O que as armadilhas fazem
O módulo Armadilhas para robôs identifica as requisições a endereços que não existem no seu site, mas que os robôs de ataque procuram. Elas são classificadas em três famílias:
- Vulnerabilidades do software imitado: por exemplo
/administrator/ou?option=com_para o Joomla!,/user/loginpara o Drupal; - Scanners de arquivos sensíveis:
/.env,/phpmyadmin, backups.sqlou.bak; - Endereços do WordPress fechados:
wp-login.php,xmlrpc.php,/?author=(com o Pro), depois de ocultados pelos outros módulos.
Esses endereços sempre respondem “página não encontrada”: as armadilhas não têm efeito para os seus visitantes. Uma página que existe de verdade nunca é contada, nem um arquivo ausente sob os seus próprios aliases, e os visitantes conectados não são contados.
Por que isso é útil
As armadilhas tornam visível uma atividade que costuma ficar perdida nos logs do servidor. Combinadas com a imitação, elas mostram que os robôs procuram falhas que não existem no seu site. Com o Pro, passam a ser uma forma de afastar automaticamente os robôs mais insistentes.
Gratuito ou Pro
Na versão gratuita Recurso gratuito
- Contagem dos robôs por família
- Estatísticas dos últimos 7 dias, 30 dias e desde o início
- Endereços mais visados
- Zerar os contadores
Com o WP Masquerade Pro Recurso Pro
- Banimento automático após N armadilhas (recomendado: 3, pois uma pessoa nunca cai em três armadilhas)
- Registro detalhado de 30 dias: data, endereço visado, rede (IP truncado), ferramenta usada
- Páginas de login falsas do Joomla! (/administrator/) e do Drupal (/user/login) que não levam a lugar nenhum
- Novos padrões de armadilhas recebidos pelo feed de assinaturas
Configurar o banimento (Pro)
| Configuração | Valores |
|---|---|
| Banir após quantas armadilhas | 0 = nunca; recomendado: 3 |
| Duração do banimento | de 1 a 720 horas |
| Endereços IP nunca banidos | um por linha; o seu endereço de administrador já é protegido automaticamente |
Um robô banido recebe “Forbidden” em todo o site. O botão Remover todos os banimentos zera tudo, e Desbloquear-me libera o seu endereço IP atual se você se bloqueou por engano.
Dados pessoais
O registro do Pro guarda por no máximo 30 dias a data, o endereço solicitado, o endereço IP truncado (IPv4 /24, IPv6 /48) e a ferramenta usada. O banimento usa um hash (HMAC) do endereço IP, nunca o endereço em texto claro. Numa página de administração falsa, o registro anota que credenciais foram digitadas, sem gravar o que foi digitado. Esses dados ficam no seu site: mencione-os na sua política de privacidade (interesse legítimo: segurança).
Limites e precauções
- As páginas já em cache continuam sendo servidas a um robô banido: o banimento se aplica às requisições que chegam ao WordPress.
- Atrás de um proxy ou de uma CDN, peça à sua hospedagem que restaure o endereço real dos visitantes; caso contrário, todos os visitantes compartilham o endereço do proxy.
- As armadilhas observam e afastam robôs; elas não substituem um firewall de rede nem uma proteção contra ataques distribuídos.
Atrás da Cloudflare, o Pro bane o IP real dos robôs, e não o de um servidor da Cloudflare compartilhado com seus visitantes. Veja o suporte à Cloudflare.
Comece de graça e mude para o Pro quando estiver pronto
A versão gratuita já oculta o WordPress, muda o endereço da página de login, bloqueia o XML-RPC e conta os robôs. O Pro blinda os logins, renomeia os endereços dos arquivos e monitora seus sites por você: vulnerabilidades conhecidas, integridade do núcleo, registro de atividades, alertas por e-mail e status das atualizações de todos os seus sites na sua área do cliente. A partir de 59 € por ano sem impostos, bem menos do que as ofertas de limpeza cujos preços levantamos. Comparar os custos.
