WordPress und WooCommerce

In WordPress schreibst du keinen Server-Code: Das Plugin Korzen Bot Protection übernimmt die Arbeit des Tags und des Aufrufs. Es lädt den Tag auf deinen Seiten und der Anmeldeseite und fragt Bot Protection vor einer Anmeldung, einer Registrierung (der von WordPress und der von WooCommerce) und einem WooCommerce-Checkout, dem klassischen und dem Block-Checkout. Ist Bot Protection langsam (über 200 ms), nicht erreichbar oder antwortet es etwas Unerwartetes, kommt der Besucher durch. Es braucht WordPress 6.5 und PHP 8.2 oder neuer.

Installieren

Das Plugin ist noch nicht im Verzeichnis von WordPress.org: Schreib uns für das Zip. Öffne in WordPress Plugins > Neues Plugin hinzufügen > Plugin hochladen, wähle das Zip und aktiviere es.

Einstellungen

Öffne Einstellungen > Korzen Bot Protection und füge die beiden Schlüssel von der Seite Set-up ein: den Site Key (YOUR_SITE_KEY), den der Tag trägt, und einen API key, den dein Server sendet. Einmal gespeichert, wird der API key nie wieder angezeigt. Um ihn aus der Datenbank herauszuhalten, definiere ihn stattdessen in wp-config.php und lass das Feld leer:

// wp-config.php, above "That's all, stop editing!"
define( 'KORZEN_API_KEY', 'your API key' );

Zwei weitere Einstellungen:

• Modus. Monitor fragt und lässt alle durch, was auch immer die Antwort ist: Fang damit an und verfolge die Entscheidungen in deinem Dashboard. Block wendet die action der Antwort an, die allow bleibt, bis du den Block-Modus auch auf der Seite Set-up einschaltest (siehe Monitor- und Block-Modus).
• IP des Besuchers. Hinter einem Load Balancer, einem Proxy oder Cloudflare scheint jeder Besucher von dort zu kommen. Wähle den letzten Eintrag von X-Forwarded-For hinter deinem eigenen Load Balancer oder Proxy, oder CF-Connecting-IP, wenn dein Server Traffic nur von Cloudflare annimmt; sonst lass die Verbindung.

Was es schützt

• Anmeldung: die Anmeldeseite und die Anmeldung unter Mein Konto in WooCommerce. Bot Protection wird gefragt, nachdem WordPress das Passwort geprüft hat, ob richtig oder falsch, sodass eine Ablehnung einem Bot nichts über das Passwort verrät. Anmeldungen von Apps über XML-RPC und die REST API werden nicht gefragt: Dort lief kein Tag.
• Registrierung: die Registrierungsseite von WordPress und die Registrierung unter Mein Konto in WooCommerce.
• Checkout: der klassische Checkout von WooCommerce und sein Block-Checkout.

Jede Aktion heißt in deinem Dashboard /login, /signup oder /checkout, welche Adressen deine Website auch hat.

Was ein Besucher sieht

Im Block-Modus bekommt ein Besucher, den Bot Protection blockiert, den üblichen Fehler des Formulars: Die Anfrage konnte nicht abgeschlossen werden, ohne Grund. Ein Besucher, bei dem es unsicher ist (challenge), bekommt einen Link zur Challenge-Seite, einer kurzen Prüfung, die ihn zum selben Formular zurückschickt; er sendet es erneut ab und macht weiter.

Was es sendet und speichert

Vor jeder geschützten Aktion sendet dein Server Bot Protection die IP-Adresse des Besuchers, den User-Agent, die Header, die der Aufruf aufführt, den _kz-Token des Tags, die Methode und den Namen der Aktion: nie das Passwort, die E-Mail oder die Bestellung. Das Plugin speichert nur seine Einstellungen, in einer WordPress-Option, und das Löschen des Plugins entfernt sie.