Blokowanie IP & krajów, kontrola odwiedzających: konfiguracja i pomoc

Wykonaj kroki opisane w sekcji Szybki start.

Po instalacji modułu zbieranie danych, śledzenie gości, blokowanie odwiedzających i panele przy zamówieniach są włączone. Początkowy okres przechowywania wynosi 90 dni. Działanie Konfiguruj otwiera General Settings.

Zapisanie General Settings stosuje ustawienia zbierania danych, śledzenia gości, blokowania, paneli przy zamówieniach i przechowywania. Default Ban Message jest zapisywany dla każdego języka i używany, gdy pasująca reguła nie ma własnego komunikatu.

Ustaw Enable Data Collection lub Enable Visitor Banning na Nie i zapisz, aby zatrzymać odpowiednią funkcję. Wyłącz moduł w Menedżerze modułów, aby zatrzymać obie. Poszczególnymi wpisami blokad i białej listy zarządzaj na przeznaczonych do tego ekranach.

Angielski komunikat ustawiony podczas instalacji brzmi:

Your access to this website has been restricted. If you believe this is an error, please contact the store administrator.

Śledzenie systemu operacyjnego, przeglądarki, ekranu i surowego ciągu user-agent jest włączone podczas instalacji. Główny formularz dla sprzedawcy nie zawiera osobnych ustawień tych funkcji. Każdy zebrany rekord zawiera adres IP.

Otwórz IP Whitelist. Wpisz IP Address lub CIDR Range oraz Label, a następnie zapisz. Przykładowe wpisy:

IP Address: 203.0.113.10
Label: Office IP

CIDR Range: 198.51.100.0/24
Label: Agency VPN

Zastąp te adresy dokumentacyjne rzeczywistymi zaufanymi adresami. Dopasowanie do białej listy jest sprawdzane przed każdą kontrolą blokady. Adres z białej listy omija również blokady według kraju, user-agenta i klienta. Unikaj zakresów szerszych niż te, które zamierzasz dopuścić. Wpisy są sprawdzane dla bieżącego sklepu lub wszystkich sklepów, zależnie od ich zakresu.

Otwórz Visitor Bans i dodaj Ban Rule. Uzupełnij co najmniej jedno pole wskazujące cel blokady. Aby uzyskać przewidywalny test, używaj jednego celu na regułę: wiele pól celu oznacza alternatywne dopasowania, a nie wymóg spełnienia wszystkich warunków.

Dla wyrażeń regularnych user-agenta używaj /(curl|wget|python-requests)/. Mechanizm dopasowania rozpoznaje wyrażenie regularne tylko wtedy, gdy jego ostatnim znakiem jest /. Przykład kończący się na /i jest w tej wersji traktowany jako zwykły tekst. Dopasowanie zwykłego tekstu już nie rozróżnia wielkości liter. Odwiedzający może zmienić ciąg user-agent, więc nie potwierdza on tożsamości.

Wybór zakresu

Blokowanie działa przez actionDispatcher dla natywnych kontrolerów sklepu; żądania do frontowych kontrolerów modułów są pomijane. Przy blokowaniu o ograniczonym zakresie moduł odczytuje wartość controller żądania. Przetestuj trasy składania zamówienia i konta, zwłaszcza jeśli używasz niestandardowych kontrolerów. Dopasowanie dla całego sklepu jest sprawdzane przed węższym zakresem. Zmiana IP, np. przez połączenie VPN, może ominąć regułę opartą wyłącznie na IP, jeśli nowy adres nie jest objęty regułą.

Przykłady

Aby przetestować blokadę całego sklepu, wpisz adres testowy w IP Address, pozostaw Ban Type jako Full Block - Entire Store, wpisz wewnętrzny Reason i ustaw nieodległą datę wygaśnięcia w polu Expiry Date.

Dla podsieci blokowanej tylko podczas składania zamówienia użyj CIDR Range 192.168.1.0/24 i Ban Type Checkout Only. Dla reguły dotyczącej zalogowanego konta wpisz Customer ID 123, a pozostałe pola celu pozostaw puste. Zastąp przykładowe wartości zamierzonymi danymi testowymi.

Aby ustawić komunikat dla konkretnej reguły, wpisz:

<p>Your access to checkout is temporarily restricted. Please contact support if you believe this is an error.</p>

Importowanie reguł CSV

Użyj CSV Import > Import ban rules from CSV nad listą blokad, wybierz plik CSV i kliknij Import. Znaczenie kolumn zależy od ich pozycji:

ip_address,ban_type,reason
192.168.1.1,full,Fraud attempt
192.168.1.0/24,checkout,Suspicious checkout traffic
203.0.113.10,auth,Fake account attempts

Pierwszy wiersz może zawierać nagłówek ip_address lub ip. Adresy zawierające ukośnik trafiają do pola CIDR. Importowane wpisy są aktywne, bezterminowe i przypisane do bieżącego kontekstu sklepu. Nieobsługiwany typ blokady zmienia się na full; pusty adres jest pomijany. Importer nie weryfikuje kompleksowo formatów adresów. Sprawdź utworzone wpisy zamiast traktować liczbę zaimportowanych wpisów jako udany test blokowania.

Mechanizm zbierania danych jest dodawany przez displayHeader. Gdy DOM jest gotowy, czeka około 1,5 sekundy, a następnie wysyła żądanie pod wygenerowany URL zbierania danych z parametrami sw i sh pobranymi z wymiarów ekranu przeglądarki. Przy przyjaznych adresach URL odnośnik może wyglądać tak:

/module/mprvisitorcontrol/collect?sw=1920&sh=1080

Przeglądarka używa klucza pamięci sesji mprvc_collected, aby nie powtarzać żądania w tej samej sesji. Gdy pamięć jest niedostępna, zbieranie danych może się powtarzać. Zakończone żądanie HTTP ustawia znacznik w sesji przeglądarki także wtedy, gdy odpowiedź JSON zgłasza stan wyłączenia lub błąd. Podczas testów sprawdzaj rzeczywistą odpowiedź.

Serwer zapisuje IP, kraj, user-agent, system operacyjny, przeglądarkę i jej wersję, wymiary ekranu, typ urządzenia, identyfikator klienta, identyfikator gościa, identyfikator sklepu oraz datę rekordu. Logowanie i tworzenie konta również zbierają dane przez actionAuthentication i actionCustomerAccountAdd.

Zbieranie danych nie tworzy nowego rekordu dla tego samego klienta lub gościa i IP, jeśli istnieje rekord z ostatniej godziny. Może zaktualizować rozdzielczość ekranu w tym niedawnym rekordzie. Dane nie stanowią pełnego rejestru odsłon, a Visits zlicza zapisane rekordy zamiast wszystkich odsłon.

Wykrywanie kraju korzysta najpierw z nagłówka Cloudflare HTTP_CF_IPCOUNTRY, następnie z PrestaShop GeoIP, a na końcu z pliku cookie kraju. Kraj może być pusty. Wykrywanie IP sprawdza poprawność REMOTE_ADDR i akceptuje nagłówki Cloudflare z adresem IP klienta tylko przy bezpośrednim połączeniu z serwera Cloudflare. W przypadku innych odwrotnych serwerów proxy skonfiguruj serwer WWW tak, aby przywracał adres klienta w REMOTE_ADDR.

Panele klienta i zamówienia

Moduł wyświetla panele przez displayAdminCustomers i displayAdminOrder. Panel pojawia się tylko wtedy, gdy klient ma zapisany rekord. Pokazuje ostatni adres IP, kraj, przeglądarkę, system operacyjny, rozdzielczość ekranu, jeśli jest dostępna, typ urządzenia i datę rekordu. Strona zamówienia pokazuje ostatni rekord odwiedzin klienta, który nie musi odzwierciedlać stanu z chwili utworzenia zamówienia.

Jeśli zapisano wiele adresów IP, IP History pokazuje kraj, liczbę rekordów, pierwsze i ostatnie wystąpienie oraz działanie szybkiej blokady. Ostrzeżenia dotyczą współdzielonych IP, więcej niż trzech krajów, więcej niż trzech typów urządzeń i więcej niż dziesięciu różnych IP. Traktuj je jako wskazówki, a nie automatyczne blokady. Panele klienta i zamówienia są powiązane z kontami; rekordy dotyczące wyłącznie gości nie tworzą panelu klienta.

Do testu blokady użyj osobnego adresu testowego. Potwierdź, że pasująca strona zwraca HTTP 403 i wyświetla Access Restricted z komunikatem reguły lub komunikatem zastępczym. Dla reguł o ograniczonym zakresie potwierdź, że nieobjęta nimi strona pozostaje dostępna, a dezaktywacja przywraca dostęp.

Jeśli nie pojawiają się dane odwiedzających, sprawdź, czy moduł jest włączony, hook zbierania danych i żądanie są obecne, a punkt końcowy zwraca {"status":"ok"}. Użyj nowej sesji przeglądarki, jeśli znacznik sesji już istnieje. Uwzględnij jednogodzinną deduplikację po stronie serwera. Bardzo krótka wizyta może zakończyć się, zanim uruchomi się zbieranie danych ekranu.

Przed testowaniem zbierania danych, blokowania lub przechowywania potwierdź zapisane wartości w General Settings. Jeśli blokada nie pasuje, sprawdź Active, termin wygaśnięcia, sklep, pierwszeństwo białej listy, rzeczywiste IP, kraj i user-agent oraz wybrany zakres. Zakresy CIDR i zakresy z łącznikiem obsługują IPv4. Adresy IPv6 można dopasowywać pojedynczo według ich dokładnego zapisu tekstowego.

Pierwsze żądanie do sklepu po 24 godzinach uruchamia usuwanie rekordów starszych niż aktywny okres przechowywania, jeśli okres ten jest dodatni. Do tego codziennego czyszczenia nie konfigurujesz systemowego zadania cron. Bez żądań czyszczenie czeka do następnej wizyty.

Ustaw Enable Data Collection lub Enable Visitor Banning na Nie i zapisz, aby zatrzymać osobno zbieranie danych lub blokowanie. Wyłącz moduł w Menedżerze modułów, aby zatrzymać obie funkcje. Dla jednej reguły ustaw zamiast tego Active na Nie.

Użyj Odinstaluj w Menedżerze modułów, aby usunąć moduł. Odinstalowanie usuwa mprvc_info, mprvc_banned i mprvc_whitelist oraz współdzieloną konfigurację i wpisy menu tego modułu. Najpierw zachowaj kopię zapasową bazy danych, jeśli potrzebujesz historii odwiedzających, blokad lub danych białej listy.