Verde vuol dire chiusa, rosso aperta

Riepilogo sicurezza WordPress

Le impostazioni di sicurezza stanno in una dozzina di schermate diverse, cosi' alla domanda "questo sito e' protetto?" la risposta onesta di solito e' "credo di si'". Deskmode mette ogni protezione in una pagina sola, verde se attiva e rossa se spenta, e aggiunge tre controlli che WordPress non fa: i plugin must-use che si caricano in silenzio, il file .user.ini di PHP, i file eseguibili fermi nella cartella uploads. Ogni riga e' un link alla pagina che risolve.

Prezzi Tutte le funzioni

Come funziona il riepilogo sicurezza WordPress

Una pagina che risponde a "questo sito e' protetto?"

Le impostazioni di sicurezza sono sparse per costruzione: il limite di tentativi in una schermata, i due fattori in un'altra, XML-RPC in una terza. Ognuna e' facile da attivare e altrettanto facile da dimenticare, cosi' la risposta onesta sullo stato di un sito e' quasi sempre una supposizione. Il riepilogo sostituisce la supposizione con un elenco.

Ogni protezione di Deskmode compare in una pagina sola con una pastiglia verde o rossa: verde se attiva, rossa se spenta, e sotto una riga che dice cosa comporta davvero. Non "limite REST: disattivato", ma "/wp-json risponde alla massima velocita' del server". Ogni riga e' un link diretto alla schermata che la attiva.

Tutte le protezioni a colpo d'occhio

  • Limite di tentativi di accesso, restrizione geografica, orari consentiti e notifiche dei blocchi.
  • Autenticazione a due fattori e captcha, con il captcha contato come attivo solo quando entrambe le chiavi API sono davvero salvate: un servizio configurato a meta' non risulta mai verde.
  • URL di accesso personalizzato, XML-RPC, enumerazione utenti, limite di richieste alla REST API e password per applicazioni.
  • Un contatore in cima: quante protezioni sono spente e quanti controlli richiedono attenzione.

Tre controlli che WordPress non fa

Il riepilogo guarda anche fuori dal plugin, dove stanno le cose che restano invisibili finche' qualcuno non e' gia' dentro. Tutti e tre sono in sola lettura: non viene cambiato, spostato o cancellato nulla.

  • Plugin must-use. Si caricano a ogni richiesta e non si disattivano dalla schermata Plugin. Molti hosting ne installano uno legittimo, ed e' esattamente il motivo per cui uno ostile li' passa inosservato. Il riepilogo elenca cosa c'e' nella cartella, cosi' riconosci cosa ci deve stare.
  • Il file .user.ini di PHP. Se esiste, se e' scrivibile dal web server, e a quanto sono davvero impostate open_basedir, allow_url_fopen, disable_functions e le altre. Ogni direttiva mostra il valore in vigore accanto all'indicazione se arriva da quel file o dal php.ini del server, perche' un file puo' esserci ed essere comunque ignorato.
  • File eseguibili in uploads. Una scansione ricorsiva che cerca .php, .phar, .phtml e un'altra dozzina di estensioni che il server potrebbe eseguire. Dentro una cartella di media non dovrebbe mai esserci del codice. Segnala anche quando manca un .htaccess che impedisca a PHP di girare li' dentro.

La scansione di uploads resta valida un'ora e si ferma dopo 20.000 file, cosi' non rallenta mai la bacheca su un sito con una libreria media grande. Quando si ferma prima, la pagina lo dice, invece di far passare per completo un risultato parziale.

Sul file .user.ini: vale solo quando PHP gira come CGI o FPM. Con mod_php il riepilogo lo dichiara e non emette alcun verdetto, invece di segnalare un problema che sul tuo server non esiste.

Leggi la documentazione

Riepilogo sicurezza WordPress: la schermata di Deskmode, con ogni protezione segnata come attiva o spenta e sotto i tre controlli sul sito.
Riepilogo Sicurezza WordPress: Verde vuol dire chiusa, rosso aperta.

Riepilogo sicurezza WordPress: domande frequenti

Riepilogo sicurezza WordPress: le domande che riceviamo piu' spesso

Cinque risposte su cosa controlla la pagina, cosa non fa di proposito, e come leggere un rosso che non e' colpa tua.

E' un antivirus per WordPress?

Fa una cosa diversa e complementare: ti dice quali delle tue difese sono spente, e guarda dove il codice non dovrebbe stare. Se ti serve una scansione con firme, affiancagli uno strumento dedicato, e leggi la guida all'irrobustimento di WordPress per le misure che nessun plugin puo' prendere al posto tuo.

Aprire la pagina cambia qualcosa sul sito?

Assolutamente nulla. Ogni controllo e' in sola lettura: i file vengono elencati e le impostazioni lette, mai modificate, spostate o cancellate. La pagina non ha un pulsante “sistema tu”, ed e' una scelta: un plugin che riscrive da solo il .user.ini o cancella file dalla cartella uploads puo' fare piu' danni del problema che voleva risolvere.

Ogni riga porta alla schermata dove la modifica la fai tu, dopo aver visto di cosa si tratta.

La pagina dice che il .user.ini e' di sola lettura, ma due direttive sono rosse. Com'e' possibile?

Sono due fatti distinti, ed entrambi veri. Il file va bene; sono i valori a essere fuori posto. Una direttiva che nel tuo .user.ini non e' scritta ha comunque un valore in vigore, ereditato dal php.ini del server, ed e' quello che il riepilogo riporta, perche' e' quello che PHP applica davvero.

La colonna Nel file distingue i due casi. “No, dal php.ini” vuol dire che da li' non la governi: o la aggiungi al tuo file, se l'hosting lo consente, o chiedi a loro di cambiarla.

Ha trovato un file PHP nella cartella uploads. Sono stato violato?

Non necessariamente, e non cancellare niente prima di aver guardato. Alcuni plugin di cache, backup e gallerie scrivono legittimamente PHP dentro uploads, e un index.php da zero byte e' un modo comune e innocuo di impedire l'elenco dei file.

Quello che conta e' se sai spiegartelo. Apri il file: se e' offuscato, codificato in base64, o non hai idea di cosa ce l'abbia messo, trattalo come un reperto e indaga sul serio. Il riepilogo punta la torcia, non decide al posto tuo.

Perche' i plugin must-use sono segnati in rosso se ce li ha messi l'hosting?

Perche' la pagina non puo' distinguere un aiuto dell'hosting da una backdoor, e fingere di saperlo fare sarebbe peggio del rosso. Qui il rosso vuol dire “guarda qui”, non “questo e' malevolo”: i plugin must-use si caricano a ogni singola richiesta e non si disattivano dalla schermata Plugin, ed e' esattamente per questo che quella cartella e' un nascondiglio preferito.

Leggi i nomi una volta, riconosci cosa ci ha messo il tuo hosting, e da quel momento ti accorgerai subito se compare qualcosa di nuovo.

Carrello