專案資訊

我們是 WebDecoy 開發團隊。WebDecoy Bot Detection 已上架 WordPress.org，是免費、可獨立運作的 WordPress 外掛。本機偵測不需要帳號或 API key，預設以 monitor 模式記錄活動。

安裝外掛｜設定說明與網站安裝入口

為什麼不只做 CAPTCHA

垃圾留言、假註冊與結帳自動化發生在不同路徑。把圖片題目放到每個訪客面前，不會告訴管理者哪些請求碰了隱藏路徑，也無法取代結帳頻率的觀察。

我們把伺服器端檢查、瀏覽器訊號與 deception traps 組合起來，讓管理者在本機查看記錄，再決定是否啟用攔截。

實作架構

• WordPress 原生留言、登入、註冊表單加入隱藏欄位並評估提交訊號；登入防護也包含速率限制。
• WooCommerce 觀察結帳速度、短時間重複嘗試和跨多張卡片的拒絕模式，支援 classic checkout 與 Blocks。
• 隱藏路徑與 honeytoken links 記錄自動化探索；偽檔案回應可包含本站專用的 canary credentials。另有 WordPress 特定路徑與誘餌優惠碼。
• JavaScript 可執行時，加入自動化框架與行為訊號。

這些訊號各有涵蓋範圍。hidden-path trap 與瀏覽器行為檢查不是同一種觀測來源，管理介面應讓人看得到具體觸發內容。

部署難題：裝上去就擋，容易看不懂影響

所以預設是 monitor：記錄與報表持續運作，但不攔截請求。先測試正常登入、留言、註冊與付款服務商支援的測試結帳，再檢視偵測紀錄、調整設定及 allowlist，之後才開啟 enforcement。

多站點管理可用 WP-CLI：

wp plugin install webdecoy --activate
wp webdecoy config set mode monitor
wp webdecoy config list
wp webdecoy status

也支援透過部署常數固定模式、隱藏管理介面、限制日誌保存時間與緊急停用，方便代管網站納入既有配備流程。

本機與雲端分開

本機有偵測日誌、統計、IP 管理與 CSV 匯出。依 WordPress.org 說明，主動連接 WebDecoy Cloud 前不進行外部連線。Cloud 可選擇加入中央儀表板、reputation enrichment 與整合；連接前可先閱讀資料傳送說明。

外掛是在 WordPress 裡執行。如果要在 PHP 收到請求前過濾，需要另外設定 edge 或 firewall；安裝外掛本身不會部署這一層。

從 WordPress.org 免費開始。歡迎交流本機防護、WooCommerce checkout hooks 與多站點部署的實作經驗。