如何使用 Cloudflare WAF 保障 WordPress 课程平台安全

LMS 站点需要保护的东西可不只是页面和文章。它还处理学习者账户、课程进度、测验、付款以及其他敏感数据，因此很容易成为攻击目标。

挑战在于，你无法始终分辨哪些访客是合法用户，哪些是在寻找入侵途径。Web Application Firewall（WAF，Web 应用防火墙）可以在这方面提供帮助。 

它充当你的站点与互联网之间的安全层，通过分析传入流量，在可疑请求到达你的 WordPress 站点之前将其阻止。Cloudflare WAF 是最流行的选项之一。但它究竟能防御什么，又能如何帮助保护 WordPress 课程平台？

让我们仔细看看 Cloudflare WAF 的工作原理，以及你可以如何利用它保护课程站点。

什么是 Cloudflare WAF

简而言之，Cloudflare WAF 基本上就是一个 Web 应用防火墙。它在边缘节点检查 HTTP/S 请求，使用托管规则和自定义规则，在恶意载荷危及你的应用之前将其识别并拦截。 

它会分析每个请求，并决定允许、阻止还是发起质询，以验证请求并非来自机器人。这发生在请求到达托管 WordPress 的源服务器之前。恶意请求会在 Cloudflare 处被拦截，因此你的服务器无需处理这些请求。

Cloudflare WAF 如何保护课程站点

Cloudflare WAF 防火墙会在每位访客到达你的网站之前进行检查。它会审查每个传入请求，并决定放行、阻止还是发起质询，以证明请求并非来自机器人。

Cloudflare 在网络层面执行这项检查，完全早于 WordPress。这里主要发挥核心作用的有两项：

• 托管规则集：每个接入 Cloudflare 的站点都会自动获得一套免费规则集，用于捕捉常见攻击模式，例如 SQL 注入尝试和已知漏洞利用特征；随着新威胁出现，规则集会自动更新。
• 速率限制：：现在每个 Cloudflare 套餐都提供速率限制功能，包括免费套餐。它会减慢或阻止反复访问同一页面的请求，这在登录和结账表单中尤其重要。

今年早些时候，这一机制就在一次实际情况中发挥了作用。一个严重的 WordPress 漏洞被披露，其危害程度足以让攻击者无需登录便可在受影响站点上执行代码。Cloudflare 在数小时内上线了防火墙规则，在官方 WordPress 补丁逐步发布期间保护了每个接入的站点。没有部署 WAF 的站点则只能等待。

这是对课程平台最重要的部分。你的登录页面、注册表单和结账页面正是机器人攻击的目标，因为这些页面提供了值得攻击的内容，例如账户访问权限或付款数据。 

这一切并不能让你的站点变得与众不同。你和其他数千个运行登录和支付功能的 WordPress 站点一样，都在遭受相同的通用自动化攻击。

Tutor LMS 的原生安全功能

Cloudflare WAF 会在流量到达课程站点之前将其拦截。接下来，Tutor LMS 会接手处理用户实际登录并使用平台之后的情况。这里已经具备许多强大的保护措施；在叠加其他安全措施之前，值得先了解现有保护覆盖了哪些内容。

• 双因素身份验证（2FA）：每个密码之后都会增加一道验证步骤，因此仅窃取登录凭据不足以登录系统。学生和教师需要通过电子邮件或其他方式进行确认，然后才能获得访问权限。
• 欺诈防护：可使用蜜罐字段和 Google reCAPTCHA 选项来保护 Tutor LMS 登录表单、注册表单以及标准的 WordPress 登录功能，其设计目的是拦截自动化登录尝试。
• 活跃会话限制：你可以限制同一账户同时保持登录的设备数量，这既有助于提升安全性，也适用于学生之间共享账户的场景。
• 电子邮件验证：新学生必须确认真实的电子邮件地址，之后才能访问任何课程内容，从而将虚假注册排除在系统之外。
• 复制保护与盗链防护：利用复制保护和盗链防护功能，保护课程视频、课程单元、图片及其他电子学习内容。

这些功能与防火墙的职责并不重叠。Cloudflare WAF 决定谁首先可以访问你的网站，而 Tutor LMS 决定用户进入 WordPress 电子学习课程网站后可以执行哪些操作。电子学习平台确实需要两者共同提供安全保障。

通过 Ultimate Security 设置 Cloudflare WAF

Cloudflare 允许你通过其自身的控制面板管理 WAF 规则，但从 WordPress 进行设置可能更加便捷。Ultimate Security 会将你的 WordPress 网站与 Cloudflare 连接，让你无需在两个控制面板之间切换即可配置 WAF 规则。

1. 启用 WAF

首先，在 Ultimate Security 设置中打开 WAF 设置并启用 WAF 规则。这将激活规则设置和 WAF 规则选项。

2. 连接你的 Cloudflare 账户

下一步是连接你的 Cloudflare 账户。你可以根据管理 Cloudflare 凭据的偏好，选择一种可用的身份验证方式。

连接选项包括：

• API 令牌：在 Cloudflare 中创建 API 令牌，并将其输入设置界面。这可为连接提供管理 WAF 规则所需的访问权限。
• Global API Key：使用你的 Cloudflare 账户电子邮件和 Global API Key 连接账户。此选项使用你现有的 Cloudflare API 凭据。
• OAuth：通过 OAuth 连接你的 Cloudflare 账户，无需手动输入 API 凭据。你只需授权连接并允许所需的访问权限。

输入所需详细信息后，请验证连接。如果你的 Cloudflare 账户中有多个网站，还需要选择正确的区域（zone）。区域代表你要保护的网站。

3. 配置 WAF 规则

连接 Cloudflare 后，选择适合你网站的 WAF 规则。你不必启用每个选项。可以先从想要控制的流量类型入手，再根据网站需求调整设置。

可用规则：

• 允许受信任的机器人，例如搜索引擎、监控服务及其他合法工具。
• 阻止攻击性强的爬虫和可疑的 WordPress 路径，因为它们可能占用额外资源或针对敏感文件。
• 阻止或质询来自网络托管服务提供商和 TOR 网络的流量。
• 当这些控制措施适合你的受众时，对来自大型云服务商或指定国家的流量发起质询。
• 对 VPN 流量发起质询，并保护 WordPress 登录页面免受自动化登录尝试。

建议先配置可信机器人。这些规则可让你所需的服务（如搜索引擎和监控工具）在应用其他 WAF 规则之前访问网站。

4. 部署前检查规则

在激活规则之前，使用 预览规则检查将创建的内容。预览会显示规则表达式以及为每条规则指定的操作，例如 跳过、阻止或 托管质询。

5. 选择 Cloudflare 区域

如果你通过同一个 Cloudflare 账户管理多个网站，请从区域选择器中选择要保护的域名。部署 WAF 设置前请先保存。部署将使用已保存的配置为该区域创建规则。

6. 部署规则

检查设置后，点击部署规则。这会将已保存的 WAF 配置发送到 Cloudflare，并激活规则。部署仅管理通过插件创建的规则。你单独创建的其他 Cloudflare 规则仍将保留。如果之后需要移除这些规则，可以使用移除插件规则。

检查活动规则

部署后，检查实时规则部分。选择 Cloudflare 区域并点击加载规则，查看 Cloudflare 上当前处于活动状态的规则。你还可以使用 WAF 分析功能，查看过去 24 小时、7 天或 30 天等时段内的流量和安全活动。 

任何希望完整演练整个设置流程的人，都可以在此查看完整指南：Cloudflare WAF 设置文档。

总结

用于 WordPress 课程站点的 Cloudflare WAF 会在流量接触 WordPress 之前对其进行处理。Ultimate Security 让你可以直接从仪表板管理该防火墙，连接 Cloudflare，让你无需离开 WordPress 即可配置、预览和部署规则。

一旦用户进入平台，Tutor LMS 就会处理登录和内容体验，从双因素身份验证到内容保护。将两者结合后，课程平台就能真正获得全面保护，而不是仅依赖某一层承担所有工作。两者不会相互取代，而且各自单独设置起来都不复杂。