Za týden od 28. září do 5. října 2026 přibylo do WEDOS Global Protection (WGP) přes deset novinek. Část z nich už mají všechny chráněné weby automaticky, další jsou hotové a brzy je přidáme do nové administrace. Přinášíme stručný přehled.
Novinky, které už jedou
Roboti se už nedostanou k přihlášení do WordPress
Od 28. září dostane každý, kdo se chce přihlásit do administrace WordPress a ještě neprokázal, že je člověk, krátké automatické ověření v prohlížeči. Prohlížeč vyřeší výpočetní úlohu a člověk nic neopisuje ani nekliká na obrázky. Robot, který zkouší hesla, se k přihlašovacímu formuláři vůbec nedostane.
Proč to bylo potřeba: v jednom dni jsme naměřili 260 tisíc pokusů o přihlášení na 24 tisíc webů a 86 % z nich bylo se špatným heslem. Útoky přicházely rozptýleně z mnoha adres, takže je limit pokusů na jednu adresu nezachytil.
- Ochrana funguje automaticky u webů s výchozím nastavením, i když je WordPress nainstalovaný v podadresáři.
- Ověření se ukazuje jen jednou za čas, ne při každém přihlášení.
- Přihlášení jedním kliknutím z klientské administrace WEDOS, odhlášení a články chráněné heslem fungují dál bez ověření.
Podrobněji jsme o změně psali v článku Hádání hesel k WordPress z tisíců adres.
Každý požadavek dostane hodnocení: člověk, nebo robot?
Od 4. října WGP hodnotí každý požadavek na web skóre od 1 (určitě robot) do 99 (člověk) a zařadí ho do skupiny, například ověřený vyhledávač, nástroj nebo škodlivý robot. Hodnocení vychází z desítek znaků prohlížeče a spojení a denně se zpřesňuje podle provozu celé sítě.
Jak velký podíl provozu tvoří roboti, ukazuje jedno hodinové měření z 4. října: 32 % všech požadavků dostalo skóre 1, tedy jistě robot. 62 % provozu dostalo 70 a víc.
Hodnocení samo nic neblokuje. U většiny webů ho ale WGP předává webu v hlavičkách požadavku, takže ho vývojáři mohou použít ve vlastní aplikaci, třeba roboty nepočítat do statistik nebo jim nezobrazovat formulář:
X-WEDOS-Bot-Score– skóre 1–99,X-WEDOS-Bot-Class– skupina, do které požadavek patří.
Obrázky AVIF a další moderní formáty v cache
Od 3. října CDN pozná jako statické soubory i formáty AVIF, WebAssembly, JavaScriptové moduly, písma OTF a animace Lottie. Na webech s WordPress se AVIF ukládá do cache stejně jako WebP.
Co už umíme, ale musíte si počkat
Následující funkce jsou nasazené na WGP. V zákaznické administraci je zatím nenajdete, pro konkrétní web je umíme už i zapnout.
Nové stránky pro návštěvníky
- Web za heslem. Místo ověření se návštěvníkovi ukáže stránka s heslem, které si nastavíte. Hodí se pro rozpracovaný web, testovací verzi nebo interní stránky, bez jakékoli úpravy samotného webu. Proti hádání hesla je zabudovaná ochrana.
- Čekárna nejen při útoku. Když je web pod náporem, návštěvník místo chyby uvidí čekárnu. Prohlížeč na pozadí vyřeší náročnější ověření a pak ho pustí dál. Jedná se o experimentální funkci, která má pomoct webu zvládnout nápor.
- Náročné ověření s možností hesla. Přísnější ověření a pod ním tlačítko „Mám heslo“ pro lidi, které znáte.
Všechny tři stránky jsou ve 21 jazycích a obsahují technické údaje, které návštěvník jedním kliknutím zkopíruje a pošle podpoře.
Novinky na esfe serverech/CDN, bez zásahu do webu
- robots.txt a security.txt dodá WGP, web je mít nemusí. Řada automatických scannerů a crawlerů tyto soubory volá a v některých případech i když neexistují mohou přispívat k náporu na weby.
- Bezpečnostní hlavičky a CORS. Přidání bezpečnostních hlaviček a skrytí hlaviček, které prozrazují server a technologii webu.
- Režim údržby. Jedním přepnutím se web zobrazí jako „v údržbě“ (stránka v 11 jazycích). Vyhledávače dostanou signál, že jde o dočasný stav, a vy web vidíte dál normálně.
- Early Hints. Prohlížeč dostane předem tip, co má začít stahovat, ještě než web vrátí stránku. Stránka se tak načte rychleji.
- Přesměrování podle země. Například návštěvníky z Evropy chce poslat na jednu jazykovou verzi a ostatní na jinou. WGP umí i funkci „všechny kromě Česka“. Tato funkce opět uleví náporu na váš web.
Cache a roboti
- Rychlejší cache pro weby s cookies. Obrázky, styly a skripty se nově ukládají do cache, i když prohlížeč nebo web posílá cookies, které neovlivňují backend. Pomůže hlavně e-shopům a webům s přihlašováním.
- Roboti umělé inteligence. WGP nově rozpozná 147 robotů AI v 9 skupinách, například pro trénování modelů, vyhledávání nebo AI agenty. Seznam vychází z dokumentace provozovatelů, jako jsou OpenAI, Anthropic, Google, Perplexity, Meta, Mistral a Amazon. Běžné vyhledávače a náhledy odkazů pro sociální sítě mezi ně nepatří. Na požádání můžeme AI roboty na webu omezit.
- Ověření podle hodnocení robotů. Návštěvníci, které hodnocení označí za pravděpodobné roboty, dostanou ověření. Ověřené vyhledávače a statické soubory zůstávají bez ověření.
Opravené chyby
- 4. 10. Připojení AI asistentů k webu přes přihlášení OAuth narazilo na ověření a selhalo. Nyní funguje.
- 2. 10. Přesměrování mezi adresou s www a bez www se mohlo zacyklit. Nyní proběhne jednou a správně.
- 1. 10. Při přesměrování z http na https se ztrácela část adresy za otazníkem, například parametry kampaní. Nyní se adresa přenese celá.
- 30. 9. Při vypnutém ověření viděl návštěvník v některých případech prázdnou stránku. Nyní se zobrazí stránka s vysvětlením.
Kromě toho jsme zpřísnili ochranu proti několika typům zneužití.
Závěr
Děkujeme všem, kteří nám posílají tipy na nové funkce a pomáhají s diagnostikou problémů. Díky vám je WGP každý týden lepší a lepší 🙂