Turnstile στο WordPress: η ενεργοποίηση δεν αρκεί χωρίς έλεγχο API

Για να προστατεύσετε φόρμες WordPress με Cloudflare Turnstile, δημιουργήστε ένα widget, καταχωρίστε τα κλειδιά του σε συμβατό πρόσθετο, επιλέξτε τις φόρμες και ολοκληρώστε το «TEST API RESPONSE». Η οδηγία εγκατάστασης της Cloudflare απαιτεί και επικύρωση του token μέσω Siteverify στον διακομιστή: η εμφάνιση του widget στον επισκέπτη δεν ολοκληρώνει την προστασία.

Το τεστ στις ρυθμίσεις ελέγχει τη σύνδεση του πρόσθετου με την υπηρεσία. Για να βεβαιωθείτε ότι προστατεύεται η συγκεκριμένη φόρμα, δοκιμάστε επίσης μια κανονική υποβολή και, σε ελεγχόμενο περιβάλλον, μια υποβολή χωρίς έγκυρο token. Η δεύτερη πρέπει να απορρίπτεται πριν εκτελεστεί η ενέργεια της φόρμας.

Δημιουργήστε widget και φυλάξτε τα κλειδιά

Στον λογαριασμό Cloudflare δημιουργήστε ένα Turnstile widget και δηλώστε τα ονόματα τομέα στα οποία εμφανίζονται οι φόρμες. Ελέγξτε τη διεύθυνση που χρησιμοποιεί πράγματι ο επισκέπτης, ιδίως αν ο ιστότοπος λειτουργεί και με υποτομέα. Το Turnstile μπορεί να χρησιμοποιηθεί ακόμη και όταν η κίνηση του WordPress δεν περνά από το δίκτυο της Cloudflare.

Το widget δίνει ένα δημόσιο Site Key, που χρησιμοποιείται για την εμφάνισή του, και ένα ιδιωτικό Site Secret, που χρειάζεται για την επικύρωση στον διακομιστή. Αντιγράψτε τα από το ίδιο widget. Καταχωρίστε το secret μόνο στο πεδίο διαχείρισης που προορίζεται γι’ αυτό· μην το τοποθετήσετε στον κώδικα της σελίδας ή σε αίτημα που στέλνει ο φυλλομετρητής.

Αν υπάρχει χωριστή δοκιμαστική εγκατάσταση, χρησιμοποιήστε δικό της widget και κλειδιά. Έτσι οι δοκιμές γίνονται στο σωστό όνομα τομέα και δεν απαιτείται να μοιραστείτε το διαπιστευτήριο της παραγωγικής εγκατάστασης με το δοκιμαστικό περιβάλλον. Πριν συνεχίσετε, βεβαιωθείτε ότι τα κλειδιά που αντιγράψατε αντιστοιχούν στο widget του ιστότοπου που ρυθμίζετε.

Εγκαταστήστε το πρόσθετο και επιλέξτε τις πραγματικές φόρμες

Μια διαδρομή μέσα από τη διαχείριση του WordPress είναι το Simple CAPTCHA with Cloudflare Turnstile. Η καταχώριση του πρόσθετου στο WordPress.org περιγράφει τη διαδρομή «Settings > Cloudflare Turnstile», τα πεδία των κλειδιών, την επιλογή φορμών και το υποχρεωτικό «TEST API RESPONSE» μετά την αποθήκευση. Αναφέρει φόρμες σύνδεσης, εγγραφής και σχολίων του WordPress, καθώς και ενσωματώσεις με πρόσθετα φορμών και το WooCommerce.

1. Εγκαταστήστε και ενεργοποιήστε το πρόσθετο από τη διαχείριση του WordPress.
2. Ανοίξτε τις ρυθμίσεις Cloudflare Turnstile και συμπληρώστε το Site Key και το Site Secret στα αντίστοιχα πεδία.
3. Επιλέξτε κάθε τύπο φόρμας που θέλετε να προστατεύσετε και αποθηκεύστε τις αλλαγές.
4. Εκτελέστε το «TEST API RESPONSE» από τη σελίδα ρυθμίσεων και περιμένετε επιτυχή απόκριση.

Αν η σελίδα επικοινωνίας χρησιμοποιεί, για παράδειγμα, Contact Form 7, η επιλογή της φόρμας σχολίων δεν καλύπτει τη σελίδα επικοινωνίας. Αντίστοιχα, ελέγξτε χωριστά τη φόρμα σύνδεσης, την εγγραφή και το ταμείο, εφόσον χρησιμοποιούνται. Μια φόρμα σε αναδυόμενο παράθυρο ή μια προσαρμοσμένη φόρμα χρειάζεται ιδιαίτερη προσοχή: η ύπαρξή της στον ίδιο ιστότοπο δεν σημαίνει ότι έχει ενεργοποιηθεί η κατάλληλη ενσωμάτωση.

Ερμηνεύστε σωστά το «TEST API RESPONSE»

Εκτελέστε τη δοκιμή αφού αποθηκεύσετε τις επιλογές και τα κλειδιά. Αν αποτύχει, ελέγξτε πρώτα αν αντιγράψατε σωστά και τα δύο κλειδιά από το ίδιο widget και αν έχετε δηλώσει το κατάλληλο όνομα τομέα. Μην κρίνετε τη ρύθμιση από την εμφάνιση ενός widget σε κάποια σελίδα: η δοκιμή έχει δικό της αποτέλεσμα στη διαχείριση του πρόσθετου.

Η επιτυχής απόκριση δείχνει ότι ολοκληρώθηκε η δοκιμή που απαιτεί το πρόσθετο κατά τη ρύθμιση. Δεν αποτελεί δοκιμή όλων των διαδρομών υποβολής του ιστότοπου. Ανοίξτε λοιπόν κάθε επιλεγμένη φόρμα ως επισκέπτης και ελέγξτε ότι φορτώνει και υποβάλλεται κανονικά, με το αναμενόμενο αποτέλεσμα, όπως η καταχώριση ενός σχολίου ή η παραλαβή ενός δοκιμαστικού μηνύματος.

Αν έχετε ενεργοποιήσει εξαίρεση για συνδεδεμένους χρήστες ή συγκεκριμένες διευθύνσεις IP, κάντε τη δοκιμή με επισκέπτη στον οποίο εφαρμόζεται πράγματι ο έλεγχος. Εξετάστε επίσης τη ρύθμιση εφεδρικής λειτουργίας του πρόσθετου: μπορεί να επιτρέπει υποβολές όταν η Cloudflare δεν είναι διαθέσιμη. Αυτές οι επιλογές επηρεάζουν τον τρόπο με τον οποίο ερμηνεύεται μια επιτυχής υποβολή χωρίς πρόκληση.

Ελέγξτε την απόφαση του Siteverify σε πραγματική υποβολή

Στην υποβολή, ο φυλλομετρητής στέλνει το token μαζί με τα δεδομένα της φόρμας. Η τεκμηρίωση του Siteverify ορίζει ότι ο διακομιστής στέλνει το secret και το token στο API, ελέγχει την απάντηση «success» και ότι κάθε token ισχύει για πέντε λεπτά και επικυρώνεται μόνο μία φορά. Η ενέργεια της φόρμας πρέπει να εκτελείται αφού πετύχει αυτή η επικύρωση.

Σε δοκιμαστική εγκατάσταση, υποβάλετε πρώτα κάθε προστατευμένη φόρμα κανονικά και βεβαιωθείτε ότι ολοκληρώνεται η αναμενόμενη ενέργεια. Έπειτα στείλτε ελεγχόμενο αίτημα στην ίδια διαδρομή υποβολής χωρίς το πεδίο token, ή με μη έγκυρο token, και επιβεβαιώστε ότι δεν αποθηκεύεται σχόλιο, δεν αποστέλλεται μήνυμα και δεν ολοκληρώνεται η αντίστοιχη ενέργεια. Αυτός ο αρνητικός έλεγχος έχει ιδιαίτερη αξία όταν η φόρμα ή η επεξεργασία της έχει προσαρμοστεί.

Αν διαχειρίζεστε προσαρμοσμένο κώδικα, η φόρμα πρέπει να αντιμετωπίζει την απουσία token, την αποτυχημένη απόκριση και ένα σφάλμα επικοινωνίας με το API ως αποτυχία επικύρωσης, σύμφωνα με την πολιτική λειτουργίας που έχετε επιλέξει. Το secret παραμένει στον διακομιστή σε όλη τη διαδικασία. Όταν είναι διαθέσιμα αρχεία καταγραφής της εφαρμογής ή η προαιρετική καταγραφή του πρόσθετου, χρησιμοποιήστε τα για να συσχετίσετε τη δοκιμαστική υποβολή με την απόφαση επικύρωσης, χωρίς να καταγράφετε το secret.

Επαναλάβετε τον έλεγχο από τις πραγματικές σελίδες όπου ξεκινά κάθε υποβολή, συμπεριλαμβανομένων φορμών που ανοίγουν δυναμικά. Αν η φόρμα φορτώνει αλλά δεν ολοκληρώνεται, ελέγξτε αν το widget εμφανίζεται στη συγκεκριμένη διαδρομή και αν η καθυστέρηση φόρτωσης JavaScript επηρεάζει τη λειτουργία του. Αν η φόρμα δέχεται αίτημα χωρίς έγκυρη επαλήθευση, διορθώστε τη διαδρομή επικύρωσης πριν θεωρήσετε τη φόρμα προστατευμένη.

Διαβάστε επίσης:

• Ψηφιακή ταυτότητα στο Gov.gr Wallet: το Taxisnet μόνο του δεν αρκεί
• AI literacy στην επιχείρηση: ένα σεμινάριο για όλους δεν αρκεί
• Prompt injection σε AI agents: το φίλτρο μόνο του δεν αρκεί