Extensão

CrowdSec

Plugin CrowdSec não oficial, sem ligação com a CrowdSec: alertas, bloqueios e principais ameaças da sua Local API na administração do EmDash.

• Categoria: crowdsec
• Estado: Disponível
• Versão: 0.1.3
• Preço: Desconhecido
• Origem: Registro oficial de plugins
• Instalação: Plugin sandbox do registro
• Verificado: 2026-10-21

Copiar link Abrir no Claude Abrir no ChatGPT

Partilhar no X Partilhar no LinkedIn Partilhar no Reddit

Descrição

Plugin não oficial. Não é afiliado à CrowdSec, nem aprovado ou suportado pela CrowdSec.

CrowdSec na administração do EmDash, lido a partir da sua Local API do CrowdSec com um login de máquina próprio.

No painel: um cartão CrowdSec com os alertas das últimas 24 horas comparados com as 24 anteriores, os bloqueios em vigor neste momento, os alertas por tipo (WAF, desafio de bots, comportamento) e os principais cenários.

Página CrowdSec: 7, 30 ou 90 dias de alertas por tipo e de bloqueios emitidos por dia, com os principais cenários, endereços de origem, países, organizações AS e caminhos visados.

Alertas: um explorador dos alertas armazenados. Períodos de uma hora até todo o histórico guardado ou desde a sua última visita, separadores por tipo, duas divisões com histogramas, filtros por intervalo de endereços, país, cenário, comportamento, rede, caminho ou motor, alertas agrupados por endereço e o detalhe em tempo real de cada alerta.

Decisões: as decisões que a LAPI está a aplicar neste momento, lidas em tempo real e ordenadas por expiração.

Gráficos de tráfego: o tráfego malicioso descartado pelo bouncer da firewall, dividido entre a lista de bloqueio da comunidade, as suas próprias deteções e os bloqueios manuais, a sua quota no tráfego total, os pedidos web inspecionados e bloqueados, o desafio de bots e os bloqueios ativos por origem. A partir das métricas do seu próprio motor e bouncer, nunca da cloud da CrowdSec.

Ferramentas MCP: um resumo, as principais ameaças, um explorador de alertas, o tráfego, as decisões ativas e os alertas de um endereço, mais três que fazem alterações.

Alterações opcionais: com Permitir alterações ativado, os administradores podem bloquear um endereço ou intervalo durante um período fixo, remover uma decisão e eliminar alertas antigos. Um bloqueio nunca abrange o seu próprio endereço, o do site, o do anfitrião da LAPI, os seus endereços protegidos, o espaço privado nem um endereço de uma lista de permissões.

Os dias seguem o seu fuso horário. É necessária uma LAPI do CrowdSec acessível a partir do site.

Instalação

Precisa do CrowdSec 1.7 ou posterior com a sua Local API num nome de anfitrião HTTPS público (o EmDash rejeita endereços privados) e de EMDASH_ENCRYPTION_KEY definida no site (npx emdash secrets generate cria uma).

1. No anfitrião do CrowdSec, crie uma máquina para o plugin: sudo cscli machines add emdash-crowdsec --auto -f /root/emdash-crowdsec.yaml. O ficheiro contém o seu ID e a sua palavra-passe.
2. Publique a LAPI atrás de um proxy inverso que admita apenas o endereço do servidor EmDash e apenas estas rotas: POST /v1/watchers/login, GET /v1/alerts, GET /v1/alerts/. Para as alterações, acrescente também POST /v1/alerts, DELETE /v1/alerts/, DELETE /v1/decisions/ e POST /v1/allowlists/check. Nunca admita DELETE /v1/decisions sem id. Exclua o caminho de qualquer desafio de bots. O README inclui exemplos de nginx e Traefik para um único anfitrião.
3. Instale o plugin a partir do registo. A sua única permissão é o acesso à rede: ao URL da sua LAPI e, enquanto as alterações estiverem ativadas, a cloudflare-dns.com.
4. Em Plugins, abra as definições do plugin: introduza o URL da LAPI (sem /v1), o ID e a palavra-passe da máquina e o seu fuso horário. Guarde.
5. Abra Plugins, CrowdSec e selecione Check setup. Corrija tudo o que for assinalado.
6. Para permitir bloqueios e desbloqueios, ative Permitir alterações e adicione os endereços do seu servidor e de casa a Endereços protegidos.

No Cloudflare Workers, a sincronização precisa do acionador Cron do guia de implementação do EmDash. Para usar as ferramentas MCP, ative o acesso Agent do plugin em Plugins.

Perguntas frequentes

O plugin torna a minha LAPI do CrowdSec pública? Não. O EmDash só permite que um plugin chame nomes de anfitrião HTTPS públicos, por isso a LAPI é alcançada por um caminho num deles, mas o proxy à frente admite apenas o endereço do seu servidor EmDash e apenas as rotas que o plugin usa. Todos os outros recebem um 403, e cada pedido exige também o login de máquina do próprio plugin. A LAPI continua a escutar em 127.0.0.1. O README mostra a configuração.

O login falha com «incorrect Username or Password», mas a palavra-passe está correta. A LAPI rejeita um User-Agent que não tenha a forma name/version. Um proxy que substitua o do plugin causa isto.

A verificação da configuração diz que uma rota foi recusada (403). O seu proxy não a admite para o servidor EmDash. Adicione-a como o README mostra.

Porque são baixos os números dos primeiros dias? O histórico é lido começando pelo mais recente, uma janela de cada vez. A página indica-o enquanto ainda está a ser lido.

Porque é a lista de decisões mais curta do que cscli decisions list? Lista as suas próprias decisões. A lista de bloqueio da comunidade e outras listas contêm milhares a mais, mostradas como um único total acima da lista.

Porque são aproximadas as classificações? Cada dia guarda apenas os seus 25 valores mais frequentes, pelo que os raros são subcontados.

Onde estão os selos de reputação? O plugin nunca consulta a cloud da CrowdSec. O explorador mostra indicações locais: Banned now e Seen before.

A minha LAPI recolhe alertas de vários anfitriões. Cada alerta mantém o motor que o gerou. Dê-lhes nomes na definição Engine names.

Porque não consigo eliminar este alerta? Eliminá-lo apagaria as suas decisões sem que os bouncers soubessem. Remova a decisão e elimine o alerta dois minutos depois.

Porque foi recusado o meu bloqueio? A mensagem indica a regra. O README lista todas.

De onde vêm os gráficos de tráfego? Das métricas do seu próprio motor e do bouncer da firewall, nunca da cloud da CrowdSec. Defina os respetivos URL nas definições.

Em que fuso horário estão os dias? No da definição Time zone, Australia/Sydney se não o alterar. Um nome desconhecido pausa a sincronização e o histórico é mantido.

Segurança

Comunique um problema de segurança de forma privada através do formulário de avisos de segurança do repositório: https://github.com/shanelord01/emdash-crowdsec/security/advisories/new

A que o plugin pode aceder

Apenas a pedidos de rede, para dois destinos: o URL da LAPI que introduz e, enquanto Permitir alterações estiver ativado, cloudflare-dns.com para consultar os endereços do site e do anfitrião da LAPI. Não tem acesso aos seus conteúdos, utilizadores nem multimédia. Usa apenas as rotas da LAPI listadas no README, nunca DELETE /v1/decisions com um filtro, nunca a eliminação em massa de alertas, e não segue redirecionamentos, pelo que a palavra-passe nunca é enviada para outro anfitrião. O HTTP simples e os URL com credenciais são rejeitados.

Credenciais

A palavra-passe da máquina é guardada cifrada com EMDASH_ENCRYPTION_KEY. O token da LAPI nunca é guardado: cada execução faz login e mantém-no em memória. Dê ao plugin uma máquina própria e publique a LAPI de modo a que só passem o servidor EmDash e apenas as rotas do plugin.

Quem pode fazer o quê

Os editores e administradores veem o cartão, as páginas e as ferramentas de leitura. Apenas os administradores podem alterar alguma coisa, e só com Permitir alterações ativado. Nas páginas, o plugin verifica a função por si próprio. As rotas das ferramentas de escrita são limitadas a administradores pelo EmDash.

Proteções dos bloqueios

Um bloqueio é recusado, indicando a regra, quando abrange o endereço de quem o pede (numa ferramenta MCP, a saída do cliente), os endereços do site ou do anfitrião da LAPI, uma entrada de Endereços protegidos, espaço privado, de loopback, link-local, CGNAT (incluindo o 100.64.0.0/10 da Tailscale), multicast ou reservado, um intervalo maior do que /16 ou /48, ou uma entrada da lista de permissões do CrowdSec, verificada primeiro porque a LAPI a ignora nos bloqueios manuais. Um IPv6 que transporta IPv4 é avaliado por esse endereço IPv4, e o Teredo é recusado. Uma entrada protegida incorreta faz com que qualquer alteração seja recusada.

Eliminação de alertas

Um alerta só é eliminado quando as suas decisões terminaram há mais de dois minutos, porque eliminá-lo remove as suas decisões sem que os bouncers saibam.

Registo de alterações

0.1.3

• No EmDash 1.2 e posteriores, as páginas ficam agrupadas numa única pasta CrowdSec na barra lateral (Overview, Alerts, Decisions). Os seus endereços não mudam, e as versões mais antigas do EmDash listam-nas uma a uma.
• Os bloqueios ativos por origem requerem o level: full do Prometheus do motor. A secção Metrics do README explica-o.
• Sem novas permissões nem alterações às ferramentas MCP.

0.1.2

• Os filtros do explorador de alertas cabem numa única linha e aplicam-se assim que os escolhe.

0.1.1

• A página de alertas do CrowdSec passa a ser um explorador: períodos de uma hora até todo o histórico ou desde a sua última visita, separadores por tipo, duas divisões comutáveis com histogramas, filtros em forma de chips, alertas agrupados por endereço com uma vista de cada endereço e o detalhe em tempo real de cada alerta, e indicações Banned now e Seen before.
• Motores: cada alerta mantém o agente CrowdSec que o gerou, como divisão e filtro, mais uma coluna e um gráfico quando há mais de um, com os nomes definidos na definição Engine names.
• Uma nova ferramenta MCP, alerts_explorer. O EmDash volta a pedir o acesso Agent ao atualizar.
• Os alertas armazenados passam para um registo de alertas compacto durante as primeiras sincronizações.
• Dados de demonstração removidos: o plugin precisa de uma LAPI acessível. Uma instalação que os usava pede as definições da LAPI e apaga as suas linhas de demonstração depois de definidas.
• Durações mais curtas, tabelas mais estreitas, uma página de 90 dias com barras de três dias e um amostrador de métricas que segue as suas definições sem visitar o painel.

0.1.0

Primeira versão: o cartão do painel, a página CrowdSec, as páginas de alertas e decisões, uma verificação da configuração, gráficos de tráfego, oito ferramentas MCP e, para os administradores, bloqueios, desbloqueios e eliminação de alertas opcionais, com proteções para os seus próprios endereços.

Histórico completo: CHANGELOG.md.