Дополнительная авторизация в админпанели

Вы заблокированы!Наверное каждый вебмастер однажды сталкивался с проблемой длительной загрузки страниц сайтов и невозможностью работы в админпанели. Причин тому множество и с проблемой жесткого лимита на хостинге приходится встречаться в то время, когда сайт наполнен контентом в значительном объеме, заметно увеличилась его посещаемость… Вот тут-то и приходят к нему «на помощь» всевозможные спамеры, хакеры взломщики, засылатели ботов.

Цели у них далеко не благородные, а количество запросов к веб-серверу и нагрузка на CPU  значительно возрастают. В таком случае возникают блокировки входа на сайты не только для посетителей (что значительно уменьшает полезный трафик и «неуважение» поисковиков), но и самого админа, появляются всякого рода ошибки.  Наиболее распространенная — ошибка 503, означающая, что сервис временно не доступен (Service Temporarily Unavailable). Проще говоря, сайт «зависает» и до тех пор, пока количество запросов не будет ниже жесткого лимита на хостинге.

На возникший естественный вопрос админа: » А что же делать, что бы этой самой «временной недоступности» было как можно меньше (а еще лучше, что бы она отсутствовала вообще)», есть разные ответы, так как многое зависит от «индивидуальных особенностей» сайтов и об этой ошибке 503, как и других, на хостингах обычно дают довольно развернутые ответы. Среди них есть одна очень важная причина —

Большое число запросов к веб-серверу

В основном они предусматривают вот такие факторы:

  • Загружаемый ресурс разбит/содержит ссылки на слишком больше число файлов (картинки, таблицы стилей JS-скрипты), которые подгружаются через отдельные запросы. Постарайтесь объединять ресурсы в один файл, где это возможно.
  • На сайте установлен элемент, который периодически посылает на сервер AJAX-запросы (например, чат). Количество запросов зависит не только от числа посетителей, но и от их привычки открывать несколько вкладок в браузере.
  • Боты-индексаторы, сканирующие ресурсы сайтов (поисковые системы, Sape, и другие).
  • Использование элементов ресурсов или скриптов на чужих сайтах (ссылки на картинки, скрипты-информёры). Используйте антилич-модули/настройки.
  • DDoS-атаки.

Чтобы «смягчить удар» по серверу можно провести ряд проверок и осуществить ряд мероприятий по устранению негативных причин, указанных в списке выше.

Хорошо, если все получится. Но иногда есть причины, которые не зависят от вебмастера и они не исправимы только редактированием файлов и скриптов на сайте, удалением нехороших, кривых плагинов и т.п. Я уже писал о плагинах, позволяющих отражать атаки по взлому сайтов — Limit Login Attempts и борьбе со спам-ботами WP-Ban. Однако в некоторых случаях, особенно в вопросах большого числа запросов к веб-серверу в короткий промежуток времени по причине злого умысла, эти плагины бессильны. Допустим, что

Некий хакер настойчиво, почти ежесекундно, в течении длительного времени, ежедневно посылает запросы к вашему сайту.

Скрин. 1

хакер настойчиво ежедневно посылает запросы к вашему сайту

В этом случае можно попробовать пару способов избавить сайт от таких атак.

Метод первый: заблокировать спамера в файле .htaccess. О том, как это сделать, написано много. Самый простой способ, создать его в папке  domains и прописать в нем правило deny from, записывая IP нежелательных посетителей.

Скрин. 2

autenfik 2

или прописать правило в уже имеющемся файле .htaccess.

Метод второй: создать дополнительная авторизацию при входе в админпанель. Именно этот способ пришлось сделать администрации моего хостинга «Джино», к службе поддержки которого я обратился, так один из спамеров с IP-адресом 185.11.144.82 оказался неуемным, даже когда я прописал его в deny from, кода сделал запрет с помощью плагина WP-Ban:

Лишь после создания дополнительной авторизации в админпанели своих сайтов на вордпресс, мне удалось достичь прекращения попыток запросов к страницам сайта ogend.ru. Это произошло к 13 часам 14 минутам 29 мая, после того, как работники техподдержки совершили необходимые действия по созданию дополнительной авторизации (см. скрин 1).

Как создать дополнительную авторизацию в админпанели

Для чего нужна дополнительная авторизация в админпанели вы уже наверняка поняли. После того, как она была создана,  количество запросов  к веб-серверу в указанное время резко уменшилось, а  нагрузка на CPU соответственно упала. Это результат блокировки вышеуказанного спам-бота. Следующая картинка наглядно демонстрирует:

autenfik 3

Создание дополнительной авторизации не моя инициатива, это способ борьбы со спам-ботами мне предложили в техподдержке хостинга. Я согласился. Что бы не объяснять, как все происходило, здесь и сейчас я процитирую сжатую вчерашнюю переписку с ее представителем.

Мое письмо:

Здравствуйте! Вновь обращаюсь к вам с аналогичной просьбой в заявке 27.04.2015 04:27. Теперь на моих сайтах http://ogend.ru/ и http://prt56.ru/ и их админпанелях стало очень сложно работать, так как страницы очень медленно открываются. Стали сайты работать все хуже и хуже, хотя трафик (посетители на сайты) за последние месяцы не увеличивается. Высокую нагрузку на CPU я не могу ничем объяснить. В прошлый раз я указывал на ошибку 503 и вы создали для моих сайтов один общий файл .htaccess, в который поместили IP-адреса ботов. Спасибо, в некоторой степени это помогло. Но по прежнему преследует адрес 185.11.144.82 который отражается в ошибках лог-файлов для сайта ogend.ru. Адресат из Амстердама. Возможно именно он продолжает вредить моим сайтам. Не знаю, так как его действие почти непрерывно и влияет ли он действительно на нагрузку.
Очень надеюсь на вашу помощь. Сам не могу справится, хотя пробовал варьировать с плагинами (подключая-отключая), установил даже плагин WP-bot. Бесполезно. Плагины и скрипты на сайты уже очень давно новые не добавлял.

Ответ техподдержки 1:

Что касается работы Ваших сайтов мы можем предложить следующие решения: — Добавить дополнительную авторизацию в административную панель (для этого просим Вас придумать данные доступа для каждого блога).

Я придумал и отправил в письме новые (дополнительные) логины и пароли для  всех своих сайтов ogend.ru и prt56.ru. Их у меня два.

Ответ техподдержки 2:

Дополнительная авторизация для обоих сайтов была настроена. Файлы с логином и паролям расположен в папке /domains и называются: .ogendpasswd  и .prt56passwd. ( прим. автора: точки перед названием файлов, обязательны!) Ни в коем случае не удаляйте данные файлы.

Такие файлы можно создать самому. Но лучше доверить техподдержке,  в целях безопасности, они зашифруют в файле придуманный вами пароль.

После того, ка все было сделано, новый вход в админпанель каждого моего сайта был совершен дважды. Теперь это будет происходить в каждой новой сессии в браузере.

Первый вход:

первый вход в админпанель

Затем второй, основной ( как и был ранее):

второй (основной) вход в админпанель

 Мой ответ:

Огромное вам спасибо! Все работает нормально. Но вот этот 185.11.144.82 по прежнему лезет. Как его убить бы гада? 🙂

Ответ техподдержки:

Все необходимые меры по данному адресу уже были приняты. При запросе Вашего блога с адреса 185.11.144.82 сообщается ошибка 403 — доступ запрещен. К сожалению, полностью заблокировать его, чтобы не было записей в логах ошибок, не представляется возможным.

А убивать его уже не нужно, как оказалось. Он, похоже, сам «передумал» спамить:  дополнительную авторизацию его бот не предусматривал. 🙂

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *