Disattivazione, disinstallazione e dati personali

Prima di disinstallare il plugin CSDN conviene sapere la differenza tra disattivarlo e cancellarlo, perché le conseguenze sono diverse. La disattivazione spegne le regole e conserva i dati. La disinstallazione cancella i dati del plugin dal tuo sito. In fondo trovi anche l’elenco dei dati personali trattati, da citare nell’informativa privacy.

Dove si trova

Apri la voce Plugin > Plugin installati (punto 1 dell’immagine). Nella riga di Cisilino Site Defense Network (punto 3) trovi il link Disattiva. Dopo la disattivazione (punto 4) la stessa riga mostra Attiva ed Elimina.

Cosa succede alla disattivazione

Disattivare il plugin lo ferma senza toccare i dati. Alla disattivazione il plugin fa quattro cose.

1. registra l’evento “Plugin disattivato su questo sito” e prova a consegnarlo al pannello, se è configurato.
2. cancella le tre attività pianificate.
3. svuota entrambi i blocchi di .htaccess, quello degli IP bloccati e quello dell’hardening.
4. aggiorna le regole di riscrittura di WordPress.

Attenzione: da disattivato non resta in vigore nessuna regola. Gli IP bloccati tornano a poter accedere e l’hardening non è più applicato. Il plugin non è nemmeno caricato, quindi non agiscono le altre protezioni. Smettono anche gli header di sicurezza, ma un browser che ha già ricevuto HSTS lo ricorda per il tempo impostato.

Il database resta intatto. Se riattivi il plugin, i blocchi di .htaccess vengono ricostruiti e trovi le impostazioni come le avevi lasciate.

Come disinstallare il plugin

Per disinstallare il plugin devi premere Elimina in Plugin installati, dopo averlo disattivato. Prima di farlo, segui questi passi.

1. Nella scheda Registro attività controlla che la riga “in attesa di invio al pannello” sia a zero, se usi il pannello.
2. Nella scheda Log di debug, scarica i file che ti servono. Poi, se vuoi, premi Elimina tutti i file.
3. Fai una copia di sicurezza, se non l’hai già fatta.
4. Disattiva il plugin e premi Elimina.

Cosa viene rimosso e cosa resta

Quando scegli di disinstallare il plugin, all’inizio lui registra “Plugin disinstallato da questo sito: dati locali rimossi” e prova a consegnarlo al pannello. Poi cancella, comunque sia andata la consegna.

Viene rimosso quanto segue.

• le quattro tabelle csdn_events, csdn_overrides, csdn_rate_hits e csdn_activity.
• quasi tutte le opzioni il cui nome inizia per csdn_, comprese le credenziali del pannello, la whitelist e le impostazioni delle schede. Ne restano tre, elencate più sotto.
• il dato di sospensione del rate limiting su tutti gli utenti.
• i dati temporanei del plugin.
• le regole dei due blocchi del plugin in .htaccess e le regole di riscrittura. I marcatori # BEGIN e # END restano nel file, vuoti.

Resta invece quanto segue.

• i file del log di debug nella cartella csdn-debug-* dentro uploads, perché sono dati tuoi: cancellali a mano oppure con il pulsante Elimina tutti i file prima di disinstallare.
• lo storico già consegnato al pannello, che si trova sul pannello e non sul tuo sito.
• le righe di .htaccess che stanno fuori dai marcatori del plugin.
• tre opzioni minori: csdn_registration_lock (la policy di Registrazione utenti), csdn_remote_ban_reasons (motivi dei blocchi ricevuti) e csdn_trigger_token (token ricevuto dal pannello). Restano anche il dato utente csdn_registration_blocked_at, se presente, e i dati temporanei csdn_rl_block_*, che scadono da soli. Si possono togliere a mano dal database.

Attenzione: disinstallare il plugin cancella anche il registro attività locale. Le righe non ancora consegnate al pannello, se il pannello non risponde, si perdono.

Dati personali trattati dal plugin

Il plugin tiene i dati sul tuo sito, nel database. Mai la password. Ecco cosa tratta.

• Login falliti: indirizzo IP, nome utente provato, numero di tentativi, prima e ultima occorrenza, stato di blocco. Non c’è una cancellazione automatica: restano nel database finché non disinstalli il plugin.
• Registro attività: data e ora, utente WordPress (id, login, ruolo), IP, tipo di azione, oggetto coinvolto (per i contenuti, il titolo) e una breve descrizione. In alcuni casi aggiunge dettagli: per un nuovo utente l’email e i ruoli, per una modifica di profilo il valore precedente e quello nuovo di email, login, nome visualizzato e sito web. Non salva il contenuto di articoli, commenti o file. Per le opzioni con nome sospetto, come chiavi o token, registra solo che sono cambiate.
• Rate limiting: IP e tipo di invio degli ospiti, conservati un giorno. Le sospensioni degli autori stanno nei dati dell’utente.
• Override IP, whitelist e blacklist ricevuta.
• Log di debug, se lo accendi: file che possono contenere percorsi e frammenti di dati.

Il registro locale tiene di default 30 giorni e al massimo 500 righe. Puoi cambiare entrambi i valori nella scheda Registro attività.

Cosa esce dal sito

Solo se colleghi il pannello. Ogni 15 minuti il plugin invia i login falliti: IP, nome utente, esito “failed” e data. Ne manda fino a 200 per volta. Aggiunge il customer code e l’URL del sito. Riceve gli IP bloccati. Il registro attività, con i dettagli sopra, viene inviato di norma subito, a fine richiesta, e ciò che resta in coda parte col giro dei 15 minuti. Parte solo se sono attivi sia il registro sia l’opzione “Invia le attività al pannello”. Gli override manuali non vengono mai inviati.

Cosa scrivere nell’informativa privacy

Finché non decidi di disinstallare il plugin, nell’informativa del sito indica almeno questi punti.

• che il sito registra IP e nome utente dei tentativi di accesso falliti, per ragioni di sicurezza.
• che tiene un registro delle azioni degli utenti, con IP, e per quanti giorni lo conserva.
• che, se hai collegato il pannello, alcuni di questi dati vengono inviati al servizio esterno.
• chi è il titolare e come gli utenti possono esercitare i loro diritti.

Adatta il testo alla tua situazione, con il tuo consulente se ne hai uno: il manuale non sostituisce un parere legale. Per le basi sui plugin la guida ufficiale di WordPress spiega anche la differenza tra disattivare ed eliminare.

Se qualcosa non va

Se dopo la disattivazione il sito dà errore, controlla .htaccess via FTP e guarda il capitolo Risoluzione dei problemi e domande frequenti. Se hai deciso di disinstallare il plugin per errore, i dati locali non tornano: serve una copia di sicurezza del sito.

Capitolo precedente: Risoluzione dei problemi e domande frequenti. Torna all’indice con l’introduzione al manuale CSDN.