WooCommerce: как установить автоматическое блокирование пользователей при подозрительной активности

Диагностика проблемы: почему нужно блокировать подозрительных пользователей

В интернет-магазинах на WooCommerce часто возникают ситуации, когда подозрительная активность пользователей может привести к мошенничеству, спаму или накруткам. Примеры подозрительной активности:

• Множественные неудачные попытки входа в аккаунт;
• Частые отмены заказов или возвраты;
• Необычные IP-адреса или смена устройств при входе;
• Массовая регистрация с похожими данными;
• Подозрительные изменения данных профиля.

Ручной контроль таких действий занимает много времени и неэффективен. Автоматизация блокировки позволит снижать риски и сохранять стабильность работы магазина.

Пошаговое решение: автоматическое блокирование пользователей

1. Отслеживание подозрительных событий

Для начала необходимо выбрать критерии для блокировки. Рассмотрим блокировку по количеству неудачных попыток входа, что является распространенным индикатором атаки.

2. Добавление кода для отслеживания попыток входа

Используем хук wp_login_failed для фиксации неудачных попыток. Сохраняем количество попыток в user meta.

function wpauth_track_failed_logins( $username ) {
    $user = get_user_by( 'login', $username );
    if ( ! $user ) {
        return;
    }
    $failed_attempts = (int) get_user_meta( $user->ID, 'failed_login_attempts', true );
    $failed_attempts++;
    update_user_meta( $user->ID, 'failed_login_attempts', $failed_attempts );

    if ( $failed_attempts >= 5 ) { // Порог блокировки
        update_user_meta( $user->ID, 'is_blocked', true );
    }
}
add_action( 'wp_login_failed', 'wpauth_track_failed_logins' );

3. Блокировка входа для заблокированных пользователей

Добавим проверку в хук authenticate, чтобы не позволять заблокированным пользователям войти.

function wpauth_block_login_if_blocked( $user, $username, $password ) {
    if ( is_wp_error( $user ) ) {
        return $user;
    }
    if ( ! $user instanceof WP_User ) {
        return $user;
    }
    $is_blocked = get_user_meta( $user->ID, 'is_blocked', true );
    if ( $is_blocked ) {
        return new WP_Error( 'blocked_user', __( 'Ваш аккаунт заблокирован из-за подозрительной активности. Обратитесь в поддержку.' ) );
    }
    return $user;
}
add_filter( 'authenticate', 'wpauth_block_login_if_blocked', 30, 3 );

4. Сброс блокировки и счетчика

Чтобы не блокировать навсегда, добавим сброс счетчика после успешного входа.

function wpauth_reset_failed_logins( $user_login, $user ) {
    delete_user_meta( $user->ID, 'failed_login_attempts' );
    delete_user_meta( $user->ID, 'is_blocked' );
}
add_action( 'wp_login', 'wpauth_reset_failed_logins', 10, 2 );

Проверка результата после внедрения

• Попробуйте ввести неверный пароль для существующего пользователя пять раз подряд. После пятой попытки при попытке входа появится сообщение о блокировке.
• Используйте правильный пароль, чтобы подтвердить, что после успешного входа блокировка и счетчик сбрасываются.
• Проверяйте user meta через phpMyAdmin или плагин User Meta Manager, чтобы убедиться, что ключи failed_login_attempts и is_blocked корректно обновляются.

Частые ошибки и как их исправить

• Ошибка: Пользователь не блокируется после нужного количества попыток.
  Причина: Возможно, хук wp_login_failed не срабатывает из-за кэширования или конфликтов с плагинами.
  Решение: Отключите кэширование на странице входа, проверьте другие плагины безопасности.
• Ошибка: Заблокированный пользователь может войти.
  Причина: Фильтр authenticate применяется слишком рано или поздно.
  Решение: Убедитесь, что приоритет 30 в add_filter выше, чем у других фильтров, и нет других плагинов, которые переписывают логику аутентификации.
• Ошибка: Пользователи блокируются при случайных ошибках.
  Причина: Слишком низкий порог попыток или отсутствие уведомления пользователя.
  Решение: Увеличьте порог, добавьте уведомления о блокировке и инструкции для разблокировки.

Практические советы по безопасности и производительности

• Для комплексной защиты используйте вместе с блокировкой попыток входа плагины, ограничивающие частоту запросов, например, Clearfy Pro, который поможет оптимизировать нагрузку и заблокировать ботов.
• Добавьте уведомления для администраторов о блокировках, чтобы своевременно реагировать.
• Храните логи попыток входа в отдельной таблице или используйте специализированные плагины для аудита безопасности.
• Не блокируйте пользователей навсегда — добавьте механизм разблокировки через время или по запросу поддержки.

Сравнение вариантов реализации