Complemento Cloudflare para WP Cerber

English version: Cloudflare add-on for WP Cerber

O complemento Cloudflare para WP Cerber sincroniza decisões de IP selecionadas do WP Cerber com as Regras de Acesso a IP do Cloudflare. Quando ativado, ele pode criar e remover regras do Cloudflare para bloqueios do WP Cerber e para entradas nas Listas de Acesso a IP Permitido e Bloqueado. Como o Cloudflare aplica essas regras antes que uma solicitação chegue ao seu servidor WordPress, o complemento pode reduzir o tráfego que seu servidor recebe de endereços que o WP Cerber já decidiu bloquear.

O complemento funciona com as Regras de Acesso IP do Cloudflare , não com as Regras Personalizadas do Cloudflare.

Importante: O complemento cria regras de acesso IP do Cloudflare em nível de usuário. Cada regra se aplica a todas as zonas do Cloudflare pertencentes ao usuário do Cloudflare cujas credenciais você configurar , e não apenas ao site WordPress onde o complemento está instalado. Leve isso em consideração se o mesmo usuário do Cloudflare for proprietário de vários sites.

Requisitos

Antes de instalar o complemento, certifique-se de que seu site atenda aos seguintes requisitos:

WP Cerber 9.8.3 ou mais recente

PHP 7.4 ou mais recente

Uma conta Cloudflare gratuita ou paga

O nome de host do site é roteado pelo Cloudflare, não configurado apenas para DNS.

A configuração do mecanismo de segurança de carregamento do WP Cerber está definida como Modo Padrão.

A configuração "Meu site está atrás de um proxy reverso" do WP Cerber é ativada quando o site é servido por meio do proxy Cloudflare.

As regras de acesso IP do Cloudflare só podem agir sobre as solicitações antes que elas cheguem ao servidor de origem se o Cloudflare realmente atuar como proxy para o tráfego HTTP e HTTPS do site. Um registro somente de DNS não envia tráfego da web através do Cloudflare.

No WordPress, a configuração do proxy reverso é igualmente importante. O WP Cerber só consegue tomar decisões de segurança confiáveis com base no IP se detectar corretamente o endereço IP original do visitante. Ative a opção "Meu site está atrás de um proxy reverso" somente se o site estiver realmente atrás do Cloudflare ou de outro proxy reverso confiável.

Cloudflare e HTTPS

Quando seu site é acessado por meio de um proxy da Cloudflare, a Cloudflare se posiciona entre os visitantes e seu servidor de origem e encerra as conexões TLS dos visitantes na borda da rede, o que significa que o tráfego do seu site é processado pela infraestrutura da Cloudflare.

A conexão entre o Cloudflare e seu servidor de origem ainda pode ser criptografada. O Cloudflare oferece suporte a conexões de origem criptografadas e recomenda o modo Completo (estrito) sempre que possível.

Se o seu site tiver requisitos de privacidade, processamento de dados ou TLS, revise a configuração correspondente do Cloudflare antes de ativar o complemento.

Instale o complemento.

O complemento Cloudflare é um plugin padrão do WordPress. Ele é distribuído pelo site WP Cerber, e não pelo repositório de plugins do wordpress.org.

Baixe o complemento: https://downloads.wpcerber.com/plugin/wp-cerber-cloudflare-addon.zip

Faça login no painel de administração do WordPress.

Acesse Plugins → Adicionar novo plugin .

Clique em Carregar Plugin .

Selecione o arquivo ZIP baixado.

Clique em Instalar agora .

Clique em Ativar Plugin .

Após a ativação, abra WP Cerber → Complementos → Cloudflare . Todas as opções de sincronização estão desativadas por padrão.

Configure as credenciais do Cloudflare.

Na seção de credenciais do Cloudflare , insira:

o endereço de e-mail da sua conta Cloudflare

a chave de API global para essa conta.

Você pode encontrar a chave de API global no painel do Cloudflare em Meu perfil → Tokens de API , na seção Chaves de API .

A versão 2.5 autentica com o endereço de e-mail da conta e a Chave de API Global. Tokens de API do Cloudflare não são suportados por esta versão do complemento. Trate a Chave de API Global como uma credencial sensível, pois ela concede acesso mais amplo do que um Token de API com escopo restrito.

Ao salvar as configurações do complemento, o WP Cerber verifica as credenciais criando e excluindo uma regra de acesso IP temporária do Cloudflare. Se o Cloudflare rejeitar a solicitação, o complemento reportará a falha na área administrativa do WordPress.

Sincronizando bloqueios do WP Cerber

Sem o complemento, o WP Cerber aplica seus bloqueios no servidor WordPress. Ative a opção "Sincronizar endereços IP bloqueados" para que os bloqueios compatíveis também sejam aplicados no Cloudflare.

Quando o WP Cerber bloqueia um endereço e o bloqueio é elegível para sincronização, o complemento cria uma regra de bloqueio no Cloudflare, para que as solicitações subsequentes desse endereço sejam bloqueadas no Cloudflare antes de chegarem ao seu servidor WordPress. Quando o WP Cerber remove o bloqueio, o complemento remove a regra correspondente.

Alguns bloqueios não estão sincronizados.

Por definição, o complemento não replica todos os bloqueios do WP Cerber conforme ocorrem. Nenhuma regra do Cloudflare é criada quando:

A solicitação pertence a um usuário conectado.

O bloqueio é acionado por certas solicitações errôneas, como solicitações 404 repetidas.

O limite de tentativas de login é atingido pela primeira vez, nos casos em que o WP Cerber trata o primeiro bloqueio de forma diferente.

A solicitação foi identificada como sendo do Googlebot, proveniente do domínio googlebot.com.

Cloudflare não pode representar o endereço ou a rede bloqueada como um destino de regra de acesso IP.

Essas exclusões se aplicam somente à cópia do bloqueio no Cloudflare. O bloqueio em si permanece ativo no WP Cerber.

Bloqueios de sub-rede

A versão 2.5 suporta bloqueios de sub-rede. Se a opção "Bloquear sub-rede – Bloquear sempre a sub-rede inteira Classe C do IP do intruso" estiver ativada no WP Cerber, o complemento cria a regra para a sub-rede que o WP Cerber bloqueou, em vez de apenas para o endereço individual que acionou o bloqueio. Com o modo de sub-rede atual do WP Cerber, isso normalmente resulta em uma regra /24 do Cloudflare.

A regra só é criada se o Cloudflare suportar esse tamanho de rede. Caso contrário, o bloqueio permanece ativo no WP Cerber sem uma contraparte no Cloudflare.

As versões anteriores do complemento não sincronizavam os bloqueios de sub-rede e exigiam que a opção "Bloquear sub-rede" fosse desativada. A versão 2.5 remove essa restrição.

Sincronizando listas de acesso IP

Ative a sincronização da lista de acesso IP para sincronizar as alterações compatíveis nas listas de acesso IP permitidas e bloqueadas do WP Cerber com as regras de acesso IP do Cloudflare.

A sincronização funciona em apenas uma direção: WP Cerber → Cloudflare . As alterações feitas diretamente nas Regras de Acesso IP no painel do Cloudflare não são enviadas de volta para o WP Cerber.

Lista de IPs bloqueados

Uma entrada compatível adicionada à Lista de Acesso a IPs Bloqueados do WP Cerber torna-se uma regra de bloqueio do Cloudflare. Por exemplo, se você adicionar 192.168.1.0/24 à lista, o complemento pode criar uma regra correspondente no Cloudflare que bloqueia solicitações dessa rede antes que elas cheguem ao seu servidor WordPress.

Lista de IPs de acesso permitidos

Uma entrada compatível adicionada à Lista de Acesso IP Permitido do WP Cerber torna-se uma regra de permissão do Cloudflare, portanto, use esta lista com cuidado. O Cloudflare documenta que uma Regra de Acesso IP com a ação Permitir pode ignorar outras verificações de segurança do Cloudflare para esse endereço, incluindo Regras Personalizadas, Regras de Limitação de Taxa, Regras Gerenciadas do WAF e alguns outros recursos de segurança.

Por esse motivo, adicione um endereço à Lista de Acesso IP Permitido somente se você confiar nele e entender o efeito de uma regra de permissão do Cloudflare.

Endereços IP e redes suportados

O WP Cerber aceita mais formatos de endereço IP e de rede do que as Regras de Acesso IP do Cloudflare.

Se uma entrada for válida no WP Cerber, mas o Cloudflare não puder representá-la, o complemento não criará uma regra no Cloudflare para ela. A entrada permanece na sua Lista de Acesso por IP exatamente como está, e nada é reescrito ou removido para que se adeque ao Cloudflare.

Entrada em uma lista de acesso IP do WP Cerber	Sincronizado com o Cloudflare
Um único endereço IPv4, por exemplo `192.168.1.1`	Sim
Um único endereço IPv6, por exemplo `2001:db8::1`	Sim
Uma rede IPv4 com prefixo de comprimento /16 ou /24, por exemplo `192.168.1.0/24`	Sim
Uma rede IPv6 com comprimento de prefixo /32, /48 ou /64, por exemplo `2001:db8::/48`	Sim
Uma rede IPv4 com outro comprimento de prefixo, por exemplo, `10.0.0.0/8`	Não
Um intervalo escrito como um primeiro e um último endereço IP.	Não

A notação curinga WP Cerber é convertida automaticamente para a notação CIDR quando a Cloudflare oferece suporte à rede resultante:

192.168.1.* torna-se 192.168.1.0/24

192.168.*.* torna-se 192.168.0.0/16

Habilitar a sincronização da lista de acesso IP em um site existente.

Ativar a sincronização da Lista de Acesso IP não inicia uma sincronização em massa das entradas já existentes nas Listas de Acesso. Somente as adições e remoções feitas após a ativação serão sincronizadas, conforme ocorrerem.

Para replicar imediatamente uma entrada existente, remova-a da Lista de Acesso IP do WP Cerber e adicione-a novamente. Tenha cuidado com entradas que afetem seu próprio acesso ao site.

A reconstrução única que é executada ao atualizar de uma versão de complemento anterior à 2.5 funciona de maneira diferente. Ela lê as Listas de Acesso atuais e pode recriar as regras do Cloudflare para entradas que já existiam no momento da atualização.

Outras configurações adicionais

Notas de regras detalhadas

Ative as notas detalhadas das regras para incluir informações adicionais do WP Cerber nas notas das regras do Cloudflare. Para regras de lista de acesso por IP, o complemento pode adicionar o comentário da entrada. Para regras de bloqueio, ele pode adicionar o motivo do bloqueio.

As notas detalhadas podem facilitar a identificação e a pesquisa das regras do Cloudflare, mas as informações nelas contidas serão armazenadas pelo Cloudflare. Deixe esta opção desativada se os comentários da sua Lista de Acesso ou os motivos de bloqueio contiverem algo que você não queira que seja armazenado.

Excluir regras do Cloudflare após a desativação

Quando a opção "Excluir regras do Cloudflare na desativação" está ativada, desativar o complemento do Cloudflare remove as regras do Cloudflare registradas por ele. A mesma limpeza também é executada quando o próprio WP Cerber é desativado.

Se uma exclusão no Cloudflare falhar, ela não será repetida durante a desativação. O complemento deixará de monitorar essa regra, portanto, remova-a manualmente no Cloudflare. Após usar a desativação para limpar o conjunto de regras, verifique as Regras de Acesso IP na sua conta do Cloudflare para confirmar se as regras esperadas foram removidas.

Reativar os plugins não recria automaticamente as regras removidas durante a desativação. A partir desse ponto, a sincronização passa a ser orientada a eventos.

Ativar registro de diagnóstico

Ative o registro de diagnóstico antes de investigar um problema de sincronização. Com essa opção ativada, o complemento registra a atividade de sincronização e as falhas do Cloudflare no Log de Diagnóstico do WP Cerber, que pode ser acessado em WP Cerber → Ferramentas → Log de Diagnóstico . Quando a opção está desativada, o complemento não grava nada nesse log.

Solução de problemas

As credenciais do Cloudflare foram rejeitadas.

Confira isso:

Você inseriu o endereço de e-mail da conta Cloudflare.

Você inseriu a Chave de API Global , não um Token de API.

As credenciais pertencem ao usuário do Cloudflare cujas zonas você pretende que o complemento afete.

Em seguida, salve as configurações novamente para executar a verificação de credenciais mais uma vez.

Uma entrada do WP Cerber não aparece no Cloudflare.

Siga os seguintes passos:

Certifique-se de que a opção de sincronização relevante esteja ativada.

Confirme se a Cloudflare é compatível com o endereço ou formato de rede.

Se a entrada foi adicionada antes de você ativar a sincronização, lembre-se de que as entradas existentes não são sincronizadas em lote.

Procure por erros do Cloudflare nas notificações do painel de administração do WordPress.

Ative o registro de diagnóstico e revise em WP Cerber → Ferramentas → Registro de diagnóstico .

Nada acontece após a atualização de uma versão anterior.

A reconstrução única começa com o próximo evento de IP relevante do WP Cerber, não necessariamente no momento em que você atualiza o plugin. Confirme também se o endereço de e-mail do Cloudflare e a chave da API global estão salvos.

Para acionar um evento relevante por conta própria, adicione uma entrada à Lista de Acesso por IP e, em seguida, remova-a. Escolha um endereço que não afete seu acesso ao WordPress ou a outras zonas do Cloudflare.

O conjunto de regras do Cloudflare parece incompleto após uma atualização.

Uma reconstrução de grande porte pode abranger várias solicitações e, enquanto estiver em andamento, os IDs das regras do Cloudflare e o número de regras visíveis podem mudar.

Ative o registro de diagnóstico e verifique o Log de Diagnóstico para operações rejeitadas do Cloudflare ou destinos não suportados.

Recuperando-se de um bloqueio acidental

Uma regra de bloqueio do Cloudflare pode impedir completamente que seu endereço IP atual acesse o WordPress. Se você se bloquear acidentalmente, existem duas maneiras práticas de se recuperar.

Use outra conexão de internet.

Mude para um dispositivo ou conexão com um endereço IP público diferente, como um dispositivo móvel usando dados móveis em vez da sua rede Wi-Fi. Em seguida, faça login no WordPress e remova o bloqueio ou a entrada da Lista de Acesso por IP que causou o bloqueio.

Essa é a opção preferencial quando você precisa restaurar o acesso normal ao WordPress imediatamente.

Remova a regra do Cloudflare manualmente.

Faça login no Cloudflare, abra Segurança → Regras de segurança → Regras de acesso por IP , encontre a regra para o seu endereço IP e remova-a. Para descobrir seu endereço IP público atual, use a ferramenta "Qual é o meu endereço IP?" .

Remover a regra do Cloudflare permite que suas solicitações cheguem ao servidor WordPress novamente, mas não remove o bloqueio correspondente do WP Cerber nem a entrada na Lista de Acesso por IP. O WP Cerber continua a aplicar seu próprio estado até que ele expire ou você o altere no WordPress.

O complemento não detecta uma regra que você remove manualmente e continua a tratá-la como existente até que o bloqueio correspondente seja removido ou a entrada da Lista de Acesso IP seja excluída no WordPress. Nesse momento, o complemento apaga o registro da regra e, se o mesmo endereço for adicionado novamente mais tarde, uma nova regra do Cloudflare será criada normalmente.

Exclua todas as regras do Cloudflare criadas pelo complemento.

Para remover as regras atualmente registradas pelo complemento:

Abra o WP Cerber → Complementos → Cloudflare .

Ative a opção "Excluir regras do Cloudflare na desativação" .

Salve as configurações.

Acesse a página de plugins do WordPress.

Desative o plugin Cloudflare for WP Cerber Security .

Verifique suas regras de acesso IP do Cloudflare para confirmar se as regras esperadas foram removidas.

Reative o complemento somente se ainda desejar utilizá-lo.

Lembre-se de que exclusões individuais no Cloudflare podem falhar, portanto, a desativação não garante a remoção de todas as regras remotas.

Apoiar

Se você encontrar um problema de sincronização, ative o registro de diagnóstico , reproduza o problema e verifique em WP Cerber → Ferramentas → Registro de diagnóstico .

Os clientes do WP Cerber Professional podem utilizar o serviço de suporte em https://my.wpcerber.com . O suporte para a versão gratuita está disponível através da comunidade WP Cerber em https://talk.wpcerber.com .