LW Firewall

Az LW Firewallban sok beállítás van (végpontvédelem, botszűrés, geo-blokkolás, riasztások), ezért egy-egy kapcsolót nehéz lehetett megtalálni. Az oldalsáv tetején mostantól egy gyorskereső áll: kattints rá, vagy nyomd meg a Cmd+K (Windowson Ctrl+K) billentyűt, és írd be, amit keresel. Ékezet nélkül is talál. A találatra kattintva a megfelelő fül nyílik meg, a beállítás elé görget és röviden kiemeli.

Üres keresésnél a legutóbb megnyitott beállításokat látod elsőként, így a gyakran állított részekhez egy kattintással visszajutsz.

Egy kiszivárgott vagy kitalált jelszó önmagában eddig elég volt a belépéshez. Ha bekapcsolod a kétlépcsős belépést, a jelszó után a felhasználónak egy második lépéssel is igazolnia kell magát: a telefonos hitelesítő app hatjegyű kódjával vagy passkey-jel (ujjlenyomat, arcfelismerés, biztonsági kulcs). Elveszett telefon esetére egyszer használható helyreállító kódokat kap.

A funkció alapból ki van kapcsolva. Bekapcsolás után mindenki a saját profilján állítja be magának; szerepkörönként kötelezővé is teheted, ilyenkor a felhasználók türelmi időt kapnak, utána belépéskor a beállító oldalra kerülnek, így senki nem zárja ki magát. Ha mégis baj van, egyetlen sor a wp-config.php-ban azonnal kikapcsolja.

Egy multisite hálózaton több beállítás nem egy oldalra, hanem az összesre hat: a tiltólista, a felhasználói zárolások, a tűzfal-motor és a földrajzi adatok. Ezeket mostantól csak a hálózati adminisztrátor módosíthatja, az egyes oldalak adminjai továbbra is a saját oldaluk beállításait és importjait kezelik.

A .htaccess-alapú országtiltás a fő oldal beállításait követi. Egyoldalas telepítésen semmi nem változott, neked nincs teendőd.

A tűzfal látogatói sütije nélkül a termékszűrők és a kosárba linkek ellenőrzése nem működik. Az LW Cookie mostantól tudja, hogy ezek feltétlenül szükséges sütik, így a sütiszabályzatban is helyesen jelennek meg, és a hozzájárulás előtt sem tiltja le őket.

Ehhez legalább az LW Cookie 1.9.7-es verziója kell; ha az LW Cookie-t használod, frissítsd azt is.

Az LW Site Manageren át egy elgépelt címtartomány eddig hatástalan szabályként bekerülhetett a feketelistára. Mostantól az ilyen kérés hibaüzenettel visszautasítódik.

Neked nincs teendőd.

Ha az egyszer használatos regisztrációs ellenőrzés be volt kapcsolva, a LearnDash 5.x regisztrációs űrlapján minden regisztrációt spamnek minősített a tűzfal, és három próbálkozás után ki is tiltotta a látogatót. Ezt javítottuk.

Ha egy másik bővítmény utasítja el a regisztrációt (például nincs bepipálva a felhasználási feltétel, vagy foglalt a felhasználónév), a látogató ugyanazt az oldalt újra elküldheti. Kitiltáshoz mostantól csak egyértelmű botjel vezet. Neked nincs teendőd.

A dokumentációs link mostantól közvetlenül az LW Firewall leírására mutat, és ha magyar nyelvű az adminod, a magyar változatot nyitja meg.

Neked nincs teendőd.

Minden oldal beállít egy látogatói sütit, amely teljes oldalas gyorsítótár mellett is működik. Ha egy szűrőkérés süti nélkül érkezik, a látogató egy rövid ellenőrző oldalt kap, amely beállítja a sütit és magától újratölti ugyanazt az oldalt. Ha a böngésző nem fogadja el a sütit, egy linket kap a szűrés nélküli oldalhoz. A funkció új és meglévő oldalakon is alapból be van kapcsolva.

A tűzfal mostantól magától felismeri a WooCommerce szűrőkéréseit, ezért megszűnt a Szűrőparaméterek beállítás. Ha abban saját bejegyzéseid voltak, amelyeket a beépített felismerés nem fed le, egy egyszer megjelenő admin-értesítés felsorolja őket; ezeket nézd át.

Ugyanez az ellenőrzés bekapcsolható a „kosárba” linkekre is (új telepítéseken alapból be, meglévő oldalakon ki), és kérhetsz kivételt a Google robotjának is.

A spamvédelem minden hozzászólás-űrlapra kiterjed: a klasszikus témák sablonjaira, a blokktémák Hozzászólások blokkjára és mindkét WooCommerce-értékelés-űrlapra. A gyorsítótárazott oldalakon is működik.

A moderálási joggal rendelkező felhasználókat, az engedélyezett IP-címeket és az adminból, REST-en vagy XML-RPC-n át érkező hozzászólásokat a tűzfal nem ellenőrzi.

Új telepítéseken a védelem alapból be van kapcsolva. Meglévő oldalon kapcsold be a Spam fülön.

Az áttekintő oldal táblázatban mutatja az LW bővítményeidet állapottal és verzióval, a telepítetteket pedig egy kattintással aktiválhatod.

Neked nincs teendőd.

Az új felülethez szükséges WordPress-összetevő csak a 6.6-os verziótól érhető el, ezért régebbi WordPressen az oldal hibaüzenet nélkül üres maradt. A bővítmény ezt most a minimum WordPress-verzióként is jelzi.

Ha az oldalad 6.6-nál régebbi WordPresst futtat, frissítsd a WordPresst.

Az új felület a WordPress saját komponenseiből épül: oldalsó navigáció, felső sáv Mentés és Elvetés gombbal, és telefonon is használható. Csak a módosított beállítások mentődnek, a hibás értékeket pedig a mező mellett jelezzük. Minden műveletnek (feloldás, kézi tiltás, napló törlése, tesztlevél, import, export) saját gombja van, és egyik sem menti a félkész módosításaidat.

Az új felhasználónkénti zárolás akkor is véd, ha a próbálkozások sok különböző címről jönnek. Zárolás közben a helyes jelszó sem enged be. Ha a jelszópróbálgatás elleni védelem eddig is be volt kapcsolva, ez a frissítés után magától működik. Egy zárolt fiókot a Tiltások listán vagy a „wp lw-firewall user-lock remove” paranccsal oldhatsz fel.

A témák és bővítmények értesítései (például egy téma licenc- vagy ajánlott-bővítmény-üzenete) megjelenhettek a tűzfal beállítási oldalán. Ezeket mostantól minden LW Plugins oldalról távol tartjuk.

Közben a tűzfal saját üzenetei, például a Status és a Riasztások fül figyelmeztetései és az importálás eredménye, rejtve maradtak. Ezek újra megjelennek. Neked nincs teendőd.

Ez a kiadás biztonsági javításokat tartalmaz, ezért javasoljuk a mielőbbi frissítést. A részleteket a felhasználók védelmében nem írjuk le.

Az IPv6-címeket a tűzfal mostantól címblokkonként számolja és tiltja: a tiltáslistán a teljes blokk látszik, és bármelyik címének feloldása feloldja a tiltást. A korábban létrehozott tiltások lejáratukig érvényesek, és ugyanúgy feloldhatók.

Ha az oldaladon minden látogató egyetlen proxy- vagy belső címről látszott érkezni, néhány sikertelen belépés az egész oldalt kizárhatta, az adminisztrátorokat is. Ez már nem fordulhat elő. Neked nincs teendőd.

A ChatGPT-User, a ClaudeBot, a PerplexityBot és a Meta-ExternalFetcher tiltása több látogatót vett el, mint amennyi terhelést megspórolt: ezek vagy egy ember kérdésére olvasnak el egy oldalt, vagy linkkel hivatkoznak rá. A tisztán tanítóadatot gyűjtő botok és a SEO-/tartalomgyűjtő botok tiltása nem változott.

Ha soha nem szerkesztetted a botlistát, a frissítés egyszer, automatikusan átírja az új alapértelmezésre. Ha akár egy elemet is módosítottál benne, a listád pontosan úgy marad, ahogy volt. Neked nincs teendőd.

Egy tárhely kártevőszkennere tévesen megjelölt egy, a csomagban maradt tesztfájlt egy ügyféloldalon. Mostantól a telepítőcsomagba csak az kerül, ami a működéshez kell.

Neked nincs teendőd.

Ez a kiadás a külső biztonsági átvizsgálás többi pontját zárja le, és biztonsági javításokat tartalmaz, ezért javasoljuk a mielőbbi frissítést. A részleteket a felhasználók védelmében nem írjuk le.

Ha az oldalad egy fordított proxy mögött fut (például egy nginx szerver áll az Apache előtt), add meg a proxy címét az IP-szabályok → Fordított proxy beállításban, különben a tűzfal nem látja a valódi látogatói címeket. A Status fül mostantól figyelmeztet, ha ezt észleli.

Az országtiltás Cloudflare nélkül is lényegesen kevesebb időt vesz igénybe kérésenként. A kiadás egy biztonsági fejlécet is eltávolít, amelyet a modern böngészők már nem támogatnak.

Ez a kiadás egy külső biztonsági átvizsgálás nyomán készült, és biztonsági javításokat tartalmaz, ezért javasoljuk a mielőbbi frissítést. A részleteket a felhasználók védelmében nem írjuk le.

Az országtiltásnál megszűnt a „tiltott látogató átirányítása a kezdőlapra” lehetőség: ez valójában sosem működött, a tiltott látogató mindig hibaoldalt kapott. Neked nincs teendőd.

Egy nagyobb bottámadás után a tiltáslista több száz sorra nőhet, és egy oldalon kezelhetetlen lett. Mostantól a cím egy részére is kereshetsz, okonként szűrhetsz, és egyszerre több címet is feloldhatsz.

A keresés és a lapozás oldal-újratöltés nélkül működik, így a többi fülön lévő mentetlen beállításaid nem vesznek el. Neked nincs teendőd.

Eddig egy kitiltott címet csak az idő lejártával, engedélyezőlistára vétellel vagy a teljes tároló ürítésével lehetett feloldani. Ha egy ügyfeled kizárta magát, nem volt egyszerű megoldás.

Az IP-szabályok fülön új táblázat mutatja a tiltásokat: a címet, az okot, a kezdetet és a lejáratot, soronként feloldás gombbal. Feloldáskor a tiltást kiváltó számlálók is nullázódnak, így a cím nem kerül azonnal újra tiltásra. Neked nincs teendőd.

A botok a jelszó-visszaállító űrlapot is elárasztják: egy-egy felhasználó postafiókját teleszórják levelekkel, vagy kimerítik a tárhely levélküldési keretét. Az új védelem IP-címenként, fiókonként és az egész oldalra óránként is korlátozza a kéréseket, és a botok közvetlen beküldéseit is kiszűri.

A védelem alapból be van kapcsolva; a beállításait a Spam fülön találod. Ha az adminisztrátorok a Felhasználók oldalon küldenek visszaállító linket, vagy WP-CLI-ből dolgozol, a korlátok rád nem vonatkoznak. Neked nincs teendőd.

Egy feltört oldal gyakori jele egy új, ismeretlen adminisztrátor, vagy egy meglévő admin megváltozott e-mail-címe. Az új riasztás ezeket azonnal jelzi, és óránkénti ellenőrzéssel azokat a változásokat is megtalálja, amelyek nem a WordPress szokásos útjain történtek.

A riasztás alapból ki van kapcsolva. Kapcsold be az új Riasztások fülön, add meg a címzetteket (üresen hagyva az oldal admin e-mail-címére megy), és egy tesztlevéllel ellenőrizd, hogy megérkezik-e.

A bővítmény a WordPress 7.1-es verziójával is ellenőrzötten működik.

Neked nincs teendőd.

Ez a kiadás biztonsági javításokat tartalmaz, ezért javasoljuk a mielőbbi frissítést. A részleteket a felhasználók védelmében nem írjuk le.

A bővítmény mostantól legalább PHP 8.2-t igényel. Frissítés előtt nézd meg a tárhelyed PHP-verzióját, és ha régebbi, állítsd át a tárhely kezelőfelületén.

A védelem továbbra is csak akkor fut, ha az oldalon engedélyezve van a regisztráció.

Neked nincs teendőd.

Ha az oldaladon bárki regisztrálhat, a botok gyakran tömegesen hoznak létre hamis fiókokat. Az új védelem felismeri az automatikus beküldéseket, és elutasítja őket; aki többször próbálkozik, azt a tűzfal kitiltja.

A funkció alapból ki van kapcsolva, és csak akkor működik, ha a WordPress beállításaiban engedélyezve van a regisztráció. Bekapcsolni a Spam fülön tudod. Elkészült a bővítmény teljes magyar fordítása is.

A jelszópróbálgató botok ugyanarról a címről sokszor próbálkoznak. Az új védelem számolja a sikertelen belépéseket, és a beállított határ elérésekor a címet a megadott ideig kitiltja.

A funkció alapból ki van kapcsolva. Bekapcsolhatod a Védelem fülön, ahol a sikertelen kísérletek számát, a figyelési időablakot és a tiltás hosszát is beállíthatod. Az engedélyezett IP-címeket a tűzfal soha nem számolja.

Az 1.2.6-os kiadásban a háttér-komponens verziója nem frissült a bővítménnyel együtt, ezért a tűzfal biztonsági okból leállította a védelmet. Ezt mi rontottuk el.

Ez a verzió a háttér-komponenst is frissíti, és a védelem a frissítés után magától újra működik. Hogy ez ne fordulhasson elő újra, a kiadási folyamatunk mostantól megállítja az olyan verziót, ahol a kettő eltér. Neked nincs teendőd, csak frissíts.

A tűzfalnapló lekérése eddig hibát adott, ha az AI-ügynök nem adott meg paramétert. Ezt javítottuk.

Neked nincs teendőd.

Ha egy listás beállítás egyetlen szövegként került az adatbázisba (például kézi módosítás után), a tűzfal eddig csak az első elemét vette figyelembe. Mostantól az összes elemet felismeri.

WP-CLI-ből a beállítások a helyes típussal menthetők és kérdezhetők le, a listákhoz pedig elemenként adhatsz hozzá vagy vehetsz el. Az admin súgószövegei is pontosabbak lettek. Neked nincs teendőd.

Bővítményfrissítéskor rövid ideig előfordulhatott, hogy a régi háttér-komponens az új bővítményfájlokkal találkozott, ami hibát okozhatott. Mostantól a háttér-komponens minden frissítés után magától újratelepül, és ha a verziója nem egyezik, inkább nem fut, mint hogy hibát okozzon.

Ilyenkor az admin felületen részletes figyelmeztetés jelenik meg, és a Status fülön látod, írható-e a szükséges mappa és mi lett az utolsó telepítési kísérlet eredménye. Ha figyelmeztetést látsz, kövesd a benne leírtakat; egyébként nincs teendőd.

A korán induló háttér-komponens verziója az előző kiadásokban nem követte a bővítményét. Mostantól újra egyezik, és a frissítéssel magától a helyére kerül.

Ha a háttér-komponenst nem sikerül telepíteni (például mert a tárhely nem engedi), az admin felületen figyelmeztetés jelenik meg. Ha ilyet látsz, a benne leírtak szerint járj el; egyébként nincs teendőd.

Ha az LW Site Managerrel kezeled az oldaladat, a tűzfal alapműveleteit mostantól AI-ügynökön keresztül is elvégezheted.

Neked nincs teendőd.

Ezekből az országokból érkezik a legtöbb automatikus terhelés, ezért a tűzfal alapból kizárja őket. A bekapcsoláskor a .htaccess szabályok is azonnal frissülnek.

Ha ezekből az országokból is vannak valódi látogatóid vagy vásárlóid, nézd át az Országtiltás fület, és vedd ki őket a listából.

Ha több oldalon ugyanazokat a szabályokat használod, nem kell mindenhol újra beállítanod: exportáld egy oldalról, importáld a többire.

Importáláskor a bővítmény csak az ismert beállításokat fogadja el, a hiányzókat pedig az alapértelmezéssel tölti ki. Neked nincs teendőd.

Apache szerveren a tűzfal a .htaccess fájlba is beírja az országtiltást, így a tiltott kérések el sem érik a WordPresst. A szabályokat a bővítmény magától frissíti mentéskor, WP-CLI-módosításkor és kikapcsoláskor.

Neked nincs teendőd.

Ha egy országból csak terhelés és támadás érkezik, mostantól egyetlen beállítással kizárhatod. Cloudflare mögött a tűzfal a Cloudflare országjelzését használja, ami gyors és nem igényel letöltést.

Cloudflare nélkül a tűzfal országonkénti IP-tartománylistákat tölt le, és ezeket hetente magától frissíti; kézzel is frissítheted egy gombbal. A funkció alapból nincs bekapcsolva: az Országtiltás fülön állíthatod be.

Egyes tárhelyeken a Redis csak jelszóval érhető el, és ilyenkor a tűzfal hibát okozott. Mostantól ezt felismeri, és a következő elérhető tárolási módra vált.

Neked nincs teendőd.

Eddig a tiltott botok csak a szűrőoldalakon akadtak fenn; a többi oldalon, az admin-ajaxon és a REST API-n át továbbra is elérték az oldalt. Mostantól minden kérésre vonatkozik a tiltás.

A Szűrőparaméterek beállításban szűrőnként saját korlátot adhatsz meg (például „filter_|30”); ha több szűrő is illeszkedik, a legalacsonyabb korlát érvényes. Neked nincs teendőd.

Ebben a kiadásban a háttér-komponens verziója frissült, és kicseréltük a képernyőképet. A háttér-komponens magától frissül.

Neked nincs teendőd.

A megnyitott fül a böngésző címsorában is megjelenik, így újratöltés vagy mentés után ugyanott maradsz, és egy fülre közvetlenül linkelni is tudsz.

Neked nincs teendőd.

Egyre több látogató érkezik IPv6-címről. A tűzfal minden funkciója mostantól ezeket is kezeli, és a Cloudflare IPv6-tartományait is ismeri.

A szerver saját címei automatikusan engedélyezettek, így a saját háttérfolyamataid nem akadnak fenn a korlátokon. Neked nincs teendőd.

Az előző telepítőcsomag mappaszerkezete hibás volt. A javított ZIP a WordPress bővítményfeltöltőjével gond nélkül telepíthető.

Neked nincs teendőd.

Frissítettük a bővítmény leírását, a beállítási oldal címét és a képernyőképet. A működés nem változott.

Neked nincs teendőd.

Ebben a kiadásban a bővítmény a WooCommerce-szűrőkön túl az egész oldal leggyakrabban támadott pontjait is védi. Az ismétlődő szabálysértőket egyre hosszabb időre automatikusan kitiltja.

A beállítások hét fülre kerültek, és minden beállítás a wp-config.php-ból is rögzíthető. A háttér-komponens a bővítmény frissítésekor magától frissül. Neked nincs teendőd.

A termékszűrők minden kombinációja külön oldal, és egyes botok ezeket egymás után mind lekérik. Ez leterheli a szervert és felduzzasztja az adatbázist. Az LW Firewall az ismert botokat azonnal kitiltja, a többi látogatót pedig IP-címenként korlátozza a szűrőoldalakon.

A védelem egy korán induló háttér-komponensben fut, még a téma és a többi bővítmény előtt; ezt a bővítmény bekapcsoláskor magától telepíti. A beállításokat az LW Plugins → Firewall menüben találod.