CodeSeven Security Pro

Modern Security Platform за WordPress

CodeSeven Security Pro е платформа за защита на WordPress сайтове, изградена с философията на съвременните SaaS security tools — не като поредния "antivirus plugin" с тревожни червени банери, а като Security Operations Console в стил Linear / Vercel / Datadog. Спокоен, оперативен интерфейс, на който professional администратор може да разчита всеки ден.

Изграден от 6 интегрирани модула — Firewall, Login Security, Activity Monitor, Health, Operations Dashboard и Notifications — които работят като единен security ecosystem с обща telemetry pipeline, normalized event schema и dynamic risk scoring.

Първият WordPress security плъгин, при който firewall-ът не може да заключи собствения си админ от сайта (Trusted Admin Protection, v1.0.4).

🛡️ Firewall — Modern Rule Engine

Не е примитивен IP blocker. Plugin-ът използва pipeline-based request processing с rule engine и threat scoring — всяка заявка минава през конфигурируеми правила преди да достигне до WordPress.

• IP Blocklist Management — автоматично блокиране с конфигурируем TTL (default 60 минути)
• Stable TTL (v1.0.4) — "1 час блок" реално значи 1 час, дори при continuous атака — repeat hits увеличават attempts counter, но не refresh-ват blocked_until
• Static IP Whitelist (v1.0.4) — преминава през всички firewall проверки за CI servers, monitoring, office network
• Trusted Admin Protection (v1.0.4) — auto-learn IP + User-Agent (sha256 fingerprint) при успешен админ login. Защо IP+UA, не само IP? Защото attacker на същия IP не може да piggyback върху доверена сесия. Default ON, TTL 30 дни
• Firewall Rules Registry — pluggable правила с приоритет, condition и action
• XML-RPC Protection — изключено по подразбиране (един от най-атакуваните endpoints в WordPress)
• Detailed Event Logs — full audit trail на всяко блокирано request с IP, reason, rule matched

🔐 Login Security — Authentication Intelligence Engine

Не е "5 fails = ban" plugin. Multi-stage analyzer с identity correlation, device fingerprinting и dynamic risk scoring.

Progressive Penalties (вместо binary block)

• 3 неуспеха — 5 секунди delay (бавно отговаряне към ботове)
• 5 неуспеха — warning event emit-нат в Activity stream
• 8 неуспеха — 15 минути IP block
• 15 неуспеха — 24 часа block + admin notification
• Всеки threshold е конфигурируем през settings

Identity Correlation Engine

Built-in correlators, които откриват сложни attack patterns:

• Credential Stuffing — same IP + 5+ different usernames за 10 минути → hard block IP 24h
• Distributed Brute Force — same username + 10+ different IPs за 30 минути → block username + admin notification
• Admin Probing — 3+ failed attempts срещу "admin" username → block IP 1 час
• Username Enumeration — 10+ attempts срещу несъществуващи usernames → block IP 2 часа

Dynamic Risk Scoring

НЕ статична severity. Score се изчислява динамично базиран на: failure count, velocity (attempts per minute), username intelligence (admin probing), bot signature detection, business hours / new country / previously blocked IP — общо 11 фактора.

Device Fingerprinting

Lightweight session correlation чрез sha256 hash на IP + User-Agent + Accept-Language + Accept-Encoding. Не е invasive tracking — само anomaly detection и session correlation.

2FA Architecture Ready

Pluggable provider system готов в кода — TOTP (Google Authenticator), Email OTP, Backup Codes, WebAuthn / passkeys. Имплементацията на providers идва в следващи версии.

📊 Activity Monitor — Telemetry Engine

Не е activity log. Production-grade event pipeline с normalized schema, threat correlation и event-driven feedback loop.

Normalized Event Schema

Всяко събитие в системата има UUID, trace_id, category, severity, actor (IP / user / country), context, risk_score, tags и timestamp в стандартизиран JSON формат — готов за SIEM интеграция или cloud sync.

Event Categories

• auth — login.success, login.failed, password.reset
• firewall — request.blocked, rule.triggered
• system — plugin.installed, theme.changed, core.updated
• filesystem — file.modified, file.created, file.deleted
• api — endpoint.unauthorized, malformed.payload
• license — activation.success, validation.failed
• user — user.created, role.changed, capability.granted

Severity-Based Retention

Различна retention policy за различна severity (asynchronous cleanup via WP-Cron):

• debug → 7 дни
• info → 30 дни
• notice → 60 дни
• warning → 90 дни
• high → 180 дни
• critical → 365 дни
• emergency → PERMANENT (никога не се изтрива)

Async Ingestion

Events НЕ се записват синхронно по време на request. In-memory queue + batch INSERT на shutdown — zero blocking на user requests, до 100× по-бързо от per-event writes. Built за 10 милиона events.

Threat Correlation

Сингли събития са noise — patterns са signal. Correlation rules групират свързани събития в threat narratives (напр. brute force + успешен login + role change = critical incident).

❤️ Health & Metrics — Operational Observability

Required модул — единственият, който не може да се изключи. Foundation за всички dashboard визуализации.

Real-Time Health Service

Per-request health checks с reporting от всеки компонент: DB connectivity + latency, migration state, module registry (active vs loaded), cache health, event bus, activity ingestion queue depth, login security state, firewall state. Output: healthy / degraded / critical с per-component breakdown.

Pre-Computed Metrics Aggregation

Dashboard НЕ query-ва raw events (би убило performance-а при 1M+ events). Background workers агрегират hourly + daily metrics, dashboard чете pre-computed rows. Под 50ms за 24h summary.

Background Jobs System

Managed job runner с пълен audit trail:

• HealthSnapshotJob — capture system state на всеки 5 минути
• MetricsHourlyAggregator — hourly rollup в :05 на всеки час
• MetricsDailyAggregator — daily rollup в 03:00 UTC
• RetentionCleanupJob — async cleanup на изтекли events
• ExpiredBlocksCleanup — почиства expired login blocks

Transient-based mutex предотвратява duplicate concurrent execution. Stale lock auto-clears.

📈 Security Operations Console (Dashboard)

Premium SOC dashboard в React (via @wordpress/element). Не "WordPress admin page" — визуална идентичност Linear / Vercel / Datadog.

Security Score (0-100)

Composite метрика — product differentiator. Изчислява се server-side от 5 сигнала:

• Active critical blocks (capped at -30)
• Failed logins last 24h (capped at -20)
• Active firewall blocks (capped at -15)
• Degraded health components (capped at -20)
• Inactive required modules (capped at -15)

Color coding: 80-100 green (healthy), 50-79 amber (attention), 0-49 red (critical). Trend pill показва delta спрямо предишно измерване.

Three-Tier Layout

Top: 5 Security Posture Cards — Threat Level, Active Blocks, Failed Logins, System Health, Module Status. Sparklines + click-through.

Middle: 4 Charts — Hourly Threats (line), Auth Failures (line), Severity Distribution (donut), Category Breakdown (bar). От aggregated metrics, never raw events.

Bottom: 3 Operational Streams — Recent Activity (last 20 events), Login Attempts (last 50 с risk score), Blocked Requests (last 50 от firewall logs). Tabbed, paginated.

Smart Polling

Auto-pause при tab hidden (Page Visibility API). Per-resource intervals — health 30s, metrics 60s, activity 15s. Manual refresh винаги налично.

Performance Budget

• Initial render < 100ms след data loaded
• < 10 API calls на dashboard view
• < 50KB JS bundle (gzipped)

📧 Notifications — Smart Alert Delivery

Не "email при всяка грешка". Configurable notification layer с rate limiting и cooldown.

• Configurable Recipient — email адрес за alert delivery
• Severity Threshold — минимална severity, която trigger-ва notification (default: high)
• Category Filtering — firewall / auth / health / system / license
• Frequency Modes — realtime / daily / weekly digest
• Cooldown (default 15min) — идентични събития се suppress-ват, за да не получаваш 100 еднакви имейла при continuous атака
• Queue + Delivery Jobs — async delivery, не блокира request flow

⚙️ 23 Конфигурируеми Настройки

Всеки threshold, retention period и поведение е настройваемо през Settings UI:

• Firewall — enable / block duration / XML-RPC allow / log allowed requests
• Login — 4 threshold-а (delay/warn/temp/long) + 2 duration-а + IP whitelist
• Activity — enable + 7 retention периода по severity
• Notifications — enable / threshold / recipient / frequency / categories / cooldown

🏗️ Архитектура

• 22 database таблици с правилни compound indexes за всички query patterns
• 33 REST endpoints под namespace /cssp/v1
• Locked response envelope — semver discipline, no breaking changes в v1.x
• Modular DI container с event bus между модулите
• WP_Error responses с HTTP 400/401/403/404/422/500
• PHP 8.4 съвместим

🎯 За кого е?

• Professional WordPress администратори — които искат SaaS-grade tools, не free plugin look
• Agencies, които поддържат много сайтове — Agency Unlimited план + cross-site visibility
• Production e-commerce сайтове — където downtime струва пари
• Membership и SaaS сайтове — където auth security е критична
• B2B сайтове — където compliance audit trail е изискване
• Бизнеси, които вече са изпитали lockout — Trusted Admin Protection е застраховка срещу най-болезнения сценарий

💡 Защо CodeSeven Security Pro вместо Wordfence?

• Premium SaaS UI вместо overcrowded admin pages
• Calm operational tone — не паническо червено
• Modular architecture — изключи модули, които не ти трябват
• Trusted Admin Protection — Wordfence няма еквивалент
• Async event pipeline — не забавя сайта дори при high traffic
• BG / EN / DE native поддръжка
• By-domain pricing — fair и предвидим

🔒 Защита продължава дори при изтекъл лиценз

Уникална гаранция: protection continues even if license lapses. Само updates и support изискват активен лиценз. Сайтът ти никога не остава без защита поради propусната renewal дата.

⚙️ Технически изисквания

• WordPress 5.8 или по-нов
• PHP 7.4 или по-нов (тестван до PHP 8.4)
• MySQL 5.7+ или MariaDB 10.3+
• Текуща версия: 1.0.4