В своем блоге я рассказываю об уязвимостях WordPress. Для устранения каждой требуется новая функция в functions.php или даже отдельный плагин. Из-за этого повышается нагрузка на сервер, забивается диск и сайт начинает медленнее работать. Экологичная замена – утилита Clearfy PRO, замещающая более 50 дополнений. Разбираемся, действительно ли она нужна.
Купить плагин
Первый запуск плагина
После установки Clearfy PRO в сайдбаре отобразится новый виджет, отвечающий за открытие панели управления этим модулем. После клика на него откроется раздел “Основные” и плитка кнопок с пресетами параметров:
Среднему пользователю рекомендую “Только рекомендованные” – это исправит фатальные ошибки и повысит безопасность и скорость загрузки, но экспериментальные функции, что могут сломать сайт останутся выключенными.
В самой вкладке нет опций: только поле ввода лицензионного ключа, связь с поддержкой и импорт/экспорт используемого конфига. Также советую прочитать описание в самом начале панели.
Код
На мой взгляд самый полезный виджет. Его задача – чистка кода от неиспользуемых команд и ссылок на внешние файлы, замедляющих скорость загрузки страниц и нагружающих сервер. Всего 11 опций:
- Удаление JSON Rest API – АПИ для создания приложений на базе блога. Зачастую этот метод не используется вебмастерами, но оставляет дыру для получения доступа к админке хакером.
- Эмоджи – неиспользуемые смайлики. Работая в фоновом режиме они нагружают документ и хостинг.
- DNS Prefetch – мусорный блок кода, подключающий библиотеки сервиса Google Fonts.
- jQuery-migrate.min.js – скрипт, поддерживающий устаревшие модули, неработающие на новых версиях WordPress. Включайте только если уверены, что у вас нет таких.
- RSD link – устаревшая функция, упрощающая подключение по xml протоколу (использовался в двухтысячные годы при плохом подключении к интернету).
- WLWManifest – поддержка уже закрытой программы Windows Live Writer, использовавшейся для работы в админке из автономного приложения. Сейчас Microsoft прекратили ее поддержку и больше она не выпускается в стандартном пакете Office.
- Короткая ссылка /?p= – полный дубль страницы, прописанный в исходнике и индексируемый обходящими роботами.
- Предыдущая и следующая запись – перелинковка “по умолчанию”. Введена для обычных пользователей, не умеющих работать с кодом. Ставится в конце каждой записи, но пользы от нее нет.
- Стили древовидных обсуждений – дополнительная вставка .recentcomments. Она создает дубли, увеличивает вес документа и через нее хакеры могут взломать аккаунт администратора.
- Вставка фрагмента – два поля: для отдельной вставки в тело (<body>) и шапку (<head>). Упрощенное проставление метрик, трекеров рекламных сетей и мелких проверок.
- Минификация HTML – удобный метод очищения от пустот: сносок, табуляции, ненужных переносов. При этом JS и комментарии не сжимаются, чтобы установленные счетчики, реклама и дополнения не перестали работать.
В этой части Clearfy PRO исправляется только два недочета: частично безопасность и полностью техническая часть, то есть недочеты в системных файлах. Такие изменения никак не отразятся на дизайне или пользовательском взаимодействии, но повысят баллы Google PageSpeed и оценку поисковых ботов и снизят нагрузку на веб-хостинг.
Оптимизация
Для направленного SEO в Clearfy PRO заготовлен другой раздел. Он больше и регулирует не только работу сервера, но и исправляет ошибки самого популярного СЕО плагина Yoast. Всего есть 14 опций:
- Создание Last Modified – отсутствующий в WP HTTP ответ. При обращении клиента или робота к серверу по GET запросы [через урл] отдает информацию о дате последнего обновления документа. Исходя из этого браузер решает – стоит обновлять кэш или нет.
- If-Modified-Since – практически идентичный предыдущему заголовок, с тем отличием, что этот сообщает не день изменения, а наличие нового контента.
- Простановка alt – когда блог ведут несколько копирайтеров или растет число пользователей, добавляющих изображения, часто альтернативного текста нет, из-за чего теряется часть тематического трафика. Clearfy PRO автоматически проставляет альт, привлекая новых посетителей из поиска по фото.
- Закрытие исходящих пользовательских ссылок – для скрытия из комментария не подойдут атрибуты noindex и nofollow или внутренний редирект. Более эффективным будет заворачивание в JS: так поисковый робот будет видеть не тег <a>, а скрипт.
- Запрет на индексацию навигации – пагинация для робота абсолютно бесполезна и неуникальна. Она состоит из скопированного с других постов текста и ссылок. Поэтому при попадании ее в индекс общие позиции ресурса снижаются.
- Генерация robots.txt – версия robots по умолчанию не соответствует рекомендациям ПС и требованиям ресурса. Clearfy PRO ее дополняет, закрывая все уязвимости и дубли.
- Защищенный протокол – после выпуска SSL активируйте чекбокс и появится редирект на HTTPS.
Следующий блок – исправление ошибок плагина Yoast SEO:
- Дублирование названия и замена на titile– изначально утилита выводит в хлебных крошках копию H1. Два заголовка на одной странице вредят продвижению, поэтому дубль отключают, но Clearfy PRO предлагает заменить на titie.
- Правка sitemap.xml – расширение выводит тег <image:image> в карте сайта, который не понимает бот Яндекса, создавая оповещение об ошибке.
- Удаление комментария – дополнительная строчка в шапке, через которую злоумышленники узнают редакцию Yoast и подбирают эксплойт. Также увеличивает вес документа.
- Canonical для пагинации – смена канонического адреса с навигации на главную или рубрику. Не дает индексировать мусор.
- Application ld+JSON – автоматическая бесполезная разметка, которую не поддерживает ни один поисковик.
Дубли
Следующее в настройке самого мощного плагина для WordPress – чистка дублирующихся страниц. Такие разделы нужно удалять, обычного закрытия в robots.txt или атрибутов не хватит (за исключением пагинации). Плагин чистит только сгенерированные ВордПрессом элементы.
- Таксономии с сортировкой по дате создания – рассортированные по дню, месяцу и году публикации записи. Clearfy PRO удаляет их.
- Пагинации пользователей – при наполнении несколькими авторами полезное разделение. Если проект ведется одним человеком – лучше удалить и исправить “уязвимость нулевого автора”: логин админа будет виден при запросе самого первого (с нулевым айди) юзера.
- Архивы меток – теги используются редко и часто отключаются, но даже если вы их используете – такие копии не нужны. Используйте вместо них категории (рубрики), отсортированным по темам.
- Вложения – по умолчанию для каждого медиа создается отдельная индексируемая страница. Они не несут никакой ценности и уникального контента, но размножаются тысячами.
- Образованные nextpage – разбивка поста на части используется редко; в основном сторителлерами. На коммерческих и инфосайтах такое разделение испортит СЕО. При этом неиспользуемая опция также создает дубли (добавьте /1/ к неоптимизированному адресу).
- В комментариях – кнопка “Ответить” создает древовидную систему комментов, добавляя к каждому урлу приписку ?replytocom=, обходимую отдельно. Решение: поставить редирект на основной пост.
Здесь активируйте все чекбоксы. Они никак не повлияют на юзабилити, но значительно поднимут позиции.
Безопасность
Самый интересный модуль. Повышает безопасность, закрывая дыры для перебора паролей, внедрения эксплойтов и DDoS (DoS) атак.
- Спрятать wp-login.php – замена адреса входа в админку. Советую использовать сгенерированные варианты (случайные комбинации цифр и букв). Перед сменой URL скопируйте в буфер логин и пароль – автоматически подставлены на новом линке они не будут.
- Уязвимость нулевого автора – метод злоумышленников пробива ника администратора: при переходе на site.ru/?author=1 происходит редирект на страницу первого автора, где указан логин для входа в админку.
- Перебор ошибок – изначально WordPress при неудачной попытке авторизации показывает что из связки неправильно: логин или пароль. Клиарфай меняет выводимый фрагмент так, что определить это невозможно.
- DDoS через Pingback – пингбэком (или трэкбэком) называется запрос к файлу xmlrpc.php. Механизм работы этой функции схож с социальной сетью: при каждом упоминании вашего блога сервер получает уведомление. Злоумышленники начинают спамить ей, чтобы уронить хостинг.
- Защита от брутфорса – ограничение попыток входа по неверным данным на определенное время (например, после 5 неправильных вводов – бан на 15 минут, после еще 3 – на день), белый список (не распространяется ограничение) и черный (не смогут получить доступ к админ-панели).
- Genetrator – очищение мета-тега, сообщающего установленное обновление WP. Самая главная уязвимость – существуют порталы, на которых опубликованы пособия по взломам устаревших движков. Если обнаружится, что вы не обновляли систему – вас взломают.
- Версии скриптов и стилей – в расширениях тоже обнаруживаются уязвимости, которыми можно воспользоваться для взлома. Опознается версия установленного софта в основном через сноски в <head>. Clearfy PRO удаляет их.
Советую изучить журнал неудачных попыток входа (сделать это можно в логах хостинга) и занести самые часты IP (кроме вашего, конечно же) в черный список. Это снизит нагрузку и исключит взлом через перебор.
Модули
Здесь находятся мелкие правки, заменяющие установку отдельных плагинов. Это снижает нагрузку на сервер и не дает образовываться новым уязвимостям.
- Транслит – кириллические названия запишутся латиницей: еда.jpg преобразуется в eda.jpg. Это повысит позиции в поиске по картинкам и облегчит распространение URL: он не будет конвертироваться в Punycode.
- Отключение комментирования – помимо качественного фидбека читателей в блог поступает много спамных комментариев, а в некоторых категориях поле для комментирования вовсе не нужно. Clearfy PRO отключает эту функцию на трех типах записей: посты, страницы и медиафайлы. Последняя галочка желательна, две другие – на ваш выбор.
- Блокировка XML-RPC и Rest API – две возможности писать под публикациями из автономных программ. Рекомендую отключать если у вас нет своего ПО на базе сайта.
- Чистка бара – удаляется иконка обсуждений из меню, сайдбара, рсс-лент, виджетов.
- URL оригинала – при копировании контента добавляется кастомный текст со ссылкой на вашу статью. Так ваш ресурс сможет получить новые органические ссылки с форумов и сторонних проектов, крадущих ваши статьи. Рекомендую в любом случае включить, вреда не наносит.
- Выключение выделения и копирования – еще один метод борьбы с кражами. Клиарфай запрещает выделять (ЛКМ) и копировать (ПКМ) на странице.
- Отключение хоткеев – отключаются горячие клавиши (Ctrl+C, Ctrl+A, Ctrl+U и пр.)
- Оповещение о сборе Cookie – важное уведомление для сайтов с трафиком из стран Евросоюза (согласно GDPR) и США. Можно настроить текст сообщения, кнопки и стилистику (позицию, палитру и пр.)
- Скрытые посты – точечная отмена вывода записи на главной, в архивах или поиске. Полезно для служебных документов.
- Удаление базовой карты сайта – появившийся в редакции WordPress 5.5 сайтмап не так полезен и функционален, как генерируемый сторонними SEO утилитами.
- Отключение вывода юзеров – изначально в sitemap выводятся ссылки на все профили пользователей. Пользы от этого нет, а вот спарсить логины или получить перегрузку ботами можно.
Постарайтесь активировать все безопасные пункты. Это даст вашему сайту преимущество перед конкурентами в юзабилити и выдаче.
Дополнительно
Похожая на предыдущую вкладка. Задача – облегчение работы и удаление ненужного визуала.
- Отключение Gutenberg – переход на старую версию нотпада. Гутенберг многие не любят, считая его неудобным, медленным и недоработанным, поэтому устанавливают утилиты для перехода на устаревший интерфейс.
- Ускорение для PS – если в Google PageSpeed есть пункт про пассивные прослушиватели. Эта функция добавит passive для прослушивателей прокрутки и touch-действий.
- Удаление RSS – самый старый и популярный метод копипаста. Обязательно отключайте, иначе индексируемым источником будет не ваша статья, а АГС.
- Поле “Сайт” – ненужная плашка в комментариях, в которой оставляют спамные линки. Ведет к утеканию ссылочной массы и пессимизации. В основном используется спамерами. В первую очередь рекомендую отключать на коммерческих и корпоративных (официальных) проектах.
- Ненужный элемент – удаляется раздел из админ-бара, ведущий на главную ВордПресса.
- Граватары – подключаемая внешняя библиотека аватарок. Лучше их отключить и, при желании, заменить на фиксированные.
- Удаление панели инструментов – для всех авторизованных юзеров сверху отображается админ-бар, правда никакого функционала для обычного пользователя кроме кнопки “Главная” там нет.
- Спам уведомлениями – отключает ежедневную рассылку писем на почту про обновление плагинов.
- Удаление виджетов – неиспользуемые “Календарь”, “Облако меток” и “Страницы” (заменяется более экологичным “Меню”) удаляются.
- Ревизии – полные копии статьи, появляющиеся при сохранении (Ctrl + S) и сохраняемые в базу данных. Не стоит выключать их полностью – ограничьте, к примеру, до 3 или 5 штук.
На этом функционал, изменяющий что-либо в работе сайта кончается. Еще раз пройдите в самой панельке и проверьте все пункты. При некорректной работе чего-либо – откатите изменения.
Менеджер перенаправлений
Удобная консоль для создания внутренних вечных 301 редиректов. Чтобы создать переадресацию:
- В первое поле введите адрес (донор) откуда перенаправлять.
- Во второе – куда (акцептор).
Заменить любое количество символов можно звездочкой (*). Для создания новых пар воспользуйтесь либо решеткой в самом начале строки, либо плюсиком чуть ниже первого отсека.
Лог 404 ответов
Опциональный раздел. Содержит данные о последних отдачах 404 ошибки – материал не найден.
Проанализируйте их: при попытке запроса доступа к закрытым (системным) или несуществующим файлам из части программной, лучше внесите в черный список (в разделе “Модули”) IP ботов или в файле .htaccess создайте бан по маске, предварительно внеся свой айпи в белый список используемого метода.
Скидка на плагин
Скачать Clearfy PRO Nulled
Клиарфай – платный плагин, пользоваться которым можно один раз заплатив за лицензию. При этом на форумах распространяются бесплатно нуленные версии. Использовать их не стоит:
- Вы лишаетесь технической поддержки – если что-то случится и утилита перестанет работать, то помощи от команды WPShop вы не получите.
- Нарушаете законодательство – разработчики отправят абузу вашему хостеру за нелегальное использование их продукта и вы будете отключены.
- Лишаетесь обновлений – с каждым новым релизом добавляется функционал, закрываются дыры. Free версии так и остаются необновленные и рискуют получить вирусы.
- Взлом – часто люди, распространяющие пиратский софт вшивают в него бэкдоры, через которые после прихода первых посетителей проставляют вредоносные ссылки, скрывая их от главного админа, ставят рекламу и крадут контент.
Советую приобрести лицензионный ключ: стоит недорого, а времени, нервов и сил сэкономит много.
Итоги. Мой опыт использования и отзыв
Я приобрел расширенную лицензию с неограниченным количеством доменов в феврале. За это время на Clearfy PRO я запустил 27 проектов, из которых 23 вышли на отметку 250+ человек в сутки, хотя до покупки таких результатов добивалось максимум 5 ресурсов из 30. Однозначно рекомендую.
