ARK. 1Słownik pojęćStrony WWW, WordPress i hosting

ModSecurity

Otwartoźródłowy WAF działający jako moduł serwera WWW (Apache, Nginx, LiteSpeed), który filtruje żądania HTTP według reguł (np. OWASP Core Rule Set lub reguł hostingu). Na hostingu współdzielonym to on najczęściej stoi za nagłym błędem 403 przy zapisie wpisu w WordPressie — rozwiązaniem jest wyjątek dla konkretnej reguły (ID z logu), a nie wyłączenie ochrony.

TAB. 1Nazwabez tłumaczenia

Po angielsku	ModSecurity
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	mod_security · mod_sec · Mod_Security
Odmiana	nazwa własna, zwykle nieodmieniana; bywa „reguły ModSecurity”, „w ModSecurity”

TAB. 3Źródła3

Forma	Cytat	Skąd
EN	„Zdecydowanie najpopularniejszym web application firewallem dostępnym na zasadach Wolnego Oprogramowania jest natomiast ModSecurity.”	opensecurity.pl
EN	„a w logach widzisz komunikat „ModSecurity: Access denied with code 403” oraz ID reguły , to masz potwierdzenie, że blokada pochodzi z WAF.”	seohost.pl
EN	„Możliwa przyczyna: WAF, ModSecurity, wtyczka security, nietypowa treść w formularzu, fragment kodu albo skrypt wklejony w edytorze.”	cyberfolks.pl

TAB. 4Obok w tej dziedzinie6

kopia zapasowa	backup	Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia.
limit prób logowania	login lockout	Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont).
mixed content	mixed content	Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie.
monitorowanie integralności plików	file integrity monitoring	Porównywanie plików strony z wzorcem — na przykład sumami kontrolnymi oficjalnego wydania WordPressa — w celu wykrycia plików zmodyfikowanych lub dodanych przez napastnika.
nagłówki bezpieczeństwa HTTP	HTTP security headers	Nagłówki odpowiedzi serwera (m.in. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy), którymi strona instruuje przeglądarkę, jak ma ograniczyć ryzykowne zachowania.
niezabezpieczony endpoint REST API	REST API abuse	Wykorzystanie publicznie wystawionego endpointu REST API WordPressa lub wtyczki do pobrania danych albo wywołania akcji bez wymaganego uwierzytelnienia i autoryzacji — typowo dlatego, że kod rejestrujący trasę nie sprawdza uprawnień w permission_callback (albo zwraca w nim stałe true).

Cały słownik →