Autorisez une fonctionnalité de site Web, un plug-in ou un service connecté de confiance sans désactiver la protection pour tous les autres.
Une exception indique à BitFire qu'un type spécifique d'activité approuvée est attendu. D'autres protections par pare-feu, robots et RASP restent disponibles pour arrêter les requêtes malveillantes.
Lorsque BitFire est installé pour la première fois, il apprend comment les personnes vérifiées utilisent normalement votre thème, vos plugins, vos formulaires et vos fonctionnalités connectées.
Les requêtes normales provenant de vrais navigateurs qui réussissent la vérification JavaScript de BitFire peuvent être apprises.
On ne fait pas confiance à un robot simplement parce qu’il visite pendant la période d’apprentissage.
Le mode d'apprentissage ne permet pas les attaques évidentes, les tentatives d'exploitation ou les comportements dangereux.
Utilisez les détails de la demande autant que possible. BitFire peut examiner le bloc et choisir une exception appropriée au niveau de l'URL ou des paramètres.
Effectuez l’action défaillante dans le nouveau navigateur. Lorsque la page de blocage apparaît, copiez son ID de bloc. Cela commence par U: et on dirait U:xxxxx.
Ouvrez le tableau de bord BitFire dans votre navigateur administrateur. Collez le complet U:xxxxx ID dans la zone de recherche et appuyez sur Entrez.
Le tableau de bord ajoute automatiquement un filtre pour votre propre adresse IP. Si la demande n'apparaît pas, supprimez ce filtre IP et recherchez à nouveau l'ID de bloc.
Confirmez que l'URL, l'heure et l'action correspondent au visiteur, au plugin ou au service que vous testiez.
BitFire crée l'exception appropriée la plus étroite pour la règle qui a provoqué le blocage.
Revenez au nouveau navigateur, répétez l'action d'origine et confirmez qu'il fonctionne désormais.
Autorise la requête attendue tout en gardant la règle active ailleurs.
Fait confiance à plus de trafic que ce que la fonctionnalité peut nécessiter et augmente le risque.
La page Réglage des règles affiche les règles créées pendant l'apprentissage et les règles créées après qu'un administrateur a autorisé une demande bloquée.
BitFire a observé une activité humaine vérifiée au cours des trois premiers jours et a enregistré le comportement requis.
Un administrateur a examiné un blocage et sélectionné Autoriser dans ses détails développés.
Vérifiez les exceptions enregistrées après la suppression d'un plugin, la fin d'une intégration ou le remplacement d'un service. Conservez une exception uniquement tant que le site Web a encore besoin de la fonctionnalité qui l'a créée. Si vous ne reconnaissez pas une règle, ne l’élargissez pas.
Utilisez le Adresse IP ou agent utilisateur autorisé champ pour un service automatisé de confiance qui ne peut pas effectuer la vérification du navigateur.
Utilisez une adresse stable confirmée par le fournisseur de services. Il doit identifier le service auquel vous faites confiance, et pas seulement sa société d'hébergement cloud.
Ne pas utiliser lorsque l'adresse :Un user-agent n'est qu'un nom envoyé par un logiciel. Un attaquant peut copier le nom d’un navigateur, d’un robot d’exploration ou d’un service de surveillance familier.
À utiliser uniquement lorsque :Confirmez que le service est requis.
2Obtenez son adresse IP confirmée ou son agent utilisateur exact.
3Entrez-le dans Adresse IP ou agent utilisateur autorisé.
4Sélectionnez Ajouter une règle d'autorisation, puis testez le service.
Un blocage IP manuel est utile pour une source confirmée et persistante avec une adresse stable. BitFire gère automatiquement le trafic le plus hostile.
Utilisez l'adresse IP indiquée dans les détails de la demande BitFire correspondante.
Collez-le dans le Adresse IP à bloquer champ.
Vérifiez ensuite que les visiteurs et services normaux ne sont pas affectés.
Dans BitFire, anonyme signifie un navigateur qui n'a pas terminé la vérification ou un bot qui reste restreint.
Un navigateur normal peut toujours être vérifié même si la personne n’a pas de compte WordPress.
La demande n'a pas réussi la vérification du navigateur ou appartient à un robot restreint.
Un vrai visiteur passe normalement ces restrictions via la vérification JavaScript en arrière-plan de BitFire. Un bot de confiance peut être déplacé vers Autoriser dans Contrôle des robots. Les exceptions anonymes concernent les ressources publiques individuelles qui doivent fonctionner sans aucune de ces options.
Copiez le nom ou le chemin exact d'une demande bloquée légitime et autorisez uniquement la ressource requise par la fonctionnalité.
Un paramètre GET ajoute des informations à une adresse Web. Dans example.com/sale?campaign=spring, campaign est le nom du paramètre.
Un lien public, une recherche, un service publicitaire ou une campagne par e-mail nécessite un paramètre connu. BitFire inclut déjà des paramètres de suivi courants de Google, Facebook, Instagram et autres.
Une requête PHP directe ouvre un .php fichier au lieu d’une page WordPress normale. Les attaquants sondent fréquemment les fichiers de plugins et de thèmes de cette façon.
Un logiciel de confiance documente spécifiquement qu'un fichier PHP doit être accessible au public. Confirmez que le fichier appartient à un plugin, un thème ou une application installé.
Les formulaires, les notifications de paiement, les webhooks et les intégrations utilisent les requêtes POST pour envoyer des informations à WordPress.
Un service de confiance qui ne peut pas effectuer la vérification du navigateur doit soumettre les informations à une URL spécifique.
Les plugins utilisent AJAX pour mettre à jour une partie d'une page sans la recharger. Ces demandes transitent souvent par admin-ajax.php avec un nom d'action.
Une fonctionnalité de plugin public ou un service de confiance nécessite une action exacte sans vérification du navigateur.
L'API WordPress REST permet aux plugins et aux services externes d'échanger des informations. Ses adresses contiennent généralement /wp-json/.
Une intégration fiable ou une fonctionnalité publique nécessite un point de terminaison d'API exact sans vérification du navigateur.
| Situation | Le meilleur endroit pour commencer |
|---|---|
| Un vrai visiteur a déclenché une règle de pare-feu | Ouvrez la demande et sélectionnez Autoriser |
| Un bot reconnu a besoin de plus d'accès | Contrôle des robots |
Une valeur connue après ? est bloqué | Paramètre GET anonyme |
| Un plugin nécessite un fichier PHP public | Script PHP anonyme |
| Un formulaire, un webhook ou un service est soumis à une seule URL | URL de publication anonyme |
| Une fonctionnalité de plugin public appelle WordPress AJAX | Action AJAX anonyme |
| Une intégration utilise une seule route API | Point de terminaison de l'API REST anonyme |
| Vous ne reconnaissez pas la demande | Laissez-le bloqué |
Les tests confirment que l’exception a résolu le bon problème et vous aide à éviter de respecter des règles dont le site Web n’a pas besoin.
Testez uniquement la fonctionnalité qui a échoué à l'origine.
Utilisez le mode navigation privée lorsque la fonctionnalité est destinée aux nouveaux visiteurs.
Confirmez que la connexion, les formulaires, le paiement ou d'autres actions connectées fonctionnent toujours.
Revenez au tableau de bord et vérifiez la prochaine demande du service.
Reproduisez le problème une fois dans une fenêtre privée. Trouvez le bloc correspondant. Si le formulaire utilise une action AJAX publique ou une URL POST, autorisez uniquement cette action ou cette URL au lieu d'un agent utilisateur large.
Comparez les requêtes du moniteur avec ses adresses IP documentées ou son agent utilisateur. Préférez Bot Control ou une IP stable vérifiée. Utilisez une règle user-agent uniquement lorsque le service ne peut pas être identifié de manière plus fiable.
Identifiez le nom après le point d'interrogation et confirmez qu'il appartient à votre service de messagerie ou de marketing. Ajoutez uniquement ce nom aux paramètres GET anonymes, et non l'URL complète ou la valeur modifiée de la campagne.
Déterminez s'il utilise une URL POST, une action AJAX ou un point de terminaison d'API REST. Confirmez la destination exacte dans la documentation du plugin et la demande bloquée, puis autorisez uniquement cette destination.
Laissez-le bloqué. Les requêtes directes vers des fichiers PHP inconnus sont des analyses de vulnérabilité courantes. Créez une exception uniquement lorsqu'un logiciel approuvé documente qu'un accès public est requis.
Des réponses rapides pour gérer en toute sécurité les exceptions sur un site WordPress.
Non. La plupart des blocages sont indésirables et ne nécessitent aucune action. Ajoutez une exception uniquement pour réparer une fonctionnalité légitime que vous reconnaissez et utilisez.
BitFire bloque toujours les activités clairement malveillantes. Il apprend également uniquement des navigateurs qui réussissent la vérification JavaScript, de sorte que les services automatisés peuvent nécessiter Bot Control ou une configuration séparée de réglage des règles.
Non. Il autorise la ressource répertoriée via la restriction du bot correspondant. Les autorisations WordPress et les autres contrôles de sécurité de BitFire s'appliquent toujours.
Elle est moins fiable qu’une adresse IP vérifiée car n’importe qui peut copier le nom d’un agent utilisateur. Utilisez-le uniquement pour un service de confiance requis qui ne peut pas être identifié de manière plus sécurisée.
Non. Identifiez et autorisez le service ou la ressource exacte dont il a besoin. Une exception étroite préserve la protection du reste du site Web.
Envoyez l'heure de la demande, l'URL, la fonctionnalité concernée et les détails de la demande bloquée. Notre équipe peut vous aider à identifier l’exception de sécurité la plus étroite.
