Web Application Firewall. Web Application Firewall blokkeert misbruikende IP-adressen, CIDR-bereiken, hele landen en slechte bots, beperkt de aanvraagfrequentie van agressieve clients, beschermt de login van uw back-office tegen brute force en stopt gangbare aanvalspatronen (SQLi / XSS / LFI / probing). Een vertrouwde whitelist met bescherming tegen buitensluiten houdt u veilig en elk geblokkeerd verzoek wordt vastgelegd. Geen programmeerwerk, geen aanpassingen aan het thema.
Web Application Firewall blokkeert misbruikende IP-adressen, CIDR-bereiken, hele landen en slechte bots, beperkt de aanvraagfrequentie van agressieve clients, beschermt de login van uw back-office tegen brute force en stopt gangbare aanvalspatronen (SQLi / XSS / LFI / probing). Een vertrouwde whitelist met bescherming tegen buitensluiten houdt u veilig en elk geblokkeerd verzoek wordt vastgelegd. Geen programmeerwerk, geen aanpassingen aan het thema.
1. Installatie
- Ga in het back-office naar Modules → Module Manager → Upload a module en selecteer de ZIP van de module.
- Klik na de installatie op Configure om de installatiewizard te openen.
.local, .test, localhost) zijn altijd toegestaan. Zodra er een nieuwe versie beschikbaar is, wordt dit direct in de module getoond.Als u in plaats van de bevestiging de melding ‘Upload failed’ ziet, heeft PrestaShop de module mogelijk zonder bericht uitgeschakeld: uw instellingen en gegevens blijven behouden. Hoe u een module bijwerkt en wat u doet bij de melding ‘Upload failed’.
2. Configuratie: stap voor stap
De module is opgebouwd uit tabbladen: Rules & whitelist, Blocked log, Login protection en Settings. De onderstaande secties volgen het tabblad Settings, waar elke bescherming een eigen schakelaar heeft.
General hoofdschakelaar
De aan/uit-schakelaar voor de hele firewall, plus hoe het IP-adres van de client wordt gelezen.
- Enable firewall: hoofdschakelaar. Uit = er wordt niets gefilterd in het front-office.
- Behind a proxy / CDN: schakel dit alleen in als uw webwinkel echt achter een vertrouwde proxy of CDN staat. Anders zijn proxyheaders te vervalsen en kan een aanvaller zijn IP-adres of land vervalsen.
- Trusted proxy header: welke header het echte IP-adres van de client bevat: Auto (Cloudflare → X-Real-IP → X-Forwarded-For), CF-Connecting-IP, X-Real-IP of X-Forwarded-For.
IP / CIDR blocking
Blokkeer afzonderlijke IP-adressen of hele CIDR-bereiken.
- Enable IP / CIDR blacklist: schakelt het blokkeren van IP-adressen en bereiken in.
- De eigenlijke vermeldingen van de blacklist en de whitelist beheert u op het tabblad Rules & whitelist. Een IP-adres of CIDR-bereik op de whitelist omzeilt alle andere controles.
Country blocking
Sta bezoekers toe of weiger ze op basis van het land (ISO-2-codes).
- Enable country blocking: schakelt het geografische filter in.
- Mode: Block-list (blokkeer de vermelde landen) of Allow-list (sta alleen de vermelde landen toe).
- Country codes: door komma's gescheiden ISO-2-codes, bijv.
RU, CN, KP. - GeoIP database path: optioneel pad naar uw eigen MaxMind GeoLite2-bestand
.mmdb. Er wordt geen GeoIP-database meegeleverd (licentiebeperkingen); lever er zelf een aan, of vertrouw op een landheader van een CDN (bijv. CF-IPCountry) door ‘behind proxy/CDN’ in te schakelen.
Bad bots / user-agents
Blokkeer bekende scrapers, scanners en verdachte clients op basis van hun User-Agent.
- Enable user-agent blocking: schakelt het filteren op UA in.
- Block empty user-agents: weigert verzoeken die helemaal geen User-Agent meesturen.
- Extra blocked user-agent substrings: één tekstfragment per regel; wordt samengevoegd met een verstandige ingebouwde lijst van bekende scrapers en scanners.
Rate limiting
Beperk clients die in korte tijd te veel verzoeken sturen.
- Enable rate limiting: schakelt de begrenzer in.
- Max requests per window: hoeveel verzoeken een IP-adres mag sturen voordat het wordt afgeremd.
- Window (seconds): het voortschrijdende tijdvenster waarin de verzoeken worden geteld.
- Temporary block duration (seconds): hoe lang een overtredend IP-adres geblokkeerd blijft.
Attack-pattern blocking
Herken en blokkeer gangbare aanvalskenmerken in verzoeken.
- Enable attack-pattern blocking: blokkeert patronen van SQLi, XSS, LFI en probing.
- Voeg uw eigen patronen toe, of zet legitieme URL's die anders zouden passen op de whitelist, op het tabblad Rules & whitelist.
Back-office login protection
Verdedig de beheerlogin tegen brute-force-pogingen.
- Enable login protection: volgt mislukte logins in het back-office per IP-adres en gebruikersnaam.
- Max failed attempts, Attempt window (seconds) en Lockout duration (seconds): na te veel mislukte pogingen binnen het venster wordt de bron tijdelijk buitengesloten.
- Allow back office only from whitelisted IPs: beperkt de toegang tot het beheer tot IP-adressen op de whitelist. Zorg dat uw huidige IP-adres eerst op de whitelist staat (de pagina toont uw IP-adres en waarschuwt u als het er niet op staat).
Maintenance & logging
Lockdown-modus en het logboek met geblokkeerde verzoeken.
- Lockdown mode: laat alleen IP-adressen op de whitelist de webwinkel bereiken (noodslot). Zet eerst uw IP-adres op de whitelist.
- Log blocked requests: legt elk geblokkeerd verzoek vast (bladeren en exporteren kan op het tabblad Blocked log).
- Log retention (days): hoe lang logregels worden bewaard.
- Drop all data on uninstall: indien ingeschakeld, verwijdert het deïnstalleren van de module ook de regels en logboeken.
3. Controleer of het werkt
- Op het tabblad Rules & whitelist toont de banner uw huidige IP-adres en of het op de whitelist staat. Voeg het toe voordat u lockdown of de modus ‘alleen back-office-whitelist’ inschakelt.
- Voeg een test-fragment van een slechte user-agent toe en vraag daarna een pagina op met die User-Agent: het verzoek moet worden geblokkeerd en in het Blocked log verschijnen.
- Open het tabblad Blocked log: geblokkeerde verzoeken verschijnen met hun IP-adres, land, reden en URI; u kunt filteren, naar CSV exporteren of het logboek wissen.
- Het tabblad Login protection toont mislukte logins in het back-office en laat u een blokkade met één klik opheffen.
4. FAQ
Kan ik mezelf buitensluiten?
Het tabblad Rules toont altijd uw huidige IP-adres en waarschuwt u als het niet op de whitelist staat. Zet het op de whitelist voordat u lockdown of de modus ‘alleen back-office-whitelist’ inschakelt, dan kunt u niet worden buitengesloten.
Heeft het blokkeren van landen een externe dienst nodig?
Nee. De module leest een landheader van een CDN als u achter een proxy of CDN staat, of uw eigen MaxMind GeoLite2-database. Er worden geen GeoIP-gegevens meegeleverd en er verlaten geen aanroepen uw server.
Vertraagt het mijn webwinkel?
Nee. De controles zijn licht en draaien vroeg in het verzoek; legitieme bezoekers merken er niets van.
Moet ik mijn thema aanpassen?
Nee. De firewall werkt via standaardhooks en is compatibel met elk thema.