Manuale CSDN: cos’è Cisilino Site Defense Network e come usarlo

Questo manuale CSDN spiega come usare Cisilino Site Defense Network, un plugin per WordPress che protegge il sito dai tentativi di accesso abusivo. Lo rivolgo a chi amministra un sito e vuole capire a cosa serve ogni scheda prima di toccarla. Qui descrivo la versione 1.0.15.

Cos’è Cisilino Site Defense Network

Cisilino Site Defense Network, in breve CSDN, è un plugin per WordPress. Conta i login falliti per ogni indirizzo IP. Quando un IP raggiunge la soglia, lo blocca scrivendolo nel file .htaccess del sito.

Il plugin funziona da solo, senza nessuna configurazione. Il collegamento a un pannello esterno è facoltativo. Se non lo configuri, il plugin non fa alcuna chiamata verso l’esterno.

Lo trovi nel menu laterale di WordPress, alla voce indicata dal punto 1 dell’immagine: Impostazioni > Cisilino Site Defense Network. Dentro ci sono dieci schede, elencate al punto 3.

A cosa serve

Il plugin mette insieme diverse difese, tutte gestite da quella pagina.

• Blocco automatico degli IP che sbagliano troppe volte il login, con una whitelist per le reti fidate.
• Blocco e sblocco manuale di un singolo IP, anche a tempo.
• Regole opzionali per .htaccess: niente PHP in uploads, niente elenco delle cartelle, file sensibili protetti.
• Header HTTP di sicurezza e disconnessione degli amministratori inattivi.
• Una policy su chi può creare nuovi utenti.
• Un limite alle pubblicazioni degli autori e ai commenti e ai moduli di Contact Form 7 inviati dagli ospiti.
• Un registro delle attività del sito e un controllo di integrità dei file del plugin.
• Un log degli errori PHP, che puoi accendere quando serve.

Cosa il plugin non fa

Questo manuale CSDN parla anche dei limiti, e conviene conoscerli subito. Il plugin non è un firewall applicativo: non analizza il contenuto delle richieste. La parola IDS nel nome della scheda indica regole di accesso a file e cartelle, non un vero sistema di rilevamento delle intrusioni.

• Non impedisce le manomissioni dei file: le rileva soltanto, e chi ha già accesso in scrittura può aggirare il controllo.
• Non crea una copia di .htaccess prima di modificarlo.
• Non offre il Content-Security-Policy tra gli header.
• Non nasconde l’elenco utenti dell’API REST di WordPress.
• Non ha un elenco di domini email né un captcha per le registrazioni.
• Su un server che ignora .htaccess, come nginx, le regole a livello server non hanno effetto.

Attenzione: un plugin riduce i rischi, non li azzera. Tieni aggiornati WordPress, temi e plugin e fai copie di sicurezza del sito, anche se usi CSDN.

Requisiti

• WordPress 5.8 o successivo e PHP 7.4 o successivo.
• Apache, o LiteSpeed compatibile, per i blocchi IP e per l’hardening. Il file .htaccess deve essere scrivibile.
• Un account con il permesso di gestire le impostazioni. Su un sito singolo è manage_options. Su una rete multisite serve il super admin.
• Per il pannello, facoltativo: un indirizzo https, un customer code e una chiave API.

Gli aggiornamenti arrivano dal normale meccanismo di WordPress, in Plugin > Aggiornamenti. Il plugin è pensato per la directory di WordPress.org, dove ha la sua pagina ufficiale: è il posto giusto per controllare quale versione è pubblicata.

Come leggere il manuale CSDN

Puoi leggere i capitoli in ordine oppure saltare a quello che ti serve. Ogni capitolo ha un’immagine con la mappa della pagina e dei cerchi rossi numerati: il numero 1 indica la voce di menu, il 2 la scheda attiva, gli altri le sezioni.

Se è la prima volta, parti dall’installazione e dal primo avvio. Se qualcosa non funziona, vai diretto al capitolo sulla risoluzione dei problemi. Questi sono i capitoli:

1. Introduzione: questa pagina.
2. Installare e attivare Cisilino Site Defense Network
3. Collegare il plugin al pannello: Impostazioni remote
4. Scheda Generale: soglia di blocco e stato del plugin
5. Bloccare, sbloccare e whitelist: gli override manuali
6. Scheda IP bloccati: leggere la blacklist
7. Hardening / IDS: le regole per .htaccess
8. Sorveglianza dei caricamenti e controllo di integrità
9. Scheda Test: verificare che le protezioni funzionino
10. Paranoic Hardening: header di sicurezza e sessione amministrativa
11. Registrazione utenti: chi può creare account
12. Rate limiting: limiti su autori e visitatori
13. Registro attività: cosa è successo sul sito
14. Log di debug: gli errori PHP in un file proprio
15. Risoluzione dei problemi e domande frequenti
16. Disattivazione, disinstallazione e dati personali

Una nota che evita confusioni. Il blocco e lo sblocco manuale di un IP e la whitelist stanno nella scheda Generale, non in IP bloccati. Lo stesso vale per il form di sorveglianza dei caricamenti.

Tutte le etichette dei campi e dei pulsanti, nel manuale CSDN, sono copiate come le vedi nel plugin. Per cominciare passa al capitolo successivo: Installare e attivare Cisilino Site Defense Network.