Solid Security (dawniej znana jako iThemes Security oraz Better WP Security) to rozbudowana wtyczka zabezpieczająca witryny WordPress przed różnorodnymi zagrożeniami internetowymi. Codziennie średnio 30 tysięcy stron internetowych pada ofiarą hakerów, a liczba cyberataków w USA wzrosła o 57% w 2022 roku. W tym kontekście odpowiednie zabezpieczenie witryny staje się kluczowe dla każdego właściciela strony.
Szybka konfiguracja dzięki szablonom bezpieczeństwa
Jedną z istotnych cech Solid Security jest możliwość zabezpieczenia witryny w mniej niż 10 minut, niezależnie od poziomu wiedzy technicznej użytkownika. Wtyczka oferuje sześć różnych szablonów bezpieczeństwa dostosowanych do konkretnych typów stron:
- Ecommerce – dla sklepów internetowych
- Network – dla serwisów społecznościowych i platform łączących społeczności
- Non-Profit – dla organizacji non-profit zbierających darowizny
- Blog – dla stron publikujących treści i artykuły
- Portfolio – dla prezentacji własnych prac i projektów
- Brochure – dla prostych stron firmowych
Każdy szablon automatycznie konfiguruje odpowiednie ustawienia zabezpieczeń dostosowane do specyfiki danego typu witryny, co eliminuje konieczność ręcznej konfiguracji dziesiątek opcji.
Zabezpieczenie logowania do WordPressa
Wtyczka oferuje szereg mechanizmów chroniących proces logowania do panelu administracyjnego. Uwierzytelnianie dwuskładnikowe (2FA) wymaga od użytkowników wprowadzenia dodatkowego kodu zabezpieczającego oprócz hasła. System współpracuje z aplikacjami mobilnymi takimi jak Authy czy Google Authenticator, a także umożliwia weryfikację przez email lub kody zapasowe.
Funkcja Password Requirements pozwala na utworzenie i egzekwowanie polityki haseł dla wszystkich użytkowników witryny. Administrator może określić minimalne wymagania dotyczące złożoności i długości haseł.
W wersji Pro dostępne są dodatkowe funkcje takie jak reCAPTCHA chroniąca przed automatycznymi botami, logowanie bez hasła (Passwordless Logins) pozwalające użytkownikom zalogować się jednym kliknięciem po wcześniejszej weryfikacji, oraz system Trusted Devices identyfikujący zaufane urządzenia i blokujący próby przejęcia sesji.
Ochrona przed atakami brute force
Solid Security implementuje wielopoziomowy system ochrony przed atakami typu brute force. Local Brute Force Protection automatycznie identyfikuje i blokuje próby łamania haseł pochodzące z pojedynczych adresów IP. System analizuje nieudane próby logowania i tymczasowo lub permanentnie blokuje podejrzane adresy.
Network Brute Force Protection wykorzystuje sieć składającą się z niemal miliona witryn korzystających z Solid Security. Gdy ktoś próbuje włamać się do stron w tej sieci, informacja o atakującym jest współdzielona i blokada stosowana jest na wszystkich chronionych witrynach.
W wersji Pro dostępna jest funkcja Magic Links, która umożliwia zalogowanie się do witryny nawet gdy nazwa użytkownika została zablokowana przez system ochrony przed atakami brute force.
Monitorowanie bezpieczeństwa witryny
Wtyczka oferuje File Change Detection – system rejestrujący zmiany dokonywane w plikach witryny, co pomaga wykryć podejrzaną aktywność mogącą świadczyć o włamania. Site Scanner przeprowadza dwa razy dziennie skanowanie w poszukiwaniu znanych podatności w plikach rdzenia WordPressa, wtyczkach i motywach. Wykorzystując API Google Safe Browsing, skaner sprawdza również status witryny na czarnej liście Google i ostrzega, jeśli zostanie wykryte złośliwe oprogramowanie.
Wersja Pro rozszerza możliwości monitorowania o User Logging – rejestrowanie aktywności użytkowników, w tym logowania, rejestracji nowych kont, instalowania wtyczek, zmiany motywów czy edycji postów i stron. Version Management w wersji Pro umożliwia automatyczną aktualizację WordPressa, wtyczek i motywów, a także skanowanie w poszukiwaniu przestarzałego oprogramowania.
Narzędzia zabezpieczające
Solid Security dostarcza zestaw narzędzi pomocniczych zwiększających bezpieczeństwo witryny. Enforce SSL wymusza szyfrowane połączenia HTTPS dla wszystkich odwiedzających. Database Backups tworzy kopie zapasowe bazy danych WordPress, choć nie są to pełne kopie zapasowe całej witryny.
Zaawansowane narzędzia pozwalają między innymi na zmianę ID pierwszego użytkownika WordPress (często będącego administratorem), zmianę prefiksu tabel w bazie danych, sprawdzenie uprawnień do plików i katalogów, czy zmianę soli WordPress używanych do zabezpieczenia ciasteczek i tokenów bezpieczeństwa. Funkcja Hide Login URL umożliwia zmianę adresu strony logowania, co utrudnia botom znalezienie i atakowanie formularza logowania.
Integracja z Patchstack (wersja Pro)
Wersja Pro Solid Security zawiera integrację z Patchstack – systemem automatycznego łatania podatności. Funkcja ta aplikuje poprawki bezpieczeństwa jeszcze zanim deweloperzy wtyczek czy motywów zdążą wydać oficjalne aktualizacje, zapewniając proaktywną ochronę przed znanymi lukami bezpieczeństwa.
Panel kontrolny w czasie rzeczywistym
Wersja Pro oferuje dynamiczny panel kontrolny prezentujący w czasie rzeczywistym wszystkie zdarzenia związane z bezpieczeństwem witryny. Administrator może monitorować ataki brute force, zbanowanych użytkowników, aktywne blokady, wyniki skanowania oraz statystyki bezpieczeństwa użytkowników w jednym miejscu.
Wymagania techniczne
Solid Security wymaga serwera Apache lub LiteSpeed z modułem mod_rewrite, albo serwera NGINX. Wtyczka jest regularnie testowana tylko z najnowszą stabilną wersją WordPressa, dlatego zalecane jest utrzymywanie systemu w aktualnej wersji. Przed instalacją wtyczki na istniejącej witrynie, producent zdecydowanie zaleca wykonanie pełnej kopii zapasowej, ponieważ wtyczka wprowadza znaczące zmiany w bazie danych i plikach systemowych.
TL;DR
Solid Security to rozbudowana wtyczka zabezpieczająca WordPress, oferująca ochronę przed atakami brute force poprzez sieć niemal miliona witryn, uwierzytelnianie dwuskładnikowe, monitorowanie zmian w plikach, skanowanie w poszukiwaniu podatności oraz szereg narzędzi zwiększających bezpieczeństwo. Dzięki szablonom bezpieczeństwa, konfiguracja podstawowej ochrony zajmuje mniej niż 10 minut, a wersja Pro dodaje zaawansowane funkcje takie jak automatyczne łatanie podatności przez Patchstack czy logowanie bez hasła.