Як працює Nightward

Встановлення

Вимоги

• WordPress 6.2 або новіший, PHP 7.4 або новіший. Підтримуються MySQL, MariaDB і інтеграція з базою SQLite.
• Робочий wp_mail(). На більшості хостингів це означає SMTP-плагін.
• WP-Cron, що запускається хоча б щогодини. Рекомендовано справжнє серверне cron-завдання, див. Планові завдання.
• Бажано, щоб тека wp-content/mu-plugins була доступна для запису: тоді Nightward стартує раніше за інші плагіни.

Встановлення

1. Завантажте nightward-1.0.2.zip.
2. У WordPress відкрийте Плагіни → Додати → Завантажити плагін, оберіть zip і натисніть Встановити.
3. Натисніть Активувати. В меню адмінки з'явиться пункт Nightward.
4. Відкрийте Nightward → Налаштування, перевірте час звіту й отримувачів і натисніть Надіслати тестовий звіт.

Що відбувається під час активації

• Створюються три таблиці: події, вихідні хости й хеші файлів.
• Записується ранній завантажувач wp-content/mu-plugins/0-nightward-early.php. Must-use плагіни завантажуються раніше за звичайні, тож Nightward бачить їхні хуки й запити з першого рядка. Файл видаляється при деактивації Nightward.
• Плануються щоденний звіт, щогодинна перевірка й нічне обслуговування.
• Через хвилину стартує перше сканування цілісності. Воно фіксує поточний стан кожного пакета.
• Починається період навчання. Див. Перша доба.

Оновлення

Nightward розповсюджується з цього сайту, а не з WordPress.org. Щоб оновити, деактивуйте плагін, замініть теку nightward новою версією і активуйте знову. Події, еталони й налаштування зберігаються. Заміна файлів самого Nightward змінює його власний знімок, тому після оновлення запустіть Цілісність → Сканувати зараз і прийміть пакет Nightward, якщо він з'явиться в списку.

Вихідний код і вся історія змін - на GitHub. Там само можна повідомити про помилку через Issues.

Перша доба

Монітор, який повідомляє про звичайну поведінку кожного плагіна як про новину, марний. Перші 24 години (період навчання, змінюється в налаштуваннях) Nightward записує норму сайту, не повідомляючи про неї:

• з якими хостами зв'язується кожен плагін;
• які сторонні callback підключені до чутливих хуків;
• які є заплановані завдання;
• які файли є в кожному пакеті.

Критичні знахідки надходять з першої хвилини: код з eval() на хуку, адміністратор, створений анонімним запитом, запит до сервісу вставок. Екран «Огляд» показує, скільки лишилося до кінця навчання.

Повторне навчання після оновлень

Коли плагін чи тему встановлюють, активують або оновлюють через WordPress, вони отримують шість годин, протягом яких нові хуки записуються як новий еталон. Вони все одно з'являються в журналі (як Низький для хуків входу й видимості, Інфо для решти), тож новий плагін, що підключився до входу, буде видно в наступному звіті.

Події та рівні серйозності

Усі монітори пишуть в один журнал подій. У події є рівень, розділ, назва, пояснення і, де можливо, плагін чи тема, файл і рядок, які за неї відповідають.

Рівні

Статуси

Дублікати

Одна й та сама знахідка зберігається один раз із лічильником. Плагін, що зробив той самий запит 500 разів, - це одна подія з × 500, і сповіщення по ній одне. Для файлових знахідок хеш файлу входить в ідентифікацію: якщо проігнорований файл знову зміниться, з'явиться нова подія.

Атрибуція

Знахідки називають відповідальний компонент: плагін чи тему за назвою, must-use плагін, drop-in на кшталт db.php, ядро WordPress або код, виконаний через eval(), якщо в коду немає файлу. Для подій під час роботи Nightward проходить стек викликів до першого кадру, що належить плагіну чи темі. Для callback хуків використовується reflection PHP, щоб знайти файл і рядок, де визначено функцію.

Події зберігаються незалежно від мови і показуються мовою того, хто їх читає, - в адмінці й у листах.

Вихідні запити

Кожен виклик через HTTP API WordPress (wp_remote_get(), wp_remote_post() і все, що на них побудовано) записується з хостом, плагіном, що його зробив, файлом і рядком виклику. Значення параметрів запиту видаляються перед збереженням, тож ліцензійні ключі й токени з URL не зберігаються.

Знахідки

Власні домени плагіна не вважаються новими хостами. Nightward бере їх із заголовків Plugin URI, Author URI і Update URI, ігноруючи платформи на кшталт GitHub, WordPress.org і CodeCanyon.

Довірені хости

Якщо знахідка очікувана, наприклад ваш власний плагін пересилає пошту в Telegram-бот, натисніть Довіряти в події або на екрані «Мережа», або додайте домен у Налаштування → Довірені хости. Запити й завантаження оновлень з довірених хостів у звіт не потрапляють.

Перехоплення HTTP

WordPress дозволяє будь-якому плагіну самому відповісти на HTTP-запит через фільтр pre_http_request. Тоді запит не виходить за межі сервера. Плагіни кешування й інструменти «вимкнути зовнішні запити» роблять це легітимно. Піратські плагіни так відповідають на власні перевірки ліцензії, а шкідливий код - ховає або підробляє інформацію про оновлення.

Nightward ставить мітку після кожного callback на pre_http_request. Коли з'являється відповідь, він точно знає, який callback її створив, навіть якщо кілька анонімних функцій мають однаковий пріоритет. Подія показує callback, файл і рядок, підроблений код статусу й початок підробленої відповіді.

Чутливі хуки

Деякі хуки WordPress вирішують, хто увійшов, що дозволено користувачу, що бачить адміністратор і куди йдуть оновлення та пошта. Nightward запам'ятовує кожен сторонній callback на цих хуках і повідомляє про нові.

Callback, створені через eval(), не мають файлу-джерела, тож файлові сканери їх не знаходять. Nightward показує файл і рядок, де було викликано eval(). Екран «Хуки й Cron» показує всі поточні сторонні callback на цих хуках. Сама присутність плагіна в списку - не проблема: плагіни безпеки, членства й SMTP мусять підключатися. Але кожен рядок ви маєте впізнавати.

Користувачі та права

Прихований адміністратор - найпоширеніший спосіб зберегти доступ до зламаного сайту. Nightward стежить за кожним шляхом до прав адміністратора.

Паролі застосунків дають постійний доступ до REST і XML-RPC. Вони оминають двофакторний вхід і переживають зміну пароля, тож це тихий спосіб зберегти доступ. Якщо ви його не створювали, видаліть у профілі користувача.

Опції

Кілька налаштувань передають контроль над сайтом тому, хто їх змінить. Nightward записує, хто їх змінив і чи це сталося через екрани налаштувань.

Записи опцій перевіряються вибірково приблизно на одному перегляді з двадцяти на фронтенді й оцінюються щогодини після щонайменше 15 вибірок. Плагін, що пише в базу майже на кожному відвідуванні, марнує ресурси й ламає повносторінковий кеш. У ліцензійному коді це також може означати, що сайт «дзвонить додому» на кожному запиті.

Заплановані завдання

Шкідливий код часто повертається після чистки, бо заплановане завдання завантажує його знову. Щогодинна перевірка порівнює WP-Cron з відомим списком.

Екран «Хуки й Cron» показує кожне завдання з розкладом, наступним запуском і плагіном, чия функція його виконує. Завдання без обробника зазвичай лишаються від видалених плагінів.

Цілісність файлів

Кожен файл коду (PHP, JavaScript, .htaccess, .user.ini, JSON, Twig) в ядрі, плагінах і темах порівнюється з еталоном.

Як іде сканування

Сканування запускається щоночі (о 03:30 за замовчуванням) і після кожного оновлення, порціями по 400 файлів через WP-Cron, тож воно завершується навіть на шаред-хостингу. Цілісність → Сканувати зараз запускає його з браузера з індикатором прогресу. Коли відновлений файл знову збігається з еталоном, його подія закривається автоматично.

Прийняття власних змін

Якщо ви самі змінили преміум-плагін чи тему, перегляньте знахідку й натисніть Прийняти поточні файли для цього пакета. Поточні файли стануть новим еталоном, а відкриті події цілісності по ньому закриються.

Виконувані файли

Перевіряються щогодини (швидкий прохід) і щоночі (повний прохід).

Файли даних, у яких першим рядком стоїть exit чи die, нічого не можуть виконати і в звіт не потрапляють. Так зберігають дані Sucuri, Wordfence і кілька плагінів кешу. Заглушки index.php «Silence is golden» теж пропускаються. Коли файл зі звіту видаляють, його подія закривається при наступному проході.

Канал оновлень

Nightward перевіряє, звідки приходять оновлення: і ті, що чекають у Майстерня → Оновлення (щогодини), і кожен пакет, який оновлювач справді завантажує.

Хост пакета вважається нормальним, якщо це власний домен плагіна, довірений хост або поширена платформа розповсюдження (GitHub, Amazon S3 і CloudFront, Freemius, Envato, WooCommerce тощо). Знахідки щодо оновлень, які очікують, перелічують плагіни й теми, що можуть переписувати список оновлень, - тож відомо, де шукати.

Захищеність

Перевіряється щоночі й на вимогу з Захищеність → Запустити перевірку. Там, де це важливо, перевірка запитує файл ззовні через loopback-запит, так, як це зробив би зловмисник. Події створюються лише для проваленої перевірки. Оцінка починається зі 100 і втрачає бали за кожну провалену перевірку чи попередження залежно від рівня.

# wp-config.php
define( 'DISALLOW_FILE_EDIT', true );
define( 'WP_DEBUG_DISPLAY', false );

# nginx: заборонити PHP в uploads
location ~* /wp-content/uploads/.*\.php$ { deny all; }

# Apache (.htaccess у wp-content/uploads)
<FilesMatch "\.php$">
	Require all denied
</FilesMatch>

Звіти та сповіщення

Щоденний звіт

Надсилається щодня в заданий час за часовим поясом сайту (о 20:00 за замовчуванням). Розклад перераховується після кожного звіту, тож він не зсувається при переході на літній час. Звіт містить:

• загальний стан і лічильники за рівнями за період від попереднього звіту;
• критичні й високі знахідки з джерелом, файлом і поясненням, далі інші знахідки коротко;
• нові вихідні адреси і плагіни, що до них зверталися;
• стан перевірок: останнє сканування цілісності, кількість хостів і підроблених відповідей, оцінка захищеності, стан WP-Cron.

З увімкненим Надсилати звіт, навіть якщо нічого не сталося (за замовчуванням) спокійний день теж дає короткий лист «Усе чисто». Якщо він перестав приходити, зупинився сайт, WP-Cron, доставка пошти або сам Nightward.

Миттєві сповіщення

Критичні знахідки (за бажанням і високі) надсилаються в момент виявлення, з усіма деталями й посиланням на подію. За замовчуванням - не більше 5 сповіщень на годину. Усе понад ліміт збирається в один лист, що надсилається по закінченню години.

Мова

Якщо перший отримувач - користувач сайту, звіт пишеться його мовою в WordPress. Інакше - мовою сайту. Українська й англійська є в комплекті.

Перевірка та доставка

Надіслати тестовий звіт одразу надсилає поточний звіт з позначкою тесту. Попередній перегляд відкриває його в браузері. Листи надсилаються через wp_mail() як HTML з текстовою частиною, тож нормально читаються й тоді, коли міст у Telegram чи Slack перетворює їх на текст. Якщо тест не пройшов, огляд покаже помилку поштового модуля; налаштуйте SMTP-плагін.

Адмінка

У меню адмінки є лічильник відкритих критичних і високих подій. Для екранів Nightward потрібне право manage_options.

Довідник налаштувань

Планові завдання

WP-Cron запускається лише тоді, коли сайт хтось відвідує. На сайтах з малою відвідуваністю або з кешем сторінок використовуйте справжній cron:

# wp-config.php
define( 'DISABLE_WP_CRON', true );

# crontab: кожні 5 хвилин
*/5 * * * * curl -s https://example.com/wp-cron.php?doing_wp_cron >/dev/null 2>&1

# або через WP-CLI
*/5 * * * * cd /path/to/site && wp cron event run --due-now --quiet

Вирішення проблем

Листи не приходять

Натисніть Надіслати тестовий звіт. Якщо огляд показує помилку пошти, не працює wp_mail(): встановіть і налаштуйте SMTP-плагін. Якщо тест приходить, а щоденний звіт ні, не запускається WP-Cron; див. Планові завдання.

Звіт приходить із запізненням

WP-Cron чекає на відвідування. Налаштуйте справжній cron. Крім того, Nightward щогодини перевіряє, що звіт заплановано, і відновлює розклад, якщо він загубився.

Багато подій «новий хост» після встановлення плагіна

Новий плагін звертається до своїх сервісів. Довіряйте знайомим хостам одним кліком або додайте їх у «Довірені хости».

У звіт потрапила моя власна правка плагіна

Так і працює перевірка цілісності. Натисніть Прийняти поточні файли для пакета на екрані «Цілісність».

У звіт потрапив файл іншого сервісу безпеки

Деякі сервіси кладуть файли-конектори в корінь сайту, наприклад bv_connector_<hash>.php, який створюють MalCare і BlogVault. Відкрийте файл і переконайтеся, що він належить сервісу, яким ви користуєтесь. Далі видаліть його, якщо сервісу він більше не потрібен, або позначте подію як «Ігнорувати». Проігнорований файл знову потрапить у звіт, лише якщо зміниться.

Перевірки захищеності пропускаються

Сайт не може звернутися сам до себе (loopback). Часто це обмеження файрвола чи хостингу. «Здоров'я сайту» в WordPress теж потребує loopback; попросіть хостинг дозволити запити сервера до власного домену.

Цілісність показує «очікує першого сканування»

Перше сканування стартує через WP-Cron. Запустіть його кнопкою Цілісність → Сканувати зараз.

Швидкодія і приватність

Що коштує кожен перегляд сторінки

• Трасування стеку робиться лише тоді, коли сайт робить вихідний HTTP-запит.
• Перевірка хуків порівнює коротку сигнатуру з однієї невеликої autoload-опції. Повне порівняння запускається, лише коли набір callback змінюється.
• Записи опцій перевіряються вибірково приблизно на одному перегляді з двадцяти на фронтенді.
• Повний пошук callback з eval() запускається приблизно на одному запиті з сорока.
• Події записуються одним проходом у кінці запиту. Лише критичні записуються одразу.
• Сканування файлів, аудити й перевірки захищеності йдуть у фоні.

Приватність

У Nightward немає акаунта, телеметрії чи зовнішнього сервісу. Він звертається лише до api.wordpress.org і downloads.wordpress.org по контрольні суми та до вашого сайту для перевірок захищеності. У збережених URL значення параметрів видаляються. Звіти йдуть через wp_mail() вашого сайту. IP-адреси входів адміністраторів зберігаються як мережі (/24 або /48) в метаданих користувача, не більше 15 останніх.

Для розробників

Кожна нова або повторно відкрита подія викликає action, через який знахідки можна переслати деінде:

add_action( 'nightward_event', function ( array $event ) {
	// ключі $event: id, module, type, severity, title, details,
	// component, file, line, fingerprint
	if ( 'critical' === $event['severity'] ) {
		// надіслати в Slack, Telegram, збирач логів...
	}
} );

Ідентифікатори модулів: outbound, interception, hooks, privilege, options, cron, integrity, uploads, update_channel, hardening, system.

Loopback-запити Nightward мають заголовок X-Nightward-Probe і не враховуються в статистиці вихідних запитів.

Переклади

Текстовий домен - nightward. Шаблон - languages/nightward.pot. Переклади також можна покласти в wp-content/languages/plugins/nightward-{locale}.mo.

Збережені дані та видалення

Вирішені, переглянуті й проігноровані події, а також низькі й інфо видаляються після строку зберігання. Деактивація Nightward прибирає завантажувач і планові завдання, а дані лишає. Видалення з екрана «Плагіни» прибирає таблиці, опції, transient-и, метадані користувачів, завантажувач і планові завдання.

Межі

• Запити через «сирий» cURL, сокети чи file_get_contents() оминають HTTP API WordPress і не записуються.
• Код, що виконується раніше за Nightward, під час роботи не відстежується: wp-config.php, drop-in файли на кшталт db.php і object-cache.php, must-use плагіни, що завантажуються раніше за 0-nightward-early.php. Цілісність їхніх файлів усе одно перевіряється, де є еталон.
• Прямі зміни в базі знаходить щогодинний аудит, без файлу, який їх зробив.
• Преміум-плагіни й теми вважаються довіреними в стані першого сканування.
• Nightward - не файрвол. Він не блокує відвідувачів і не шукає сигнатури шкідливого коду. Той, хто має доступ до сервера, може вимкнути будь-який плагін, тому відсутній щоденний звіт - уже тривога.
• Зроблено і протестовано для окремих сайтів. Активація на всю мережу працює, але звіти й налаштування не розділені за сайтами.

Список змін

• 1.0.2 · 28 вересня 2026
  • Файли даних, що починаються з exit (Sucuri, Wordfence, плагіни кешу), більше не вважаються виконуваними скриптами в uploads. Відкриті події по них закриваються автоматично.
  • Нове: записи в списку оновлень без поля plugin потрапляють у звіт разом із кодом, що може змінювати список. Саме вони дають попередження «Undefined property: stdClass::$plugin» на сторінці Плагіни → Додати.
• 1.0.1 · 28 вересня 2026
  • Довірені хости також прибирають знахідки щодо Telegram і Discord. Кнопка «Довіряти» з'являється в таких подіях.
  • Листи лишаються читабельними, коли міст перетворює їх на текст.
• 1.0.0 · 28 вересня 2026
  • Перший реліз: десять моніторів, щоденний звіт і миттєві сповіщення, українська й англійська.