Customer Email Verification for WooCommerce

Я рад, что нашел этот плагин на просторах интернета.
Еще одно звено, которого не хватало  в нашей защите сайта.
Рано или поздно каждый сайт начинает подвергаться хакерским атакам.
Защита сайта становится самой главной темой в повседневной жизни.
Хочу поделиться как мы решаем этот вопрос.
1. Мы поставили fail2ban
И дописали ему два правила.
[Definition]

_daemon = apache

failregex = ^<HOST> - - \[.*\] "(GET|HEAD) \/((?![wi])[a-z0-9.\-_]+\.php|\d+\.rar|\.env|[^.].*\.txt).* (?:404|403) .*$

datepattern = ^\S+ \S+ \S+ \[(%%d/%%b/%%Y:%%H:%%M:%%S(?: %%z)?)\]

ignoreregex = ^<HOST> - - .*"(GET|POST|HEAD).*(robots\.txt|ads\.txt|\.php$|\.jpg$|\.jpeg$|\.png$|\.gif$|\.css$|\.js$|\.svg$|\.woff$|\.woff2$|\.ttf$|\.eot$|xmlrpc\.php).*$

              .*SemrushBot.*

              .*Googlebot.*

              .*Bingbot.*

              .*Yahoo.*

              .*Baiduspider.*

              .*Sogou Pic Spider.*

              .*Yandex.*
Это простое правило отправляет в бан любителей поискать вредоносные файлы в корне нашего сайта. Очень полезное правило. Рано или поздно все хакеры отправляются в бан.

Второе правило для хакеров, которые ищут несуществующие папки в корне сайта.

failregex = ^<HOST> - - \[.*\] "(GET|HEAD) \/([a-zA-Z0-9_\-]+)\/? HTTP\/[12]\.[01]\" (404|403) .*$

datepattern = ^\S+ \S+ \S+ \[(%%d/%%b/%%Y:%%H:%%M:%%S(?: %%z)?)\]

ignoreregex = ^<HOST> - - .*"(GET|POST|HEAD).*(otzyvy\/).*$

              .*SemrushBot.*

              .*Googlebot.*

              .*Bingbot.*

              .*Yahoo.*

              .*Baiduspider.*

              .*Sogou Pic Spider.*

              .*Yandex.*

Всего два правила и вы быстро и надолго избавитесь от назойливых любителей поискать зараженные фалы у вас на сайте.
2. Мы поставили плагин GD Security Headers
Этот плагин просто обязан у вас быть.
Даже если вы не смогли защитить свой сайт и к вам попал зараженный скрипт, то этот плагин не даст ему запуститься. 
3. Много ботов регистрируются на сайте через api.
Чтобы исключить эту проблему мы поставили плагин Disable WP REST API
И теперь нашим api могут воспользоваться только зарегистрированные пользователи нашего сайта.

4. Но самой большой нашей проблемой была регистрация ботов через формы регистрации.
Нам не помогала CAPTCHA.
И просто спасением для нас стало использование плагина Customer Email Verification for WooCommerce
Данный плагин позволяет заблокировать любые действия пользователей, пока они не подтвердят свою регистрацию через электронную почту.
Это простое действие просто спасло нас.
Используя этот плагин мы решили проблему с регистрацией ботов на нашем сайте.
Это просто какой-то конвейер. Постоянно идут регистрации ботов. Проходит каких-то 1-2 часа и они автоматически удаляются с нашего сайта не причинив нам никакого вреда.
раньше мы постоянно удаляли всех ботов в ручном режиме. А сейчас все автоматизировано.
Я благодарен разработчикам этого плагина, что они поделились своим решением с большой аудиторией любителей wordpress, woocommerce. И так же хочу поделиться своим решением это проблемы. 
Спасибо вам за ваш плагин. 

Здравствуйте.
Могу ли я попросить вас сделать еще одно дополнение.
Я заметил, что все боты регистрируясь заполняют обязательные поля.
Но они не заполняют поле Имя потому, что это не обязательное поле.
Покупатели так никогда не поступают. Они хотят получить свой заказ, поэтому всегда будут заполнять это поле.
Могу ли я попросить вас добавить проверку заполнения поля Имя у пользователя?
Если это поле не заполнено, то блокировать все письма пользователю.
Сейчас ваш плагин находит и останавливает 95% ботов. Но есть 5 % ботов, которые проходят вашу проверку.
У них есть электронный адрес и они как-то подтверждают запрос по почте.
Но они тоже не заполняют не обязательное поле Имя.
Было бы удобно добавить проверку на заполнение поля Имя.
Скорее всего такая проверка будет нужна не каждому магазину.
Поэтому эта настройка должна быть подключаемой в настройках вашего плагина.
Если вы можете предложить другое решение этой проблемы, то я с радостью воспользуюсь вашим опытом.

Плагин работает с ошибкой.
В настройках плагина можно выбрать частоту автоматического удаления пользователей.
Но эта настройка не учитывает время когда пользователь зарегистрировался на сайте.
Иногда пользователь просто не успевает подтвердить получение почтового сообщения. Ему просто не хватает для этого времени.
Например, пользователь зарегистрировался в 14:57. А автоматическое задание на удаление пользователя запустится в 15:00. У пользователя есть всего лишь 3 минуты на подтверждение регистрации. И он может не успеть подтвердить свою регистрацию.
В настройках плагина надо добавить какое-то безусловное время ожидания регистрации. Например, 1 час после регистрации пользователя. Было бы удобно дать администраторам возможность самостоятельно устанавливать это время в своем магазине. И только по истечении этого времени добавлять удаление этого пользователя в автоматический процесс удаления.
В моем примере регистрация пользователя в 14:57
Безусловное время ожидания в течении 1 часа до 15:57
Удаление пользователя в 16:00

works great and support is very good

I host at WPEngine and its showing your plugin has a security rick. Says this:

Email Verification for WooCommerce – Active

Version 2.8.10

Security risk

• Security risk: sqli. The plugin contains a vulnerability wherein unauthenticated visitors could inject SQL statements into WordPress. SQL injection could allow an attacker to gain control of your site.

Severity: high

Fixed in: no fix yet

You might want to check into this because I uninstalled it. Once people see this, they should uninstall it too until you get it fixed.