A Wordfence a WordPress egyik legismertebb biztonsági bővítménye: webes tűzfalat, kártevőkeresőt, belépésvédelmet és forgalomfigyelést ad. Nem minden webhelynek van rá szüksége, és osztott tárhelyen van ára. Az alábbiakban azt írjuk le, mikor éri meg, és mire figyeljen, ha telepíti.

Az adatokat 2026 októberében a Wordfence 9.0.2-es verziójának ingyenes licencével mértük egy aWh cPanel tárhely tesztfiókon, a WordPress 7.1 mellett, tartalom nélküli webhelyen. A keresést, a tűzfal bekapcsolását és az eltávolítást is végigpróbáltuk.

Szüksége van rá?

A kérdés az, mi fut már a tárhelyén.

Védelem	cPanel tárhelyen alapból	A Wordfence hozzáadja?
Kártevőkeresés a fájlokban	ImunifyAV+ a szerveren (ha talál valamit)	Igen, a WordPress saját fájljaihoz is hasonlítja
Sebezhető bővítmények jelzése	WP Toolkit	Igen
Biztonsági beállítások	WP Toolkit	Részben
Jelszópróbálgatás korlátozása	Szerveroldali védelem	Igen, WordPress-szinten
Kétlépcsős belépés	Nincs	Igen (Login Security)
Webes tűzfal a WordPress előtt	Nincs	Igen

Egy egyszerű, frissen tartott webhelynek cPanel tárhelyen többnyire elég, amit a szerver ad, kiegészítve az alapvető biztonsági beállításokkal és egy kisebb, csak kétlépcsős belépést adó bővítménnyel. A Wordfence akkor éri meg, ha webes tűzfalat szeretne a WordPress elé, például webáruháznál vagy tagsági oldalnál, sok felhasználóval, vagy ha saját maga szeretné látni, milyen támadások érik a webhelyet. A WP Toolkit csak cPanel tárhelyen érhető el, ezért webtárhelyen a sebezhető bővítmények jelzése és a WordPress-szintű védelem miatt többet adhat egy biztonsági bővítmény.

Ha Cloudflare vagy más proxy van a webhely előtt, az ottani tűzfalszabályok egy része kiváltja a Wordfence tűzfalát, és a terhelés sem a tárhelyen keletkezik.

Telepítés

1. Az admin felületen válassza a Bővítmények › Bővítmény hozzáadása pontot, keressen rá a Wordfence-re, telepítse és kapcsolja be. A WP Toolkitből vagy parancssorból is megteheti: wp plugin install wordfence --activate.
2. A bővítmény a bekapcsolás után ezt írja ki: You must install a license to continue using Wordfence. Az ingyenes használathoz is regisztráció kell. A RESUME INSTALLATION, majd a GET YOUR WORDFENCE LICENSE gombbal a Wordfence oldalán kérhet licencet.
3. A kapott kulcsot az Install an existing license linkre kattintva adja meg: az Email mezőbe a riasztások címzettje kerül, a License Key mezőbe a kulcs, majd kattintson az INSTALL LICENSE gombra. A sikeres telepítést a Free License Installed üzenet jelzi. A Wordfence kéri, hogy minden telepítés saját kulcsot kapjon.
4. Olyan e-mail címet adjon meg, amelyet rendszeresen olvas, mert a bővítmény ide küldi a riasztásokat.

A bővítmény menüje a bal oldali sávban jelenik meg, angolul: Dashboard, Firewall, Scan, Tools, Audit Log, Login Security, All Options, Help.

Az első keresés

A Scan oldalon a START NEW SCAN gomb indítja a keresést. Tartalom nélküli tesztwebhelyünkön 4433 fájlt, 3 bővítményt, 3 sablont és 414 címet 21 másodperc alatt nézett át. Egyetlen, alacsony súlyosságú találata az volt, hogy a beállítások miatt két útvonalat kihagyott a kártevőkeresésből, ez nem jelent fertőzést. Egy sok képet és bővítményt tartalmazó webhelyen a keresés jóval tovább tart.

Az ingyenes változatban a kártevő-minták 30 napos késéssel frissülnek (Signature updates delayed by 30 days), a valós idejű IP-tiltólista és a hírnév-ellenőrzések (Spamvertising Checks, Spam Check, Blocklist Check) pedig nem érhetők el.

A tűzfal bekapcsolása

A tűzfal Learning Mode (tanuló) módban indul, tesztünkben hét napra beállítva. Ez idő alatt csak figyel, hogy a webhely normál forgalmát megismerje, és nem blokkol: tesztünkben a támadásminták is átmentek. A hét végéig járja be a webhely fontos funkcióit, a belépést, az űrlapokat és a pénztárt. Ezután a Firewall oldal beállításaiban váltson Enabled and Protecting módra, ha az automatikus váltás nincs bekapcsolva.

Az alapértelmezett Basic WordPress Protection szint csak a WordPress betöltésekor kezd dolgozni. Az erősebb Extended Protection módot az Optimize the Wordfence Firewall gombbal kapcsolhatja be:

1. A varázsló felismeri a szervert; az aWh cPanel szerverén a LiteSpeed/lsapi volt előre kiválasztva, ezt hagyja meg.
2. Töltse le a két mentést a DOWNLOAD .HTACCESS és a DOWNLOAD .USER.INI gombbal. A CONTINUE gomb csak ezután aktív.
3. A sikeres beállítást az Installation Successful üzenet jelzi.

A varázsló a webhely gyökerébe létrehozza a wordfence-waf.php fájlt, és # Wordfence WAF blokkot ír a .htaccess és a .user.ini fájlba. Tesztünkben a tűzfal ezután 403-as hibával és az A potentially unsafe operation has been detected üzenettel utasította el a könyvtárbejárási és a szkriptbeillesztési mintákat, a normál kérések pedig átmentek. Egy egyszerű SQL-befecskendezési minta viszont átjutott, mert egyetlen szabályra sem illett, ezért a tűzfal nem pótolja a frissítéseket.

Amire figyelni kell Extended Protection mellett

Ezeket saját tesztünkben tapasztaltuk:

• Ne törölje a wordfence-waf.php fájlt. Ha a fájl hiányzik, de a beállítás még hivatkozik rá, a teljes webhely 500-as hibát ad. Ha ez történt, tegye vissza a fájlt, vagy törölje a # Wordfence WAF blokkot a .htaccess fájlból.
• A .htaccess visszaállítása csendben kikapcsolja a tűzfalat. Ha a fájlt alapállapotba állítja, a webhely hibátlanul működik tovább, de a tűzfal nem fut elég korán, ezért a varázslót újra le kell futtatnia.
• Költöztetés: a blokk a fájl teljes elérési útját tartalmazza. Költöztetés vagy mappaváltás előtt kapcsolja ki a REMOVE EXTENDED PROTECTION gombbal, utána a varázslóval kapcsolja vissza.

Mennyi erőforrást használ?

Mért adataink a tartalom nélküli tesztwebhelyről:

Mit mértünk	Eredmény
A kezdőlap első bájtjáig eltelt idő	Kikapcsolva kb. 0,10 mp, bekapcsolva kb. 0,15 mp, Extended Protection módban kb. 0,17 mp
A bővítmény mérete	22 MB
A wp-content/wflogs mappa	8,3 MB, már a bekapcsolás után
Új adatbázistáblák	26
Új ütemezett feladatok	Óránkénti és napi futások

Ez egy üres webhelyen nem sok, de a bővítmény minden kérésnél lefut, a teljes keresés pedig sok fájlt olvas. Osztott tárhelyen ez erőforrás-korlátba ütközhet és 508-as hibát okozhat. Ezért:

• Scan: az All Options oldal Performance Options részén kapcsolja be a Use low resource scanning beállítást. A keresés tovább tart, de kevésbé terheli a tárhelyet. A kereséseket kis forgalmú időszakra időzítse, ha van rá lehetősége.
• Live Traffic: hagyja a biztonsági eseményekre korlátozva. A teljes forgalom naplózása folyamatosan ír az adatbázisba, ezért csak rövid hibakeresésre kapcsolja be.
• Egy bővítmény elég: ne használjon egyszerre két tűzfalas biztonsági bővítményt, mert ütköznek, és duplán terhelik a tárhelyet.

Cloudflare mögött

Ha a webhely előtt Cloudflare van, és a Wordfence rosszul ismeri fel a látogató címét, a látogató helyett a proxy IP-címét láthatja, így egy tiltás minden látogatót kizárhat. Az All Options oldal How does Wordfence get IPs beállításában adja meg a megfelelő forrást, és ellenőrizze a saját IP-címét a Tools › Live Traffic oldalon.

Ha kizárta magát

Ha a Wordfence tiltja a saját IP-címét, vagy a tűzfala miatt nem tölt be az admin felület, a bővítmény mappájának átnevezésével kikapcsolhatja a Fájlkezelőben vagy FTP-n: wp-content/plugins/wordfence legyen például wordfence-ki. SSH-val: wp plugin deactivate wordfence. Ez után lásd a tűzfal IP-blokkolásáról szóló cikket, ha a szerver tűzfala is tiltja a címét.

Eltávolítás

A sima eltávolítás sok mindent ott hagy. Tesztünkben a bővítmény törlése után mind a 26 tábla, a 8,3 MB-os wflogs mappa és néhány beállítás is megmaradt. Ezért ebben a sorrendben haladjon:

1. Ha az Extended Protection módot használta, a tűzfal beállításainál kattintson a REMOVE EXTENDED PROTECTION gombra, töltse le a két mentést, és kattintson a CONTINUE gombra. A változás érvénybe lépése akár 5 percet is igénybe vehet, addig ne törölje a bővítményt.
2. Az All Options oldal General Wordfence Options részében kapcsolja be a Delete Wordfence tables and data on deactivation beállítást, és mentse el.
3. Kapcsolja ki, majd törölje a bővítményt.
4. Törölje a webhely gyökeréből a megmaradt wordfence-waf.php fájlt.

Így tesztünkben a wflogs mappa eltűnt, és a 26 táblából négy maradt: a wfls_ előtagú táblák a Login Security részhez tartoznak, és néhány beállítás is az adatbázisban marad. Ezek nem futnak, csak helyet foglalnak. A Login Security beállításai között a Delete Login Security tables and data on deactivation ezeket is törli, ezt nem próbáltuk ki; utólag a phpMyAdminban is törölhetők.

További WordPress-biztonsági lépéseket a gyakorlati ellenőrzőlistánkban talál.