  • Для блокировки на границе сети, стран, уровня безопасности и готовых правил — подключённый Cloudflare с токеном, у которого есть Firewall Services: Edit, Zone WAF: Edit и Bot Management: Edit. См. Подключение Cloudflare.

Cloudflare или файрвол WordPress?

Откройте «Безопасность» → «Файрвол» (прямая ссылка: /Home/Site/<id сайта>?tab=Security&sub=firewall). Верхняя карточка называет слой, который защищает сайт:

  • Cloudflare — запросы фильтруются на границе сети, до вашего сервера. Атаки не съедают время PHP, доступны страны и готовые правила.
  • «Файрвол WordPress» — плагин WPManager блокирует запросы внутри WordPress. Работает без Cloudflare, но PHP для каждого заблокированного запроса всё равно запускается, и страны он блокировать не умеет.
  • «Нет слоя защиты» — не работает ни то, ни другое.

Плагин отказывается блокировать адрес, с которого приходят запросы самой панели, — панель никогда не закроет себе доступ к сайту.

Блокировка и разрешённые адреса

  1. Настройте главные переключатели

    С Cloudflare: «Уровень безопасности» — «Почти выключено», «Низкий», «Средний», «Высокий» или «Под атакой» — и переключатель «Режим борьбы с ботами». «Под атакой» спрашивает подтверждение: проверочную страницу тогда получат все посетители, включая поисковики. С файрволом WordPress: переключатель «Файрвол включён» / «Файрвол выключен» и счётчики «заблокировано сегодня», «заблокировано всего» и «последний заблокированный».

    Файрвол WordPress: включён, заблокировано сегодня и всего, три заблокированных адреса, два разрешённых, подключение Cloudflare
    Рис. 1 Файрвол плагина: заблокированные и разрешённые адреса.

  2. Заблокируйте адрес, диапазон или страну

    В карточке «Заблокировано» введите IP (203.0.113.7), диапазон (203.0.113.0/24) или — только с Cloudflare — двухбуквенный код страны (DE). При желании укажите причину. Для файрвола WordPress выберите срок: 24 часа, 7 дней, 30 дней или «Навсегда». Нажмите «Заблокировать». Крестик в строке снимает блокировку.

  3. Защитите свои адреса

    В «Никогда не блокировать» введите IP или диапазон (с Cloudflare — ещё и заметку) и нажмите «Добавить». Офис, ваши серверы, парсеры и мониторинг тогда проходят при любых других правилах. Крестик («Убрать из списка») удаляет адрес.

  4. Блокируйте прямо из событий Cloudflare

    С Cloudflare в блоке «Недавние события на границе сети» — последние 25 запросов, которые Cloudflare остановил или отправил на проверку: действие, адрес, страна, путь и время. Кнопка в строке блокирует адрес навсегда.

Белый список в двух местах

С Cloudflare карточка «Никогда не блокировать» на вкладке «Безопасность» и карточка «Белый список» на вкладке «Cloudflare» — один и тот же список: правила доступа Cloudflare в режиме allow. В карточке «Белый список» есть ещё «Добавить мой адрес», а адрес самой панели пропускается всегда — панель ходит на сайт через Cloudflare.

Готовые правила Cloudflare

Ниже карточка «Правила Cloudflare» показывает, сколько пользовательских правил зоны занято (например, «3 / 5 правил зоны»), и четыре группы переключателей:

ГруппаЗащиты
ПропускатьХорошие боты · Мониторинг и проверка скорости · Парсеры через API темы
Защита WordPressЗакрыть админку · Закрыть xmlrpc.php · Скрыть имена пользователей · Служебные файлы · Без PHP в uploads
БотыИИ-боты · SEO-сканеры · Скрипты и пустой User-Agent · Древний HTTP/1.0
СтраныПосетителей из перечисленных стран блокировать или проверять

Защита включается своим переключателем. Где у правила есть выбор, укажите «Проверка» (проверочная страница Cloudflare) или «Блокировка» — до или после включения. На каждое изменение панель отвечает «Правила Cloudflare обновлены».

Карточка правил Cloudflare: занято 3 из 5 правил зоны, группы «Пропускать», «Защита WordPress», «Боты» и «Страны» с переключателями
Рис. 2 Готовые защиты Cloudflare — по переключателю на каждую.

Как безопасно закрыть админку

«Закрыть админку» в режиме «Проверка» пропускает к wp-admin и wp-login.php всех через проверку Cloudflare; в режиме «Блокировка» внутрь попадает только белый список. Если белый список пуст, панель остановит вас окном «Закрыть админку» с кнопкой «Добавить и закрыть»: сначала в список попадёт ваш текущий адрес. admin-ajax.php и admin-post.php остаются открытыми — ими пользуются страницы сайта.

Окно «Закрыть админку»: белый список пуст, сначала туда добавляется ваш адрес — «Добавить и закрыть»
Рис. 3 Прежде чем закрыть админку, панель внесёт ваш адрес в белый список.

Блокировка стран

В «Страны» введите двухбуквенные коды через запятую (CN, IN, BR), выберите «Блокировка» или «Проверка» и включите правило. После правки списка нажмите «Сохранить страны».

О чём помнить

  • «Закрыть xmlrpc.php» — он нужен Jetpack и некоторым мобильным приложениям.
  • «Скрыть имена пользователей» — список пользователей читает и блочный редактор: внесите свой адрес в белый список.
  • «SEO-сканеры» — ваши собственные SEO-сервисы тоже перестанут видеть сайт.
  • «Скрипты и пустой User-Agent», «Страны» — сначала внесите в белый список адреса своих парсеров, сервисов и администраторов.
  • «Мониторинг и проверка скорости» узнаются по User-Agent, а подделать его может кто угодно.
  • «Парсеры через API темы» пропускает публикацию через Content API темы с любого адреса. Парсерам, которые постят через /wp-json/wp/v2/, белый список всё равно нужен.

Как готовые правила записываются в Cloudflare

Всё отмеченное панель собирает максимум в три пользовательских правила зоны — пропускающее (ваш белый список, адрес самой панели и проверенные боты), блокирующее и проверяющее. Названия у них понятные и на вашем языке, например «WPManager · Блокировать: xmlrpc.php, …». На бесплатном тарифе Cloudflare всего 5 пользовательских правил, так что место под ваши собственные остаётся. «ИИ-боты» — это встроенная настройка Cloudflare «Block AI bots», правила она не занимает.

Правило панели, поставленное на паузу в самом Cloudflare, так и остаётся на паузе: карточка предупредит, что правило панели выключено в Cloudflare, и предложит «Включить».

Другие правила зоны

«Другие правила зоны» — правила, созданные в Cloudflare вручную или другими инструментами. Сама панель их не меняет; здесь их можно поставить на паузу переключателем или удалить.

Настройки

НастройкаЧто делает
Уровень безопасности (Cloudflare)Насколько подозрительным должен выглядеть посетитель, чтобы получить проверку. «Под атакой» — проверку получают все.
Режим борьбы с ботами (Cloudflare)Встроенная защита Cloudflare от известных ботов; нужно право Bot Management: Edit в токене.
Файрвол включён / выключен (WordPress)Выключает файрвол плагина: пока он выключен, ничего не блокируется.
Срок блокировки (WordPress)24 часа, 7 дней, 30 дней или «Навсегда».
Режим правила«Проверка» (страница проверки Cloudflare) или «Блокировка», если правило допускает оба.

Сколько это стоит

В панели бесплатно. Готовые правила укладываются в бесплатный тариф Cloudflare: они занимают максимум 3 из 5 пользовательских правил.

Если что-то пошло не так

Что вы видитеЧто делать
«Country blocking needs Cloudflare…» (для блокировки стран нужен Cloudflare)Подключите Cloudflare или блокируйте диапазоны IP.
«Введите IP-адрес или диапазон, например 1.2.3.0/24»Список «никогда не блокировать» принимает только адреса и диапазоны, но не страны.
«Не удалось прочитать правила зоны — токену нужно право Zone WAF: Edit»Добавьте токену право Zone WAF: Edit в Cloudflare (API Tokens → … → Edit). Переподключать не нужно.
«Правило «…» длиной N символов — Cloudflare принимает до 4000…»В правиле слишком много адресов или стран: сократите белый список или список стран.
У заблокированного диапазона пометка «не действует»Диапазон с маской или через дефис, добавленный старой версией плагина, хранится, но не применяется. Заблокируйте тот же диапазон ещё раз в виде CIDR, например 203.0.113.0/24.
После включения правил панель не достучалась до плагина сайтаОткройте «Настройки» → «Подключение»: если там «Заблокировано Cloudflare», нажмите кнопку, которая разрешает IP панели в Cloudflare.

Вопросы и ответы

Правила не отрежут поисковики?

Включите «Пропускать» → «Хорошие боты»: проверенные поисковики и служебные боты пройдут мимо остальных правил. Поддельный «Googlebot» — нет.

Мои собственные правила в Cloudflare сохранятся?

Да. Панель пишет только свои правила и не трогает ваши. Они видны в блоке «Другие правила зоны», где их можно поставить на паузу или удалить.

Можно пользоваться файрволом WordPress и Cloudflare одновременно?

Когда Cloudflare подключён, панель управляет блокировками через него — он останавливает запросы ещё до вашего сервера. Без Cloudflare работает файрвол плагина.

Обновлено