Scheda Test: verificare che le protezioni funzionino

Un test sicurezza WordPress serve a una cosa sola: sapere se la protezione funziona davvero, non solo se è accesa. La scheda “Test” del plugin CSDN fa due verifiche dal vivo. Non cambia nessuna impostazione. Controlla il sito adesso.

Dove si trova il test sicurezza WordPress

Apri Impostazioni > Cisilino Site Defense Network (punto 1 dell’immagine). Clicca sulla scheda Test (punto 2). Trovi due riquadri:

• punto 3: “Verifica blocco esecuzione PHP in uploads”.
• punto 4: “Integrità dei file del plugin”.

Dopo ogni pulsante il sito ti riporta alla scheda Generale, con un avviso in alto. L’esito però è scritto nella scheda Test. Riaprila per leggerlo.

Verifica blocco esecuzione PHP in uploads

Questo riquadro prova la regola “Blocca esecuzione PHP in wp-content/uploads” della scheda Hardening / IDS, descritta nel capitolo Hardening / IDS. Il testo spiega che è l’unico modo per sapere se la regola è davvero efficace su questo sito. Un AllowOverride disattivato o un blocco più specifico nel server potrebbero renderla inutile senza segnalarlo.

Come si usa

1. Nella scheda Hardening / IDS attiva la regola e clicca su “Salva regole di hardening”.
2. Apri la scheda Test.
3. Nel riquadro “Verifica blocco esecuzione PHP in uploads” clicca su “Verifica ora”.
4. Torna alla scheda Test e leggi l’esito, con la riga “Ultimo test:” e la data.

Se la regola non è attiva e salvata, il pulsante è disabilitato. Il riquadro mostra: “Attiva e salva la regola “Blocca esecuzione PHP in wp-content/uploads” nella tab Hardening / IDS prima di poter eseguire il test.”.

Cosa fa il test

Il plugin scrive in uploads un piccolo file .php di prova. Lo richiede via HTTP, con un limite di 10 secondi. Poi lo cancella subito, in ogni caso. Il file contiene solo una stampa di controllo.

Come si legge l’esito

• Verde: “Blocco efficace: la richiesta al file di prova ha ricevuto N.”. Il numero è 403 o 404.
• Rosso: “ATTENZIONE: il file PHP di prova è stato ESEGUITO (risposta N).” La regola non blocca nulla. Il messaggio ti suggerisce di verificare che AllowOverride permetta .htaccess in quella cartella e che non esista un blocco <Directory> più specifico.
• Giallo: “Esito non chiaro (risposta N, corpo non riconosciuto): verifica manualmente con una richiesta diretta al sito.”.
• Blu: “Regola disattivata: attiva e salvala prima di eseguire il test.”.
• Rosso, per errori: “Impossibile determinare la cartella uploads.”, “Impossibile scrivere il file di prova in uploads (permessi?): test non eseguito.” oppure “Richiesta di verifica fallita”, con il motivo.

Attenzione: se il sito non riesce a chiamare se stesso, per esempio per un firewall, una password HTTP o un DNS locale, il test dà errore o esito non chiaro. Un 404 viene contato come blocco, ma potrebbe dipendere da altro. Il test prova solo la cartella uploads standard. Per pochi secondi un file .php esiste in uploads: se il blocco non funziona può essere eseguito, ma contiene solo una stampa.

Integrità dei file del plugin

È la seconda parte del test sicurezza WordPress. Il secondo riquadro confronta gli hash MD5 dei file .php del plugin con quelli attesi. Cerca file modificati, mancanti o aggiunti. Il controllo parte da solo una volta al giorno. Il pulsante “Verifica adesso” lo esegue subito.

Il riquadro riporta un limite fisso: chi ha già la scrittura sui file può anche riscrivere gli hash o spegnere il controllo. È un rilevatore di manomissioni, non una barriera.

Come si usa

1. Apri la scheda Test.
2. Nel riquadro “Integrità dei file del plugin” clicca su “Verifica adesso”.
3. Leggi l’avviso: “Verifica di integrità eseguita: l’esito è nel riquadro “Integrità dei file del plugin”.”.
4. Riapri la scheda Test e leggi il riquadro.

Come si legge l’esito

Verde: “Tutti i N file verificati corrispondono. Ultimo controllo: data.”. Se il riferimento è una fotografia, il riquadro aggiunge che rileva le modifiche successive, non un plugin già compromesso all’installazione. Rosso: “ATTENZIONE: i file del plugin non corrispondono a quelli attesi.”, con gli elenchi “Modificati”, “Mancanti” e “Non previsti”. Giallo: “Nessun riferimento disponibile”. In quel caso riattiva il plugin.

Il pulsante manuale non scrive nel registro attività. Lo fa solo il controllo pianificato, e solo se trova un problema o se i file tornano regolari dopo un allarme. Per i dettagli leggi il capitolo Sorveglianza dei caricamenti e controllo di integrità.

Attenzione: se hai modificato a mano un file del plugin, l’allarme rosso è normale. Se non l’hai fatto, tratta il sito come potenzialmente compromesso: reinstalla il plugin da una copia attendibile e controlla il resto dell’installazione.

Se qualcosa non va

Ripeti il test sicurezza WordPress dopo ogni correzione. Se il test sul PHP dà rosso, la regola non protegge. Chiedi al tuo hosting se .htaccess è abilitato. Se il server non legge .htaccess, per esempio con nginx, la regola non ha effetto. Ripeti il test dopo ogni correzione. Un 403 è la risposta che vuoi vedere: la pagina sul codice di stato 403 di MDN spiega cosa significa.

Capitolo precedente: Sorveglianza dei caricamenti e controllo di integrità. Capitolo successivo: Paranoic Hardening: header di sicurezza e sessione amministrativa. Per l’elenco dei capitoli torna all’introduzione del manuale.