Spis treści
Czym jest Restricted Site Access i kiedy się przydaje
Restricted Site Access to wtyczka od 10up, która ogranicza dostęp do całej witryny tylko dla zalogowanych użytkowników lub osób z dozwolonych adresów IP. Reszta odwiedzających trafia na ekran logowania, na wybrany adres URL, na wskazaną stronę albo widzi własny komunikat. To praktyczne rozwiązanie dla extranetu, intranetu hostowanego publicznie, środowisk staging i testowych, a także stron w trakcie przebudowy. Wtyczka dodaje ustawienia w sekcji Czytanie w WordPress i posiada wariant konfiguracji na poziomie sieci w instalacjach multisite.
Kluczowe funkcje w pigułce
- Blokada całego serwisu dla osób niezalogowanych z wyjątkiem adresów z listy dozwolonych – dotyczy to również botów i wyszukiwarek.
- Różne tryby obsługi zablokowanych: przekierowanie do logowania, przekierowanie pod dowolny URL, wyświetlenie zdefiniowanego komunikatu lub konkretnej strony.
- Lista dozwolonych IP z obsługą zakresów oraz skrót “dodaj mój bieżący adres IP”.
- Ustawienie kodu odpowiedzi HTTP dla przekierowań i opcja zachowania żądanej ścieżki URL – przydatne dla SEO i wygody użytkownika.
- Pełne wsparcie multisite z panelami na poziomie sieci i pojedynczego serwisu.
Instalacja i szybka konfiguracja
- Zainstaluj i aktywuj wtyczkę z repozytorium WordPress.
- Wejdź w Ustawienia – Czytanie i włącz tryb ograniczenia dostępu. Wybierz, czy odwiedzający mają trafić na logowanie, na konkretny adres URL, zobaczyć komunikat lub stronę.
- Dodaj adresy IP, które mają mieć stały dostęp – możesz wpisać pojedyncze IP lub zakresy. Dostępny jest skrót dodawania bieżącego IP.
- Jeśli przekierowujesz, zdecyduj o kodzie HTTP (np. 302 tymczasowe, 301 stałe) oraz czy zachowywać żądaną ścieżkę.
- Zapisz ustawienia i przetestuj w trybie incognito oraz z innej sieci, aby potwierdzić, że lista IP i przekierowania działają zgodnie z planem.
Najczęstsze scenariusze użycia
- Staging i QA – ogranicz dostęp do zespołu poprzez allowlistę IP i przekierowanie reszty na stronę informującą, że to środowisko testowe.
- Extranet lub intranet – wpuść tylko zalogowanych użytkowników, a niezalogowanych kieruj na ekran logowania.
- Przebudowa serwisu – wpuść zespół i agencję po IP, a gości przekieruj na tymczasowy landing lub komunikat o pracach.
Multisite – na co zwrócić uwagę
W instalacjach multisite wtyczka dodaje odpowiednie opcje w panelu sieci i pozwala centralnie wymuszać zasady widoczności dla poszczególnych serwisów. Jeśli witryna subsieci jest ograniczona do logowania, użytkownik bez roli na tym konkretnym serwisie może trafić w pętlę przekierowań po zalogowaniu. Dlatego w sieci warto jasno definiować role na poziomie danej strony lub zamiast logowania stosować przekierowanie na stronę informacyjną. Testuj ten wariant przed wdrożeniem.
Wpływ na SEO i indeksowanie
Gdy blokada jest aktywna, Twoja strona nie jest dostępna dla robotów, bo traktowane są jak zwykli odwiedzający bez dostępu. To efekt zamierzony w środowiskach testowych – zapobiega przypadkowemu zindeksowaniu stagingu. Jeśli przekierowujesz odwiedzających, ustaw właściwy kod HTTP: 302 informuje, że to rozwiązanie tymczasowe, 301 – że stałe. Opcja zachowania ścieżki sprawia, że użytkownik po odblokowaniu trafi pod identyczny adres, co poprawia UX.
Caching, reverse proxy i inne pułapki
Wtyczka działa na poziomie WordPress, więc niektóre wtyczki cache lub warstwy cache po stronie serwera mogą podać gotową kopię strony, zanim sprawdzony zostanie dostęp. Zadbaj o wykluczenia w cache lub użyj logiki, która przepuszcza tylko dozwolone żądania. W środowiskach z reverse proxy lub CDN upewnij się, że WordPress widzi prawdziwe IP klienta przez nagłówki X-Forwarded-For – w przeciwnym razie allowlista nie zadziała. Testuj również z dynamicznymi adresami IP i VPN, które mogą się zmieniać.
Dobre praktyki konfiguracji
- Zaczynaj od “tylko zalogowani” na projektach zamkniętych, a IP traktuj jako dodatkową kontrolę dla zespołu i partnerów.
- Dla stagingu używaj przekierowania 302 i prostego landingu informującego o trwających pracach. Po publikacji usuń blokadę lub zmień zasady, aby nie utrudniać indeksowania i ruchu organicznego.
- W multisite unikaj wysyłania użytkowników bez roli na danej stronie prosto do logowania – lepiej przekierować ich na informacyjną podstronę z instrukcją dostępu.
- Zadbaj o wyjątki IP z wyprzedzeniem – dodaj swój aktualny adres jednym kliknięciem i zweryfikuj dostęp z sieci domowej, biurowej oraz przez VPN.
- Skonfiguruj wykluczenia w cache wtyczki/warstwy serwera i sprawdź nagłówki IP przy proxy/CDN.
Krok po kroku: przykładowa konfiguracja stagingu
- Włącz Restricted Site Access i ustaw “Restrict site access to logged in users or allowed IPs”.
- Wybierz “Redirect” i wskaż publiczny adres podstawowej witryny lub specjalny landing informacyjny. Włącz zachowanie ścieżki, aby po publikacji łatwiej weryfikować podstrony.
- Dodaj IP biura, deweloperów i QA – pojedyncze adresy lub zakresy. Skorzystaj z opcji szybkiego dodania bieżącego IP.
- Ustaw kod 302 i zapisz. Wyloguj się, otwórz okno prywatne i sprawdź zachowanie.
- Skonfiguruj wykluczenia w cache i sprawdź, czy nagłówki IP przekazywane są do WordPress.
Porównanie z alternatywami
Jeśli chcesz zamknąć cały serwis jednym przełącznikiem, Restricted Site Access jest prostszy niż rozbudowane wtyczki do ról i członkostwa. Gdy potrzebujesz selektywnego blokowania treści, lepsze będą narzędzia do kontroli dostępu na poziomie wpisów i bloków, np. Content Control. Do scenariuszy członkowskich z poziomami uprawnień sprawdzi się Restrict User Access, a do zaawansowanej kontroli uprawnień i ról – Advanced Access Manager. Te wtyczki rozwiązują inne problemy niż globalna zasłona na cały serwis.
Rozwiązywanie problemów
- Widzę stronę mimo blokady – sprawdź, czy wtyczka cache nie serwuje kopii przed sprawdzeniem dostępu i dodaj odpowiednie wykluczenia.
- Pętla przekierowań po logowaniu w multisite – nadaj użytkownikowi rolę na danej stronie lub zamiast logowania użyj przekierowania na stronę informacyjną.
- Użytkownicy z biura nie mają dostępu – zweryfikuj, jakie IP widzi WordPress za reverse proxy/CDN i zaktualizuj allowlistę.
- Boty indeksują staging – upewnij się, że blokada jest aktywna i nie ma “dziur” w cache/serwerze. Dla pewności wyłącz ruch robotów regułami na serwerze lub nagłówkami.
Wskazówki operacyjne i bezpieczeństwo
Pracuj na listach IP równolegle z kontami użytkowników – gdy IP się zmienia (ISP, mobilnie, VPN), logowanie nadal da dostęp. Dokumentuj, do kogo należą dopisane adresy i zakresy. Regularnie weryfikuj ich aktualność. Łącz zasłonę na poziomie WP z kontrolami na serwerze, jeśli serwis hostuje dane wrażliwe. Po zakończeniu prac wyłącz blokadę lub zmień zasady, aby nie utrudniać indeksowania i ruchu organicznego.
