No WordPress você não escreve código de servidor: o plugin Korzen Bot Protection faz o trabalho da tag e da chamada. Ele carrega a tag nas suas páginas e na página de login, e pergunta ao Bot Protection antes de um login, de um cadastro (o do WordPress e o do WooCommerce) e de um checkout do WooCommerce, o clássico e o em blocos. Quando o Bot Protection está lento (mais de 200 ms), fora do ar ou responde algo inesperado, o visitante passa. Ele pede WordPress 6.5 e PHP 8.2 ou mais recentes.
Instalar
O plugin ainda não está no diretório do WordPress.org: escreva para nós pedindo o zip. No WordPress, abra Plugins > Adicionar novo plugin > Enviar plugin, escolha o zip e ative o plugin.
Configurações
Abra Configurações > Korzen Bot Protection e cole as duas chaves da página Set-up: a site key (YOUR_SITE_KEY), que a tag leva, e uma API key, que o seu servidor envia. Depois de salva, a API key nunca mais é mostrada. Para mantê-la fora do banco de dados, defina-a no wp-config.php e deixe o campo vazio:
// wp-config.php, above "That's all, stop editing!" define( 'KORZEN_API_KEY', 'your API key' );
Mais duas configurações:
- Modo. Monitor pergunta e deixa todos passarem, seja qual for a resposta: comece por ele e acompanhe as decisões no seu painel. Block aplica a
actionda resposta, que continuaallowaté você ligar o block mode também na página Set-up (veja monitor mode e block mode). - IP do visitante. Atrás de um load balancer, de um proxy ou da Cloudflare, todo visitante parece vir dele. Escolha a última entrada do X-Forwarded-For atrás do seu próprio load balancer ou proxy, ou CF-Connecting-IP quando o seu servidor recebe tráfego só da Cloudflare; senão, deixe a conexão.
O que ele protege
- Login: a página de login e o login de Minha conta do WooCommerce. O Bot Protection é consultado depois que o WordPress confere a senha, certa ou errada, então uma recusa não diz nada a um bot sobre a senha. Logins de apps, por XML-RPC e pela REST API, não são consultados: nenhuma tag rodou ali.
- Cadastro: a página de cadastro do WordPress e o cadastro de Minha conta do WooCommerce.
- Checkout: o checkout clássico do WooCommerce e o checkout em blocos.
Cada um aparece no seu painel como /login, /signup ou /checkout, sejam quais forem os endereços do seu site.
O que o visitante vê
No block mode, um visitante que o Bot Protection bloqueia recebe o erro de sempre do formulário, que diz que o pedido não pôde ser concluído, sem dizer por quê. Um visitante sobre o qual ele tem dúvida (challenge) recebe um link para a página de desafio, uma verificação curta que o devolve ao mesmo formulário; ele envia de novo e segue.
O que ele envia e guarda
Antes de cada ação protegida, o seu servidor envia ao Bot Protection o IP do visitante, o User-Agent, os headers que a chamada lista, o token _kz da tag, o método e o nome da ação: nunca a senha, o email ou o pedido. O plugin guarda só as suas configurações, numa opção do WordPress, e apagar o plugin as remove.