RefiTune Eszköztár
WordPress finomhangoláshoz
Tedd gyorsabbá, biztonságosábbá weboldalad ingyenesen!
A RefiTune Toolkit bővítmény a WordPress-hez nyújt olyan hasznos funkciókat, amik segítségével gyorsabb, biztonságosabb és kényelmesebben használható lesz a honlapod. Mindezt egy bővítményben, 17 év fejlesztés tapasztalatát nyújtva.
Hasznos, egyszerű kiegészítések a WordPress-hez a mindennapi használathoz
Növeli a biztonságot, támadások ellen véd
Gyorsabbá teszi honlapod
Mellőzhetünk több apróbb bővítményt
17 év tapasztalát felhasználva készült
Bővítmény bemutatása
A RefiTune egy moduláris WordPress eszköztár, amely teljesítményoptimalizálási, biztonsági és adminisztrációs funkciókat egyesít egyetlen bővítményben. Segítségével számos gyakori feladathoz nincs szükség külön pluginokra, így egyszerűbbé válik a weboldal karbantartása.
A bővítmény olyan funkciókat kínál, mint a WordPress felesleges elemeinek eltávolítása, a Heartbeat API szabályozása, a kommentek vagy XML-RPC kikapcsolása, a bejelentkezési védelem, az SMTP beállítások kezelése, valamint a karbantartási mód és szerepkör alapú átirányítások.
A RefiTune minden funkciója külön kapcsolható, ezért csak azok a modulok futnak, amelyekre valóban szükség van. Ez ideális választássá teszi blogok, céges weboldalak, WooCommerce áruházak és fejlesztői projektek számára egyaránt.
- Szinte kizárólag gyakori funkciókat tartalmaz, amik erősen ajánlottak
- Több bővítmény mellőzhet, ezzel egyszerűsítve, gyorsítva honlapunk
- Teljesen moduláris, csak a használt funkciók lesznek aktívak
- Lightweight, könnyű felépítés jellemzi, jól strukturáltság
- Tartalmaz több mindennapi használathoz nélkülönözhetetlen funkciót
- Egyszerűen kezelhető, egyértelmű beállítási opciók
- Részletes Súgót tartalmaz beépítve, hogy segítségen
Az elmúlt közel 2 évtizednyi kódolás és WordPress fejlesztés során folyamatosan bővültek az apróbb „szükséges” funkciók, amiket ügyfeleimnek készült munkáimban használtam. Ezekből készítettem ezt a gyűjteményt, ami a leggyakoribb hasznos és ajánlott funkciókat tartalmazza. A cél egyszerű: legyen biztonságosabb, gyorsabb, kényelmesebben használható és minél kevesebb WordPress bővítményt tartalmazó WP honlapok. Remélem elnyeri a tetszéseteket és segít weboldalatoknál.
Funkciók listája, avagy 33 hasznos modul
Teljesítmény
- Fejléc optimalizálás – Eltávolítja a felesleges
wp_headelemeket a gyorsabb betöltés és tisztább kód érdekében. - Hírfolyam kezelés – Teljes kontroll az RSS és Atom hírfolyamok felett.
- Emoji kikapcsolása – Eltávolítja a WordPress emoji szkriptjeit és stílusait. Alig van rá szükség.
- jQuery Migrate kikapcsolása – Eltávolítja az elavult
jquery-migratekomponenst a gyorsabb működésért. - Bejegyzés-verziók korlátozása – Csökkentheted az adatbázis méretét a mentett verziók számának szabályozásával.
- Automatikus mentési időköz – Beállítható, milyen gyakran mentse automatikusan a WordPress a tartalmakat szerkesztés közben, pl. bejegyzéseknél.
- Lomtár automatikus ürítése – Meghatározható, mennyi ideig maradjanak a törölt elemek a lomtárban.
- Heartbeat API vezérlés – Finomhangolható vagy kikapcsolható a Heartbeat API az admin felületen, a weboldalon és a szerkesztőben.
- Query String verziók eltávolítása CSS/JS fájlokból – Eltávolítja a ?ver= query paramétert a CSS és JavaScript URL-ekből a frontend oldalakon.
- oEmbed letiltás – Kikapcsolható a külsős oldalak automatikus beágyazása.
Biztonság
- XML-RPC kikapcsolása – Teljesen letiltja az XML-RPC felületet.
- Trackback és Pingback kikapcsolása – Csökkenti a spam mennyiségét a trackback és pingback funkciók letiltásával. Ezek már alig használt funkciók.
- Fájlszerkesztő kikapcsolása – Elrejti a beépített téma- és bővítményszerkesztőt, picit növelve a biztonságot.
- Bejelentkezési hibaüzenetek elrejtése – Általános hibaüzeneteket jelenít meg a felhasználók védelme érdekében.
- Admin hozzáférés korlátozása – Meghatározható, mely szerepkörök férhetnek hozzá a
wp-adminfelülethez. - REST API korlátozások – Védelmet nyújt az érzékeny REST API végpontok számára.
- Bejelentkezési próbálkozások korlátozása – Segít megakadályozni a brute force támadásokat.
- Feltöltések ellenőrzése – Segít megvédeni a honlapunkat a veszélyes kódokat tartalmazó vagy rejtett fájltípúsú fájloktól.
- Automatikus frissítések kezelése – Beállítható milyen automatikus frissítések történjenek meg és milyen időközönként keressen az oldal frissítéseket.
Megjelenés
- Adminisztrációs sáv elrejtése – Szerepkörönként szabályozható az admin sáv megjelenítése.
- Blokkok láthatósága mobileszközön – Gutenberg blokkok megjelenítése vagy elrejtése mobilon és asztali gépen.
- Bejelentkezési oldal testreszabása – Egyedi logó és színek a WordPress bejelentkezési oldalán, egyszerűen, minimalista módon.
E-mail, levelezés
- E-mail értesítések kezelése – A WordPress rendszerértesítéseinek finomhangolása vagy kikapcsolása. Frissítések, hibejelzése külön email címre küldésre.
- E-mail küldés beállítása – Külső SMTP használata vagy az összes e-mail küldés letiltása, host és azonosítás megadással, SSL-el, biztonságosan.
Egyéb
- Hozzászólások kikapcsolása – Hozzászólások letiltása az egész webhelyen, WooCommerce értékelés külön kezelésével.
- Külső linkek új ablakban – A külső hivatkozások automatikus megnyitása új lapon a megfelelő
relattribútumokkal. - Oldalkivonatok engedélyezése – Kivonat mező hozzáadása az oldalakhoz is.
- SVG feltöltés – SVG fájlok feltöltésének engedélyezése beépített biztonsági szűréssel.
- AVIF feltöltés – Modern AVIF képformátum támogatása.
- Szerepkör alapú átirányítások – Egyedi átirányítások bejelentkezés és kijelentkezés után szerepkörök szerint.
- Karbantartási mód – A látogatók ideiglenes kizárása készítés alatt, frissítés vagy karbantartás idejére. Látogatók és SEO robotoknak egyaránt.
- Dinamikus év shortcode-ok – Az aktuális év vagy időtartam megjelenítése a
[refi-year]shortcode segítségével. Vagy dinamikusan jelenítheted meg a[refi-year from="2006"], hogy 2006 óta hány év telt el és kiírja számmal. - Fájlnév tisztítás feltöltéskor – A speciális karaktereket (pl. ékezeteket) eltávolítja a fájlnévből feltöltés során automatikusan.
WPCS (WP Code Standard)
PCP (WP Plugin Check Plugin)
ESLint
Gyorsít, egyszerűsít
A WordPress idővel egyre több felesleges kóddal, beállítással és háttérfolyamattal terheli a webhelyet — különösen akkor, ha sok bővítményt használsz, vagy gyakran tesztelsz és cserélsz. A felesleges wp_head elemek, emoji scriptek, túl sok post revision, lassú Heartbeat vagy felesleges REST API végpontok mind lassabbá és nehezebben karbantarthatóvá teszik az oldalt.
A RefiTune ezt oldja meg: 28 modulból álló eszköztár, amellyel egy helyen kapcsolhatod ki vagy finomhangolhatod a leggyakoribb teljesítmény- és biztonsági beállításokat, mindezt kódolás nélkül.
Egyszerű, könnyed felépítés
A RefiTune nem tartalmaz felesleges funkciókat, és nem próbál mindent egyszerre megoldani. Moduláris felépítésű: minden funkció külön kapcsolható, csak azt használod, amire szükséged van.
A kód átlátható, karbantartható, és ahol csak lehet, a WordPress core beépített mechanizmusaira épít: hookokra, beállításokra, szabványos admin felületre.
Könnyű használat, kódok nélkül
A RefiTune a WordPress admin felületébe illeszkedik: az Eszközök / RefiTune Toolkit menüpont alatt találod az összes modult. Egy kattintással be- vagy kikapcsolhatod őket, a részletes beállítások pedig külön oldalon, áttekinthetően érhetők el.
Nincs szükség functions.php módosításra, snippet pluginekre vagy külön konfigurációs fájlokra. Minden a megszokott WordPress felületen történik.
WordPress Eszköztár
- Teljesítmény: wp_head tisztítás, feed kezelés, emoji és jQuery Migrate kikapcsolás, revision limit, autosave, kuka ürítés, Heartbeat szabályozás
- Biztonság: XML-RPC, trackback, fájlszerkesztő, login hibák, admin hozzáférés, REST API korlátozás, login limit
- Megjelenés: admin bar elrejtés, blokk láthatóság mobilon, login oldal testreszabás
- E-mail: értesítések finomhangolása, SMTP vagy teljes letiltás
- Egyéb: kommentek, külső linkek, oldal kivonat, SVG/AVIF feltöltés, szerepkör-átirányítások, karbantartási mód, dinamikus évszám shortcode
Saját nyelveden is
A RefiTune teljes mértékben fordításra kész (WordPress i18n szabvány). Jelenleg angol és magyar nyelven érhető el, és a szövegek könnyen bővíthetők további nyelvekkel a /languages/ mappában.
Nincsenek bonyolult, hosszú beállítási képernyők, tutorial-ok. A felület áttekinthető marad fordítás után is.
Szabványos, ellenőrzött kód
A RefiTune fejlesztése során kiemelt szempont a minőség és a WordPress szabványok követése. A kód a WordPress Coding Standards (WPCS) előírásait követi, a JavaScript részek ESLint-tel ellenőrzöttek, és a bővítmény a Plugin Check (PCP) teszten is átment.
Ez hosszú távon is megbízható működést és könnyű tovább fejleszthetőséget biztosít.
Aktív, folyamatos támogatás
Mind a hivatalos (WordPress.org fórumban), mind a bővítmény saját csatornáin elérhető aktív támogatás, segítség. Emellett dokumentáció és videó bemutatók is elérhetők a bővítmény használatához. Amennyiben kérdése lenne vagy hibajelzést küldene, több lehetőség is rendelkezésre áll. Tekintse meg a kapcsolat vagy hibajelentés oldalakat.
Vélemények, értékelések
Feltöltés alatt …
Ha szeretnél véleményt beküldeni, itt megteheted vagy a hivatalos repo-ban itt. Köszönet érte!
Gyakori kérdések és válaszok
Az erről szóló leírás itt tekinthető meg.
Nem! A RefiTune épp azért készült, hogy gyorsítson: felesleges kódot és beállításokat távolít el. A legtöbb modul aktívan javítja a teljesítményt.
Csak akkor, ha biztos vagy benne, hogy a sablonod és a bővítményeid az aktuális jQuery-vel is jól működnek. Ha kétséged van, előbb teszteld, addig ne használd a funkciót csak stagging / tesztkörnyezetben.
A mobilalkalmazások és egyes bővítmények (pl. a Jetpack régebbi funkciói) nem fognak működni. Ha a WordPress mobilappot vagy távoli publikálást használsz, hagyd bekapcsolva az XML-RPC-t.
Igen! A WordPressben felhasználónévvel és e-mail címmel is be lehet lépni, és a login limiter mindkettőt figyeli. Aktív WooCommerce plugin esetén a Fiókom oldali belépést és a pénztár oldalit is.
Természetesen. A „Admin hozzáférés korlátozása” modullal kiválaszthatod, mely szerepkörök férhetnek hozzá a wp-admin-hoz, kik láthatják. Az adminisztrátorok mindig hozzáférnek, a többit pedig szerepkörönként megadhatod.
Ideális frissítések, módosítások közben, amikor nem szeretnéd, hogy a látogatók félkész vagy hibás oldalakat lássanak. Te döntöd el, mely szerepkörök férhetnek még hozzá az oldalhoz, a többiek pedig egy letisztult karbantartási üzenetet kapnak. SEO-barát is: 503-as státuszt ad vissza.
Dokumentáció
Miként ezen bővítmény nem rendelkezik komplex funkciókkal, nincs összekötve – integráció másik bővítménnyel, így nem szükséges fejlesztői dokumentáció hozzá. A modulok leírásai alább tekinthetők meg.
Teljesítmény
Fejléc tisztítás
A WordPress alapból több linket és meta tag-et ad a <head> szekcióhoz, amelyek a legtöbb webhelyen feleslegesek. Ez a funkció eltávolítja: a WordPress verzióját jelző generator tag-et (biztonsági okokból is ajánlott), az RSD (Really Simple Discovery) linket, a Windows Live Writer manifest linket, a shortlinket és a szomszédos bejegyzések rel linkjeit.
Gyári feed-ek kezelése
A WordPress három típusú feed <link> elemet ad a <head>-be: a fő bejegyzések feedjét (domain.hu/feed/), a hozzászólások feedjét és a további feedeket (kategóriák, szerzők, tagek stb.). Ezek az elemek egyenként kapcsolhatók ki. Fontos: ez csak a <head>-beli hivatkozást távolítja el – a feed URL-ek böngészőből közvetlenül továbbra is elérhetők maradnak.
Emodzsi letiltás
A WordPress 4.2 óta beépített emoji-támogatással rendelkezik, ami egy külső JavaScript fájl és egy CSS fájl betöltésével jár. Ha a webhely nem használ emoji-t a tartalmakban, érdemes letiltani ezeket a felesleges erőforrásokat a gyorsabb oldalbetöltés érdekében. A funkció a szerkesztőből (TinyMCE) is eltávolítja az emoji plugint.
A jQuery Migrate letiltása
A jquery-migrate egy kompatibilitási réteg, ami régebbi jQuery kódokat tesz futtathatóvá az újabb jQuery verziókkal. Ha a webhely összes témája és pluginja kompatibilis az aktuális jQuery verzióval, ez a csomag felesleges. Csak akkor kapcsold be, ha meggyőződtél róla, hogy egyik szkript sem igényli.
Az oEmbed letiltása
Letiltja a WordPress automatikus oEmbed kezelését külső URL-eknél, mint a YouTube, Vimeo, Twitter/X és más engedélyezett szolgáltatók.
Működése:
- Kiüríti az
oembed_providerslistát, így a megbízható szolgáltatók nem ágyazhatnak be tartalmat automatikusan - Letiltja az oEmbed discovery-t az
embed_oembed_discoverfilterrel - Eltávolítja az oEmbed discovery linkeket és a
wp-embedhost scriptet az oldal fejlécéből
Fontos: a beillesztett URL-ek sima linkek maradnak iframe beágyazás helyett. Ne kapcsold be, ha az oldal automatikus videó- vagy közösségi beágyazásokra épít beillesztett URL-ekből.
Megjegyzés: a REST oEmbed végpont ebben a verzióban nem kerül eltávolításra, mert más bővítmények függhetnek tőle.
Query String verziók eltávolítása CSS/JS fájlokból
A WordPress a ?ver= query paramétert fűzi a CSS és JavaScript URL-ekhez, hogy a böngésző friss fájlokat töltsön le frissítés után. Ez a modul eltávolítja ezt a paramétert a frontend oldalakon tisztább URL-ekért és jobb CDN/proxy cache kompatibilitásért.
Működés:
- A
style_loader_srcésscript_loader_srcszűrőket csak a frontenden alkalmazza - Eltávolítja a
verargumentumot azonos domainű asset URL-ekből - A wp-admin és külső (más host) assetek változatlanok maradnak
Fontos: téma- vagy bővítményfrissítés után a látogatók rövid ideig régi, cache-elt CSS-t vagy JavaScriptet kaphatnak, amíg a böngésző vagy CDN cache le nem jár. Ha ez problémát okoz, érdemes szerver szintű cache invalidálást vagy más verziókezelést használni.
Megjegyzés: csak a ver query argumentum kerül eltávolításra a WordPress enqueue rendszeren keresztül betöltött URL-ekből; más query paraméterek megmaradnak. Néhány CSS vagy JavaScript fájlnál továbbra is látható maradhat a ?ver= a forráskódban, ha nem a szabványos enqueue rendszeren keresztül töltődik be, ha egy másik bővítmény vagy sablon közvetlenül, verzióparaméterrel adja ki az URL-t, vagy ha az adott asset működéséhez szükséges a verzióstring.
Post revíziók száma
A WordPress alapértelmezetten korlátlan számú revíziót tárol minden bejegyzéshez, ami az adatbázist feleslegesen nagy méretűre növelheti. Ez a beállítás a wp_revisions_to_keep filter segítségével felülírja a revíziók maximális számát – anélkül, hogy a wp-config.php-t kellene módosítani. 0 megadásával a revíziók teljesen letilthatók; pozitív egész szám esetén legfeljebb ennyi revízió marad meg bejegyzésenként (a régebbiek automatikusan törlődnek mentéskor). Az üres mező a WordPress alapértelmezettjét hagyja érvényben.
Automatikus mentés gyakorisága
A WordPress automatikusan menti a bejegyzés tartalmát szerkesztés közben, hogy megelőzze az adatvesztést. Alapértelmezetten ez 60 másodpercenként történik. Ezt az intervallumot növelheted a szerver terhelésének és az adatbázis írásainak csökkentése érdekében. Az érték másodpercben van megadva. Ajánlott értékek: 120 (2 perc) vagy 300 (5 perc). A magasabb érték ritkább automatikus mentést jelent, ami javíthatja a teljesítményt forgalmas oldalakon. Megjegyzés: Ez nem befolyásolja a kézi mentést, amikor a Mentés vagy Közzététel gombra kattintasz.
Kuka automatikus ürítése
A WordPress alapértelmezetten 30 napig őrzi a törölt bejegyzéseket, oldalakat és média fájlokat a kukában, mielőtt véglegesen törölné őket. Ezt az időszakot módosíthatod, hogy automatikusan gyakrabban tisztítsd az adatbázist, vagy hosszabb ideig tarts meg elemeket helyreállítási célból. Az érték napokban van megadva. Alacsonyabb érték beállítása (pl. 7 nap) csökkenti az adatbázis méretét, de kevesebb időd van a véletlenül törölt elemek helyreállítására.
Heartbeat API kontroll
A WordPress Heartbeat API egy beépített funkció, amely AJAX-t használ a böngésző és a szerver közötti rendszeres kommunikációhoz. Számos valós idejű funkciót működtet, mint például az automatikus mentés, a bejegyzés zárolás (értesítés, ha valaki más is szerkeszti ugyanazt a bejegyzést), és az admin értesítések. A gyakori Heartbeat kérések azonban megnövelhetik a szerver terhelését és erőforrás-felhasználást, különösen megosztott tárhelyen vagy nagy forgalmú oldalakon.
Ez a funkció lehetővé teszi a Heartbeat API független vezérlését három különböző kontextusban:
1. Admin Heartbeat
A Heartbeat vezérlése a Dashboardon és más admin oldalakon (nem a bejegyzés szerkesztőben). Ezek az oldalak általában nem igényelnek gyakori frissítéseket.
Ajánlott: 60 másodperc, közepes
2. Frontend Heartbeat
A Heartbeat vezérlése a publikus weboldalon. A Heartbeat API ritkán szükséges a frontenden, kivéve ha vannak specifikus bővítmények, amelyek ezt használják.
Ajánlott: Letiltás (nem szükséges a publikus oldalakon)
3. Szerkesztő Heartbeat
A Heartbeat vezérlése a bejegyzés/oldal szerkesztőben (Gutenberg és klasszikus szerkesztő). Ez létfontosságú az automatikus mentés és bejegyzés zárolás funkciókhoz.
Ajánlott: 30-60 másodperc
FIGYELEM: A Heartbeat letiltása a szerkesztőben egyben letiltja az automatikus mentést és a bejegyzés zárolást is!
Elérhető opciók:
- WordPress alapértelmezett: Nincs változtatás, az alapértelmezett intervallumot használja (általában 15-60 másodperc).
- 15 másodperc, sűrű: Nagyon gyakori frissítések, legnagyobb szerver terhelés.
- 30 másodperc, gyakori: Gyakori frissítések, közepes szerver terhelés.
- 60 másodperc, közepes: Kiegyensúlyozott frissítések, a legtöbb oldalhoz ajánlott.
- 120 másodperc, ritka: Kevésbé gyakori frissítések, legkisebb szerver terhelés.
- Letiltás: Teljesen kikapcsolja a Heartbeat API-t ebben a kontextusban.
Példa konfiguráció:
- Admin: 60 másodperc, közepes (csökkenti a dashboard kéréseket)
- Frontend: Letiltás (nem szükséges a publikus oldalakon)
- Szerkesztő: 30 másodperc, gyakori (megőrzi az automatikus mentést)
Teljesítmény hatás: A Heartbeat gyakoriságának csökkentése vagy frontenden történő letiltása jelentősen csökkentheti a szerver CPU használatot, memória felhasználást és adatbázis lekérdezéseket. Ez különösen hasznos megosztott tárhelyen vagy korlátozott erőforrásokkal rendelkező oldalakon.
Biztonság
XML-RPC letiltás
Az XML-RPC egy távoli API protokoll, ami lehetővé teszi külső alkalmazások (mobil appok, desktop kliensek) és pluginek (pl. Jetpack) számára a WordPresshez való csatlakozást. Mivel biztonsági kockázatot jelenthet és brute-force támadások célpontja lehet, érdemes letiltani, ha nem használod. A funkció aktiválásával: minden XML-RPC kérés 404 Not Found választ kap (így úgy tűnik, mintha az xmlrpc.php fájl nem is létezne), és az RSD (Really Simple Discovery) <link> tag automatikusan eltávolításra kerül a HTML header-ből. Ez a security-through-obscurity megközelítés megakadályozza, hogy a támadók tudomást szerezzenek az aktív XML-RPC blokkolásról. Ne kapcsold be az XML-RPC letiltást, ha Jetpack szinkronizációt, WordPress mobil alkalmazást vagy más XML-RPC-t igénylő plugint használsz!
Trackback/Pingback letiltás
A trackback és pingback mechanizmus WordPress-blogok közötti automatikus értesítési rendszer, amely akkor aktiválódik, amikor egy bejegyzésben linkelsz egy másik WordPress oldalra. Ma már elsősorban spam forrása és biztonsági kockázat. A funkció: lezárja a pingeket minden meglévő és új bejegyzésnél (futásidőben, adatbázis-módosítás nélkül), eltávolítja a pingback XML-RPC metódusokat (így XML-RPC aktív marad, de a pingback funkciói nem), az X-Pingback HTTP fejlécet és a pingback URL-t (<link rel="pingback">) a forrásból, valamint 403-al utasítja vissza a közvetlen HTTP trackback kéréseket.
Fájlszerkesztő letiltása
Letiltja a WordPress beépített plugin- és sablonszerkesztő funkcióját az admin felületen. Aktiválás után a Bővítmények > Szerkesztő és a Megjelenés > Sablonszerkesztő menüpontok eltűnnek az admin menüből, és közvetlen URL-en sem érhetők el. A funkció a DISALLOW_FILE_EDIT WordPress konstans beállításával működik. Ez egy ajánlott biztonsági intézkedés, mivel kizárja a szerveren lévő fájlok közvetlen böngésző alapú szerkeszthetőségét kompromittált adminisztrátori fiókok esetén.
Automatikus frissítések kezelése
Az automatikus háttérfrissítéseket és a WordPress frissítéskeresési gyakoriságát szabályozza.
Frissítés típusok (WordPress alapértelmezett / Engedélyezés / Tiltás):
- Bővítmények és témák: Az összes engedélyezése minden elemre automatikus frissítést kényszerít, és felülírja a Frissítések oldal egyedi beállításait. Az összes tiltása blokkolja az automatikus bővítmény- vagy témafrissítéseket.
- Fordítások: A nyelvi csomagok automatikus frissítésének engedélyezése vagy tiltása.
- Core: Külön vezérlés a kis, nagy és fejlesztői core kiadásokhoz.
Frissítések keresése: Újraütemezi a wp_version_check, wp_update_plugins és wp_update_themes cron eseményeket. A WordPress alapértelmezés naponta kétszer; választható napi vagy hosszabb intervallum (3, 7 vagy 14 nap).
wp-config.php: Ha az AUTOMATIC_UPDATER_DISABLED vagy a WP_AUTO_UPDATE_CORE definiálva van, ezek a konstansok élveznek elsőbbséget, és admin figyelmeztetés jelenik meg.
Bejelentkezési hibaüzenetek
Alapértelmezetten a WordPress külön hibaüzenetet ad arra az esetre, ha a felhasználónév létezik, de a jelszó helytelen, és fordítva. Ez az információ brute-force és felhasználónév-feltérképező támadásokhoz segítséget nyújthat. Ez a funkció egy általános, semleges hibaüzenetet jelenít meg mindkét esetben.
Admin felület hozzáférés korlátozása
Meghatározza, mely WordPress szerepkörű bejelentkezett felhasználók érhetik el a wp-admin felületet. Az engedéllyel nem rendelkező felhasználók megkísérelt admin belépés esetén a webhely kezdőlapjára lesznek irányítva. Az administrator szerepkör mindig hozzáfér és nem távolítható el a listából. AJAX kérések nem érintik ezt a korlátozást. Fontos: aktiválás előtt győződj meg róla, hogy az administrator szerepkör be van jelölve.
REST API korlátozások
A WordPress REST API bizonyos endpointjainak intelligens korlátozása biztonsági okokból. A REST API alapértelmezetten nyilvánosan elérhető adatokat szolgáltat (pl. felhasználónevek, média fájlok), ami bizonyos esetekben biztonsági kockázatot jelenthet.
Működése:
- Bejelentkezett felhasználók: mindig hozzáférnek (bármilyen szerepkör)
- Névtelen kérések: 401 Unauthorized hibát kapnak a korlátozott útvonalakon
A hozzáférés hitelesített WordPress munkamenetre épül, nem cookie-kra vagy HTTP fejlécekre, amelyeket külső kliensek hamisíthatnak.
Korlátozható endpointok:
- Users endpoint: Korlátozza a
/wp-json/wp/v2/usersendpointot, amely felhasználói adatokat (nevek, slug-ok, email címek) tesz közzé. Ez megnehezíti a felhasználóneveket gyűjtő brute-force támadásokat. - REST index: A
/wp-json/gyökér index bejelentkezést igényel. Ez az endpoint felsorolja az összes elérhető REST API útvonalat, ami értékes információ a támadóknak. - Media endpoint: Korlátozza a
/wp-json/wp/v2/mediaendpointot, amely lehetővé teszi a feltöltött média fájlok listázását és lekérdezését. - Comments endpoint: Korlátozza a
/wp-json/wp/v2/commentsendpointot. - Search endpoint: Korlátozza a
/wp-json/wp/v2/searchendpointot, amely az oldal tartalmában való keresést teszi lehetővé.
Fontos: A WooCommerce saját REST API endpointjai (/wp-json/wc/v3/, /wp-json/wc-store/v1/) NEM érintettek.
Bejelentkezési limit
Korlátozza a sikertelen bejelentkezési kísérleteket IP cím és felhasználónév alapján, védve a webhelyet a brute-force támadások ellen.
Működése:
- Minden sikertelen bejelentkezési kísérletet számol IP cím és felhasználónév szerint is
- Ha bármelyik eléri a limitet, időzített kitiltás történik
- A felhasználónév-alapú kitiltás a jelszó ellenőrzése előtt megtörténik
- A sikeres bejelentkezés nullázza a számlálót
Beállítások:
- „admin” felhasználónév azonnali blokkolása: Ha be van kapcsolva, az „admin” felhasználónévvel történő első kísérletnél azonnal kitiltja az IP címet 1 órára.
- Maximális kísérletek: Hány sikertelen kísérletet engedélyez a rendszer (alapértelmezett: 5). IP cím és felhasználónév szerint külön számolódik.
- Kitiltás időtartama: Mennyi ideig legyen blokkolva a bejelentkezés a limit elérése után, percben (alapértelmezett: 15 perc).
- Whitelist IP címek: A limit alól mentesülő IP címek (soronként egy).
Tárolás: A kísérletszámlálók a WordPress Transients API-t használják, ahol elérhető, objektum-gyorsítótárral.
Megjegyzés: Ez a funkció csak a wp-login.php oldalon működik.
Ellenőrzött feltöltés
Extra feltöltés-biztonsági réteget ad a WordPress médiakönyvtár vagy bármely wp_handle_upload() alapú folyamat számára.
Ellenőrzések:
- Fájlnév szabályok: tiltja a veszélyes kiterjesztéseket, dupla kiterjesztéseket és álcázott neveket, pl.
shell.php.jpg - MIME és magic byte: összeveti a kiterjesztést a detektált fájltípussal Fileinfo és fájlaláírás alapján
- Script jelek: keresi a PHP vagy script mintákat a feltöltött tartalomban
Teljesítmény: az ellenőrzés csak feltöltéskor fut, normál oldalletöltésnél nem. Tipikus képfeltöltésnél csak néhány milliszekundum extra feldolgozás.
Megjegyzés: nem helyettesíti a szerver szintű védelmet. Az uploads mappában a PHP futtatás továbbra is tiltva legyen webszerver szinten. Az SVG script tisztítás külön, az SVG feltöltés modulban történik, ha az be van kapcsolva.
Vizuális
Admin sáv elrejtése
Bejelentkezett állapotban a WordPress megjelenít egy admin sávot az oldal tetején. Ez hasznos az adminisztrátoroknak, de a többi szerepkörű felhasználónak (szerkesztő, szerző, előfizető stb.) zavaró lehet. A beállításban megadható, hogy pontosan mely WordPress szerepkörök számára legyen elrejtve az admin sáv. A funkció csak a kijelölt szerepkörű felhasználóknál kapcsolja ki a sávot; a lista üres állapotában a funkció nem aktív.
Blokk láthatóság (mobilos)
Minden Gutenberg blokkhoz hozzáad egy „Láthatóság” panelt a blokkszerkesztőben (Inspector Controls). Beállítható, hogy a blokk mindig látható legyen, csak mobilon jelenjen meg, vagy csak asztali gépen. A mobilos/asztali döntés a szerver oldalon történik a WordPress core wp_is_mobile() függvényének használatával, így a nem megfelelő eszközön a blokk HTML kódja teljesen ki is marad a forráskódból – nem csak CSS-sel van elrejtve. Ez jobb teljesítményt és tisztább HTML kimenetet biztosít.
Login oldal testreszabása
A WordPress bejelentkezési oldal (wp-login.php) logo, háttérszín, primary szín és nyelvválasztó láthatóság testreszabása. Logo beállítások: Választható, hogy a WordPress Site Icon (Beállítások → Általános → Webhely ikon) jelenjen meg a login oldalon, vagy egy egyedi kép URL-je (relatív útvonal, pl. /wp-content/uploads/logo.png). A logo szélessége és magassága pixelben megadható (alapértelmezett: 84×84 px). Háttérszín: A login oldal háttérszíne testreszabható (alapértelmezett WordPress szín: #f0f0f1). Primary szín: A „Bejelentkezés” gomb háttér- és keretszíne módosítható (alapértelmezett WordPress szín: #3858e9). Nyelvválasztó: Lehetőség a nyelvválasztó legördülő menü teljes elrejtésére a bejelentkezési képernyőről. A testreszabások a login_head actionben injektált CSS-sel valósulnak meg, így biztonságosan felülírják a WordPress alapértelmezett értékeit.
Email értesítések
Egyenként letiltható vagy egyedi email-címre irányítható a WordPress alábbi rendszer-emailjei:
- Frissítési értesítők – az automatikus core/plugin/téma frissítésekről küldött email az adminnak; letiltás helyett átirányítható egyedi email-címre.
- Új felhasználó regisztráció – csak az admin értesítőjét tiltja le (az újonnan regisztrált felhasználó üdvözlő emailje megmarad).
- Jelszó visszaállítás – az adminnak küldött értesítő tiltható le (nem a jelszó-visszaállítási linket küldő email).
- Komment értesítők – az összes komment-moderációs és szerzői értesítő.
- Adatvédelmi (GDPR) értesítők – adatexport, adattörlés, jogosultság-megerősítési emailek.
- Kritikus hiba email – WordPress helyreállítási módban küldött hibaértesítő; szintén átirányítható egyedi email-címre.
Email SMTP / Teljes letiltás
Teljes levélküldés letiltása: A pre_wp_mail filter segítségével minden wp_mail() hívást blokkolja – egyetlen email sem kerül kiküldésre a rendszerből. Ez hasznos fejlesztési, teszt vagy staging környezetben. SMTP beállítások: Ha a teljes letiltás nincs bekapcsolva és SMTP host meg van adva, a WordPress natív mail() függvény helyett külső SMTP szerver használatát konfigurálja a phpmailer_init action útján. Megadható: SMTP host, port, titkosítás (SSL/TLS/nincs), felhasználónév és jelszó (SMTP Auth), valamint a feladó email címe és neve (setFrom()). A jelszó Sodium titkosítással kerül tárolásra az adatbázisban, a titkosítási kulcs a WordPress AUTH_KEY, SECURE_AUTH_KEY és NONCE_KEY konstansok SHA-256 hash-éből származik.
Egyéb
Hozzászólások letiltása
Teljesen letiltja a hozzászólás-rendszert: futásidőben lezárja az összes meglévő bejegyzésnél (adatbázis-módosítás nélkül), eltávolítja a comment support-ot minden post type-ból, valamint blokkolja a beküldést REST API-n és hagyományos wp-comments-post.php útján egyaránt (403-as válasz). Adminisztrátori felületen eltávolítja a Hozzászólások menüpontot, az admin sávból a hozzászólás ikont, a dashboard widgetet és a bejegyzésszerkesztő Discussion/Hozzászólások metabox-ait. Ha WooCommerce aktív, a „Termék értékelések megtartása” opció bejelölésével a product post type-on a hozzászólások (értékelések) továbbra is működnek.
External linkek új ablakban
Automatikusan hozzáadja a target="_blank" és rel="noopener noreferrer" attribútumokat minden olyan linkhez, amely a saját domain-en kívülre mutat. A bejegyzések és widgetek tartalmában lévő belső linkeket (azonos domain) nem módosítja. A rel="noopener noreferrer" biztonsági szempontból is fontos, megakadályozza, hogy a megnyitott oldal visszaférjen az eredeti oldalra.
Oldal kivonat engedélyezése
Alapértelmezetten a WordPress oldalakhoz (page post típus) nem érhető el az excerpt (kivonat) mező a szerkesztőben. Ez a funkció engedélyezi a kivonat mezőt az oldalakhoz mind a Gutenberg, mind a klasszikus szerkesztőben. A kivonat ezután felhasználható sablonokban a get_the_excerpt() függvénnyel, illetve SEO pluginokban.
Fájlnév tisztítás feltöltéskor
Automatikusan tisztítja a képek és dokumentumok fájlneveit feltöltéskor. Az ékezetes karakterek ASCII-ra alakulnak, a név kisbetűs lesz, a szóközök és speciális karakterek (pl. pluszjel) pedig kötőjelre cserélődnek.
Példa: árvíz tűrő +33.jpg → arviz-turo-33.jpg.
Támogatott típusok: gyakori képformátumok (JPG, PNG, GIF, WebP, AVIF, SVG stb.) és dokumentumformátumok (PDF, DOC, DOCX, XLS, XLSX, PPT, PPTX, ODT, ODS, ODP, RTF, TXT, CSV). Videó, hang és archív fájlok nem kerülnek átnevezésre.
Teljesítmény: csak feltöltéskor fut, elhanyagolható feldolgozási idővel.
Megjegyzés: ha az Ellenőrzött feltöltés be van kapcsolva, a biztonsági ellenőrzés előbb fut az eredeti fájlnéven, és csak utána nevezi át ez a modul a biztonságos fájlokat.
SVG feltöltés
Engedélyezi az SVG képfájlok feltöltését a médiatárba a kiválasztott WordPress szerepkörök számára. Feltöltés előtt biztonsági ellenőrzést végez: megvizsgálja, hogy az SVG tartalmaz-e potenciálisan veszélyes kódot (script, iframe, JavaScript event handler stb.). Kizárólag a megjelölt szerepkörű felhasználók tölthetnek fel SVG-t; a többi felhasználó számára az SVG marad tiltott.
AVIF feltöltés
Engedélyezi az AVIF képfájlok feltöltését a médiatárba a kiválasztott WordPress szerepkörök számára. Az AVIF egy modern, nagy hatékonyságú képformátum, amely WP 6.1 előtti WordPress verziókban nem támogatott alapból. A plugin biztosítja a megfelelő MIME típus kezelést régebbi WP verziókon is.
Szerepkör átirányítások
Szerepkörönként egyedi átirányítási URL-ek beállítása bejelentkezés és kijelentkezés után. A beállításokban minden WordPress szerepkör (administrator, editor, author, contributor, subscriber, stb.) számára két mező áll rendelkezésre: Átirányítás bejelentkezés után – a login_redirect filter használatával a sikeres bejelentkezés után az adott szerepkörű felhasználó az itt megadott útvonalra kerül. Átirányítás kijelentkezés után – a logout_redirect filter használatával a kijelentkezés után az adott szerepkörű felhasználó az itt megadott útvonalra kerül. Ha egy felhasználónak több szerepköre is van, az első illeszkedő szerepkör átirányítása érvényesül. A weboldal URL címe automatikusan előre van töltve, csak a relatív útvonalat kell megadni (pl. /dashboard/, /my-account/, /). Ez egyszerűsíti a konfigurációt és biztosítja, hogy csak a saját oldalon belüli átirányítások történjenek. Domain váltás vagy staging → production költöztetés esetén az átirányítások automatikusan alkalmazkodnak az új domain-hez.
Tesztelve és megbízhatóan működik:
- Normál WordPress bejelentkezés/kijelentkezés (
wp-login.php) - WooCommerce Fiókom oldal shortcode-alapú bejelentkezés/kijelentkezés
- Admin eszköztár kijelentkezés
Karbantartási mód
Ideiglenesen blokkolja a látogatókat az oldal eléréséből, miközben a jogosult felhasználók tovább dolgozhatnak. Az init hook (priority 1) használatával elfogja az összes kérést, még mielőtt bármilyen sablon, REST API, feed vagy egyéb WordPress funkció betöltődne. Hozzáférés kontroll: Válaszd ki, mely WordPress szerepkörök láthatják az oldalt karbantartás alatt (Administrator mindig engedélyezett). A bejelentkezett, engedélyezett szerepkörű felhasználók normálisan elérhetik az oldalt, míg az összes többi látogató 503 Service Unavailable HTTP státuszt kap egyedi üzenettel. Kizárások: Az admin terület (is_admin()), AJAX kérések (wp_doing_ajax()) és cron feladatok (wp_doing_cron()) továbbra is normálisan működnek. SEO-barát: 503 HTTP státuszkódot ad vissza (nem 200-at) Retry-After: 3600 header-rel (1 óra), noindex, nofollow meta tag-ekkel, biztosítva hogy a keresőmotorok megértsék, ez ideiglenes. Vizuális jelzések: Aktív állapotban piros figyelmeztetés jelenik meg az admin területen, amely mutatja, mely szerepkörök férnek hozzá, és a dashboard-on a funkció kártya piros border-rel jelenik meg zöld helyett, jelezve a figyelmeztető állapotot. Egyedi üzenet: Opcionálisan megadhatsz egyedi üzenetet a látogatók számára; ha üresen hagyod, alapértelmezett karbantartási üzenet jelenik meg. A karbantartási oldal a site címét és az üzenetet tiszta, központosított elrendezésben jeleníti meg.
Dinamikus év shortcode-ok
Két shortcode-ot biztosít dinamikus év információk megjelenítéséhez bárhol az oldalon:
1. Aktuális év: [refi-year] megjeleníti az aktuális évet (pl. 2026). Tökéletes automatikusan frissülő copyright szövegekhez: © [refi-year] Cégnév
2. Időtartam óta: [refi-year from="2006"] kiszámítja és megjeleníti a megadott év és a jelenlegi év közötti különbséget (pl. ha az aktuális év 2026, akkor: 20). Ideális „Ügyfeleket szolgálunk 2006 óta (20 éve)” vagy hasonló üzenetekhez.
Használati példák:
© 2006-[refi-year] Cégnév→ „© 2006-2026 Cégnév”Büszkén szolgálunk [refi-year from="2006"] éve→ „Büszkén szolgálunk 20 éve”Alapítva [refi-year from="2010"]→ „Alapítva 16”
Megjegyzés: A shortcode-ok működnek bejegyzésekben, oldalakon, szöveges widgetekben és a legtöbb olyan téma területen, amely támogatja a shortcode feldolgozást.