Jak zatrzymać spam rejestracyjny WordPress - kompletny przewodnik

Wyobraź to sobie:

Chcesz rozwijać swoją stronę internetową. Chcesz więcej klientów i przychodów.

Opracowujesz więc plan ulepszenia treści i dopracowania projektu.

Dodajesz więcej wezwań do działania i umożliwiasz użytkownikom subskrypcję i rejestrację na Twojej stronie!

Ale nagle okazuje się, że Twoja witryna jest bombardowana rejestracjami spamerów z adresami e-mail zawierającymi inbox.imailfree.cc, mail.imailfree.cc.

Zamiast rozwijać swoją firmę, spędzasz codziennie czas na usuwaniu zalewu spamu.

Zamiast tego, każdego ranka utkniesz w czyszczeniu rejestracji użytkowników spamu.

To musi być frustrujące.

W ciągu ostatniej dekady mieliśmy okazję pomagać klientom, którzy każdego dnia zarządzali zalewem spamowych rejestracji WordPress.

Więc nie martw się, bez względu na to, jak zła jest sytuacja, pomożemy Ci odzyskać czas. Po przeczytaniu tego artykułu możesz wrócić do skupiania się na rozwoju firmy i generowaniu większych przychodów.

TL;DR: Aby zatrzymać spam rejestracyjny WordPress, musisz wdrożyć kilka środków. Najpierw zainstaluj zaporę sieciową , zaimplementuj blokowanie geograficzne, a następnie włącz reCAPTCHA. Jeśli te środki nie powstrzymają całkowicie spamu rejestracyjnego, spróbuj zastosować wszystkie środki wymienione poniżej.

Zanim zagłębisz się w metody zapobiegania, jeśli chcesz zrozumieć , dlaczego hakerzy w ogóle przeprowadzają spam rejestracyjny , przejdź do tej sekcji.

A jeśli chcesz dowiedzieć się, jak spam rejestracyjny może wpłynąć na Twoją witrynę , przejdź do tej sekcji.

Jak zablokować spam rejestracyjny WordPress?

Oto myśl:

Zamiast zapobiegać spamowi rejestracyjnemu, dlaczego nie wyłączyć rejestracji.

Nie musisz włączać rejestracji publicznej, jeśli chcesz zezwolić na dostęp do swojej witryny tylko niewielkiej liczbie osób.

Po prostu utwórz konta użytkowników ręcznie. Upewnij się, że nie mają dostępu administratora.

> Wyłącz rejestrację użytkownika

Aby wyłączyć rejestrację spamu, przejdź do pulpitu nawigacyjnego WordPress, a następnie przejdź do Ustawienia > Ogólne .

Na stronie Ustawienia ogólne przewiń w dół do opcji Członkostwo i odznacz pole „Każdy może się zarejestrować” .

WordPress ma domyślny adres URL strony rejestracji, który wygląda następująco: https://example.com/wp-login.php?action=register

Po wyłączeniu spamu rejestracyjnego próba otwarcia strony rejestracyjnej powoduje wyświetlenie następującego komunikatu:

„Rejestracja użytkownika jest obecnie niedozwolona”.

Pro Tip: Nie zapomnij usunąć fałszywych użytkowników już zarejestrowanych w Twojej witrynie. Sprawdź wiadomości e-mail swoich użytkowników za pomocą następujących narzędzi: Hunter , VerifyEmailAddress i Email-Checker . Sprawdź również, czy adresy e-mail zawierają terminy takie jak inbox.imailfree.cc , mail.imailfree.cc . Jeśli któryś z adresów e-mail jest fałszywy, usuń go ze swojej witryny.

To powiedziawszy, jeśli wyłączenie rejestracji publicznej nie wchodzi w grę, rozważ ograniczenie tego, co użytkownicy mogą robić w Twojej witrynie.

> Ustaw odpowiednie role użytkowników

Gdy hakerzy uzyskają dostęp użytkownika do Twojej witryny, mogą zrobić bardzo niewiele, jeśli są ograniczeni rolami użytkownika.

W witrynie WordPress istnieje 6 ról użytkowników. Każdy ma inne możliwości. Administratorzy mają pełną kontrolę nad stroną. Redaktorzy mogą publikować posty oraz wykonywać kilka funkcji w serwisie. Współtwórcy i autorzy mogą jedynie modyfikować lub tworzyć posty. Subskrybenci mogą tylko zarządzać swoimi profilami i czytać wszystkie posty i strony. Nic więcej.

Dopóki użytkownicy rejestrujący się w Twojej witrynie nie są administratorami (lub superadministratorami w przypadku instalacji na wielu serwerach) ani redaktorami, nie mogą publikować szkodliwych treści ani inicjować złośliwych funkcji w Twojej witrynie.

Możesz przeczytać więcej o rolach użytkowników tutaj – Role i możliwości użytkowników WordPress.

Aby ustawić role użytkowników dla współpracowników, autorów lub subskrybentów, przejdź do pulpitu nawigacyjnego WordPress.

Następnie przejdź do Ustawienia > Ogólne . Na stronie ustawień ogólnych poszukaj opcji Nowa domyślna rola użytkownika .

Z menu rozwijanego wybierz współtwórców, autorów lub subskrybentów.

To powiedziawszy, ograniczenie ról użytkowników nie zapobiegnie rejestracji spamu.

Aby całkowicie zatrzymać spam rejestracyjny, musisz:

• Zainstaluj zaporę ogniową
• Zaimplementuj blokowanie geograficzne
• Zaimplementuj ochronę reCAPTCHA
• Wymuś aktywację poczty e-mail
• Zmień adres URL rejestracji WordPress
• Wymuś rejestrację wieloskładnikową
• Włącz ochronę miodu
• Włącz ręczne zatwierdzanie

Pewnie zastanawiasz się, czy musisz wdrożyć wszystkie środki. Jeśli włączysz wszystkie środki, użytkownicy będą musieli przeskoczyć przez kilka obręczy. Więc to nie jest zalecane.

W zależności od tego, jak poważnie Twoja witryna jest atakowana, będziesz musiał zastosować środki, które właśnie wymieniliśmy.

Załóżmy, że chcesz zainstalować CAPTCHA na stronie rejestracji. Ale jeśli otrzymujesz setki rejestracji spamu w ciągu krótkiego tygodnia, sama CAPTCHA będzie niewystarczająca. Będziesz także musiał wdrożyć niektóre inne środki bezpieczeństwa WordPress.

1. Zainstaluj zaporę ogniową

Zapora ogniowa to pierwsza linia obrony przed spamem.

Po włączeniu cały ruch przychodzący do Twojej witryny przechodzi najpierw przez zaporę.

Sprawdzi ruch w swoim repozytorium złośliwych adresów IP. Jeśli zapora zidentyfikuje jakikolwiek adres IP jako złośliwy, jest on natychmiast blokowany.

Zapora pomaga zapobiegać atakom spamu rejestracyjnego, zanim dotrze on do Twojej witryny.

Plusy:

• Jest zautomatyzowany i nie wymaga obsługi ręcznej.
• Zapewnia całodobową ochronę.
• Może oferować szczegółowe informacje o ruchu, które są pomocne w dalszym zabezpieczaniu witryny.

Cons:

• Może nie rozpoznać i zablokować część złośliwego ruchu.
• Może przypadkowo zablokować legalny ruch.

Jak wdrożyć

Możesz użyć zapory ogniowej, takiej jak MalCare. Wszystko, co musisz zrobić, to zarejestrować się i zainstalować wtyczkę na swojej stronie. Zapora sieciowa zostanie włączona automatycznie.

MalCare oferuje więcej niż całodobową ochronę. Możesz znaleźć informacje o ruchu, który został zablokowany, w tym kraj pochodzenia, adres URL, do którego hakerzy próbowali uzyskać dostęp, ich adres IP itp.

Takie informacje są przydatne do dalszego wzmocnienia bezpieczeństwa Twojej witryny. Na przykład, jeśli otrzymujesz zbyt wiele żądań nieprawidłowego ruchu z określonego kraju, możesz zablokować cały kraj.

2. Wdróż blokowanie geograficzne

Blokowanie geograficzne odnosi się do blokowania dostępu do Twojej witryny w całym kraju.

Zapobiegnie to zarówno złośliwemu, jak i legalnemu ruchowi z kraju, który zablokowałeś.

Musisz więc upewnić się, że ruch z tego konkretnego kraju nie jest dla Ciebie wartościowy.

Plusy:

• Znacząco ogranicza złośliwy spam rejestracyjny.

Cons:

• Blokuje legalny ruch.
• Hakerzy nadal mogą korzystać z VPN i uzyskiwać dostęp do Twojej witryny.

Jak wdrożyć

Istnieją wtyczki, które mogą pomóc we wdrożeniu blokowania geograficznego, ale jeśli korzystasz z zapory sieciowej MalCare, możesz przejrzeć dziennik ruchu, aby dowiedzieć się, skąd pochodzi większość zablokowanego ruchu.

Następnie możesz również użyć blokowania geograficznego MalCare, aby zablokować ten kraj. Oto przewodnik, który pomoże Ci to osiągnąć – Jak wdrożyć blokowanie geograficzne?

3. Zaimplementuj ochronę reCAPTCHA

Hakerzy projektują boty do przeprowadzania rejestracji użytkowników spamujących.

reCAPTCHA to test używany do odróżnienia ludzi od botów.

Początkowo testy te miały charakter tekstowy. Boty ewoluowały i wkrótce były w stanie je rozwiązać. Teraz często można zobaczyć reCAPTCHA, w którym musisz zaznaczyć pole, aby potwierdzić, że nie jesteś człowiekiem. Następnie otrzymasz kilka obrazów do wyboru.

Boty nie widzą obrazów i dlatego nie są w stanie rozwiązać reCAPTCHA.

Dodanie ochrony reCAPTCHA do formularza rejestracyjnego odstraszy boty próbujące zarejestrować się w Twojej witrynie.

Plusy:

• Rekordy użytkowników nie są tworzone w bazie danych, dopóki wyzwanie nie zostanie zaliczone.

Cons:

• Potrzebujesz pomocy Google, aby skonfigurować reCAPTCHA. Jeśli Google zdecyduje się zatrzymać usługę, będziesz musiał poszukać nowych sposobów zapobiegania spamowi rejestracyjnemu.

Jak wdrożyć

1. Pobierz i zainstaluj Invisible reCaptcha dla WordPress na swojej stronie internetowej.

2. Następnie otwórz ten adres URL – https://www.google.com/recaptcha/intro/invisible.html?ref=producthunt i zaloguj się na swoje konto Google.

3. Zarejestruj swoją witrynę.

4. Google da ci klucz witryny i tajny klucz. Skopiuj je.

5. Przejdź do pulpitu nawigacyjnego WordPress i przejdź do Ustawienia> Niewidoczny reCAPTCHA i wprowadź klucze.

6. Następnie z tej samej strony przejdź do WordPress i wybierz Włącz rejestrację przed ochroną .

To wszystko, ludzie.

4. Włącz ochronę Honey Pot

Honey Pot to pomysłowy sposób na zabezpieczenie formularza rejestracyjnego.

Boty są zaprojektowane tak, aby wypełniać wszystkie pola w formularzu.

W tej metodzie niektóre pola w formularzu nie mogą zostać wypełnione, ponieważ są niewidoczne dla użytkownika.

W przeciwieństwie do ludzi, boty wypełniają pola, czytając kod źródłowy strony. Więc w końcu wypełniają niewidzialne pola.

Korzystając z metody ochrony przed miodem, możesz łatwo zidentyfikować boty i szybko je zablokować.

Plusy:

• Najskuteczniejszy sposób identyfikowania i blokowania robotów spamujących.

Cons:

• Nie można powstrzymać hakerów, którzy ręcznie rejestrują się w Twojej witrynie.
• Blokuje oprogramowanie do odczytu ekranu, które automatycznie wypełnia formularze.
• Blokuje użytkowników z wadami wzroku.

Jak wdrożyć

Niektóre niestandardowe formularze, takie jak Formidable Forms i narzędzia do tworzenia witryn, takie jak Elementor, mają wbudowane opcje dla Honeypot. Ale musisz być subskrybentem premium, aby uzyskać do nich dostęp. Istnieją jednak dedykowane wtyczki, takie jak Clean Login, które pomogą Ci włączyć honeypot.

1. Pobierz i zainstaluj Clean Login na swojej stronie WordPress. Ochrona Honeypot będzie domyślnie włączona.

5. Wymuś aktywację poczty e-mail

Po przeskoczeniu tylu kółek, jeśli komuś udaje się zajść tak daleko, żeby się zarejestrować, to dobry znak. Użytkownik najprawdopodobniej nie jest botem. Ale nadal może to być haker.

Metoda weryfikacji adresu e-mail polega na przesłaniu użytkownikom linku na adres e-mail, którego użyli do rejestracji. Otwarcie linku aktywuje konto użytkownika.

Jeśli jest to fałszywy adres e-mail, nie mogą aktywować konta. Konto zostanie przełączone w tryb oczekiwania, który możesz usunąć ręcznie.

Plusy:

• Sprawdza, czy adres e-mail istnieje.

Cons:

• Wiadomości e-mail mogą lądować w folderze ze spamem i mogą pozostać niewidoczne.
• Rejestracje użytkowników są przechowywane w bazie danych, nawet jeśli nie są aktywowane.

Jak wdrożyć

Istnieje wiele wtyczek, które pozwolą Ci wymusić weryfikację adresu e-mail. Niektóre są dedykowanymi wtyczkami do formularzy, takimi jak Gravity Forms i Formidable Forms, ale zazwyczaj obsługują funkcje rejestracji w wersji premium.

Jeśli już korzystasz z niestandardowej wtyczki formularza, prawdopodobnie oferuje ona weryfikację adresu e-mail.

Alternatywnie możesz użyć wtyczek zaprojektowanych specjalnie do weryfikacji e-maili, takich jak Weryfikacja użytkownika.

1. Pobierz i aktywuj wtyczkę User Verification.

2. Na pulpicie nawigacyjnym WordPress przejdź do Użytkownik > Weryfikacja użytkownika .

3. Na stronie ustawień weryfikacji użytkownika dostępna jest opcja o nazwie Włącz weryfikację adresu e-mail . Wybierz Tak , aby wymusić weryfikację adresu e-mail.

Możesz również użyć wtyczki User Verification, aby wymusić reCAPTCHA.

6. Zmień adres URL rejestracji WordPress

Innym środkiem bezpieczeństwa, który możesz zastosować, jest zmiana adresu URL strony rejestracji.

Domyślna strona rejestracji WordPress znajduje się pod adresem https://example.com/wp-login.php?action=register

Hakerzy programują boty do wyszukiwania tego łącza. Dlatego wpływowym sposobem zapobiegania rejestrowaniu się botów jest przeniesienie strony pod niestandardowy adres URL.

Strona rejestracji jest częścią Twojej strony logowania. Zmiana adresu URL logowania pozwoli Ci zmienić stronę rejestracji.

Plusy:

• Uniemożliwia hakerom i botom znalezienie strony rejestracji.

Cons:

• Wiarygodni goście nie będą mogli znaleźć strony rejestracji, jeśli spróbują otworzyć adres URL bezpośrednio. To zniechęci ich do rejestracji.

Jak wdrożyć

1. Pobierz i aktywuj stronę WPS Hide Login.

2. Przejdź do rejestracji WordPress i przejdź do Ustawienia > WPS Ukryj login .

3. W opcji Adres URL logowania wprowadź nowy adres URL. Upewnij się, że jest to coś wyjątkowego, czego nikt nie może odgadnąć.

Powiedz, czy Twój nowy adres URL to https://example.com/nowornever

Nowa strona rejestracji będzie znajdować się pod adresem https://example.com/nowornever?action=register

4. W adresie URL przekierowania wprowadź błąd, np. 404 lub 503.

Każdy, kto spróbuje uzyskać dostęp do strony logowania przy użyciu domyślnego adresu URL logowania (https://example.com/wp-login.php), zostanie przekierowany na ten adres URL (https://example.com/404).

7. Wymuś rejestrację wieloskładnikową

Wdrożenie rejestracji wieloskładnikowej zapewnia drugą warstwę ochrony. Na przykład, jeśli masz zainstalowaną funkcję CAPTCHA w formularzu, możesz również poprosić użytkownika o weryfikację za pomocą wiadomości SMS lub aplikacji.

Oznacza to, że użytkownicy będą musieli używać swoich smartfonów do rejestracji.

Zatrzyma roboty na ich śladach. A jeśli hakerzy próbują zarejestrować się ręcznie, mogą zarejestrować tylko jedno konto z jednym numerem telefonu. Spowoduje to spowolnienie działań związanych z rejestracją spamu.

Zawodowiec:

• Rekordy użytkowników nie są tworzone w bazie danych, chyba że się zarejestrują.

Cons:

• Za dużo kroków do rejestracji.
• Użytkownicy mogą być sceptycznie nastawieni do udostępniania numerów telefonów.

Jak wdrożyć

1. Pobierz i aktywuj wtyczkę MiniOrange OTP Verification na swojej stronie internetowej.

2. Na pulpicie nawigacyjnym WordPress przejdź do Weryfikacja OTP .

3. Zarejestruj się w MiniOrange.

4. Przejdź do Formularzy i wybierz Domyślne formularze rejestracyjne WordPress .

5. Następnie zaznacz pole obok formularza domyślnego WordPress / formularza rejestracyjnego TML. Pojawi się lista rozwijana. Wybierz Włącz weryfikacje telefoniczne > Nie zezwalaj użytkownikom na używanie tego samego numeru telefonu dla wielu kont .

Nie zapomnij wybrać Zapisz ustawienia .

Otóż ​​to. Użytkownicy będą musieli użyć swojego numeru telefonu, aby się zarejestrować.

8. Włącz ręczne zatwierdzanie

Możesz ręcznie zatwierdzić użytkowników, którzy rejestrują się w Twojej witrynie WordPress. Nie ma domyślnej opcji, która pozwala to zrobić. Ale za pomocą wtyczki możesz włączyć zatwierdzanie przez administratora.

Gdy ktoś zarejestruje się w Twojej witrynie, wyświetli się komunikat informujący, że musi poczekać na zatwierdzenie przez administratora.

Administrator jest następnie powiadamiany o nowej rejestracji.

Administrator sprawdza adres e-mail za pomocą narzędzi takich jak Hunter, VerifyEmailAddress i Email-Checker, aby sprawdzić, czy jest to fałszywy identyfikator e-mail. Zatwierdzają lub odmawiają nowemu użytkownikowi dostępu do serwisu.

Plusy:

• Użytkownicy, którym udało się ominąć inne środki, mogą zostać zablokowani za pomocą ręcznego zatwierdzenia.

Cons:

• To czasochłonna i żmudna praca.
• W przypadku witryn, które otrzymują dziesiątki rejestracji tygodniowo, ręczne zatwierdzenie tak wielu rejestracji jest niemożliwe.

Jak wdrożyć

1. Pobierz i aktywuj wtyczkę Zatwierdź nowego użytkownika. Wtyczka zacznie działać od razu. Każdy, kto zarejestruje się w Twojej witrynie, będzie musiał czekać na ręczne zatwierdzenie.

2. Aby ręcznie zatwierdzić nowych użytkowników, musisz przejść do Użytkownicy > Niezatwierdzeni .

Co hakerzy zyskują na spamie rejestracyjnym WordPress

Słyszysz o grupach terrorystycznych hakujących strony internetowe rządu USA i atakach na telefony celebrytów.

Trudno sobie wyobrazić, co hakerzy mogą zyskać, włamując się do Twojej witryny.

Istnieje wiele powodów, dla których hakerzy zaatakują Twoją witrynę, nawet jeśli nie wiedzą nic o Tobie ani o tym, co reprezentujesz.

To nie jest sprawa osobista, to biznes.

Hakerzy są zainteresowani uzyskaniem dostępu użytkownika do Twojej witryny w celu przeprowadzenia następujących operacji:

• Handluj fałszywymi pigułkami, pornografią, oszustwami i złośliwym oprogramowaniem, aby zarobić.
• Twórz linki zwrotne do własnych stron internetowych lub witryn klientów.
• Zniszcz swoje wysiłki SEO.
• Kradnij informacje o użytkownikach, takie jak adresy e-mail, informacje o karcie kredytowej i dokumentację medyczną.
• Przechowuj nielegalne pirackie filmy, programy telewizyjne i oprogramowanie.

To powiedziawszy, samo uzyskanie dostępu użytkownika do Twojej witryny nie umożliwi hakerom przeprowadzenia tych operacji.

Muszą mieć dostęp administratora, aby wykonywać niektóre operacje, takie jak przechowywanie plików. W przypadku innych złośliwych operacji, takich jak rujnowanie działań SEO, wystarczy dostęp do edytora.

Dostęp do naszej strony internetowej w połączeniu z lukami we wtyczce i motywach może prowadzić do poważnych naruszeń bezpieczeństwa. Na przykład w przeszłości luka w formularzu kontaktowym 7 umożliwiała subskrybentom uzyskanie dostępu administratora.

• Gdy uzyskają wyższy dostęp, mogą przekierowywać odwiedzających do złośliwych stron internetowych.
• Mogą opublikować post ze spamerskimi japońskimi słowami kluczowymi, aby uruchomić Twoje SEO.
• Mogą spamować twoje strony nazwami nielegalnych narkotyków w tak zwanym hakowaniu farmaceutycznym.

Nawet użytkownicy z ograniczonym dostępem, na przykład redaktorzy, mogą moderować komentarze. Mogą zatwierdzać złośliwe komentarze, które zagrażają Twojej bazie danych. Aby dowiedzieć się więcej, zapoznaj się z tym postem WordPress SQL Injection, który przygotowaliśmy.

Nie trzeba dodawać, że wpływ takiego włamania na Twoją witrynę będzie fatalny.

Wpływ spamu rejestracyjnego WordPress na Twoją witrynę

Hakerzy próbują uzyskać dostęp do Twojej witryny, aby wykorzystać Twoje zasoby lub wywołać chaos. Oto jak szkodzą Twojej witrynie:

• Rejestracje użytkowników są przechowywane w bazie danych. Setki spamu rejestracyjnego mogą zapełnić Twoją bazę danych, co spowolni Twoją witrynę .

• Rankingi w wyszukiwarkach mogą ulec pogorszeniu , jeśli użytkownicy publikują spamerskie treści i przekierowują odwiedzających do różnych witryn.

• Mówiąc o przekierowaniu, odwiedzający są odsyłani do witryn sprzedających nielegalne narkotyki i witryn dla dorosłych. W niektórych przypadkach są zmuszeni do pobierania oprogramowania na swój lokalny komputer. To szkodzi twojej reputacji .

• Jeśli uzyskają dostęp do informacji od innych użytkowników, takich jak dane karty kredytowej i dokumentacja medyczna, mogą je sprzedać online, a Ty zostaniesz pociągnięty do odpowiedzialności za naruszenie danych .

• Gdy usługi hostingowe i wyszukiwarki dowiadują się, że Twoja witryna została zaatakowana przez hakerów, zawieszają ją, oznaczają ją jako zwodniczą i odpowiednio umieszczają na czarnej liście .

• Czyszczenie zaatakowanej witryny będzie kosztowną sprawą.

Oczywiście spamu związanego z rejestracją nowych użytkowników WordPress nie należy lekceważyć.

Co następne?

Z pomocą naszego przewodnika jesteśmy przekonani, że będziesz w stanie zapobiec spamowi związanemu z rejestracją użytkowników WordPress.

Ale samo blokowanie spamu rejestracyjnego nie zapobiegnie próbom włamania się hakerów do Twojej witryny.

Aby zapewnić pełne bezpieczeństwo swojej witryny, musisz zainstalować wtyczkę bezpieczeństwa WordPress, taką jak MalCare. Umieści zaporę ogniową między Twoją witryną a ruchem przychodzącym. Będzie chronić twoją stronę logowania przed atakami siłowymi.

Będzie codziennie skanować Twoją witrynę i pomoże Ci ją natychmiast wyczyścić, jeśli zostanie zhakowana.

Możesz podjąć działania wzmacniające witrynę i tworzyć kopie zapasowe dla witryn WordPress.

Wypróbuj naszą wtyczkę MalCare Security !