Shield montuje kod Twoich witryn w trybie tylko-do-odczytu na poziomie jądra Linux. Fortress dodaje WAF nginx, hardening PHP, skaner uploadów w czasie rzeczywistym i kontrolę wyjścia sieci. Bez kosmetycznego chmod — prawdziwa ochrona wymuszana przez jądro.
Docroot jest montowany w trybie tylko-do-odczytu na poziomie VFS jądra przez Docker bind mount :ro. Nawet skompromitowany root wewnątrz kontenera nie może pisać.
Docker bind mount w trybie tylko-do-odczytu na poziomie VFS. Żaden chmod, chattr ani exploit PHP tego nie obejdzie. Ochrona strukturalna, nie kosmetyczna.
WordPress, WooCommerce, Joomla, PrestaShop, Magento, Drupal, Laravel i Custom. Każdy profil wie, które foldery zachować zapisywalne (uploady, cache, sesje).
Tylko naprawdę niezbędne foldery (wp-content/uploads, cache, logi) pozostają zapisywalne. Wszystko inne — core, wtyczki, motywy — jest niezmienne.
Oprócz montowania w jądrze, nginx zwraca 403 dla każdego .php / .phtml / .phar / .pl / .cgi / .sh / .py wgranego do stref zapisywalnych. Obrona w głąb.
Cron healthcheck weryfikuje od wewnątrz kontenera, że docroot nadal jest tylko-do-odczytu. Natychmiast wykrywa jakikolwiek dryft montowania.
Przycisk w UI lub komenda CLI shield-enable. Aktywowalne podczas tworzenia kontenera. Wyłączalne na gorąco bez utraty danych.
WAF nginx generowany per reguła, hardening PHP, skaner uploadów w czasie rzeczywistym i kontrola wyjścia sieci. Aktywowalne / dezaktywowalne warstwa po warstwie.
SQLi, LFI, XSS, RFI, skanery, wrażliwe pliki, exec PHP w strefach uploadów, xmlrpc, rate-limit. Generowane z magazynu, wstrzykiwane przy reconfigure-domain.
Usługa systemd na domenę. Check MIME (libmagic), wzorzec PHP, ZipSlip, SVG, PDF, entropia Shannona, regeneracja obrazu Pillow. 7 indywidualnych checków.
Chirurgiczne disable_functions (exec, system, passthru, ...) + open_basedir + extra-disable / extra-allow per domena. Opcjonalny tryb strict dla stref ryzyka.
3 tryby: permissive (domyślnie), standard (blokada bind-shell do IP spoza whitelisty), strict (wewnętrzny DNS + ścisła allowlist IP). Zapobiega eksfiltracji danych.
Blokuje xmlrpc.php, blokuje REST API jeśli nieużywane. Mu-plugin umieszczany w wp-content/mu-plugins/ dla ochron inline.
Przycisk "Testuj WAF" uruchamia prawdziwy curl z payloadem SQLi przeciw domenie i sprawdza, czy nginx zwraca 403. Walidacja ciągła, nie deklaratywna.
Demo na żywo: próbujemy złośliwego uploadu PHP na WordPress, oglądamy jak Shield + Fortress to odrzucają. Bez zobowiązań.
