Collegare il plugin al pannello: Impostazioni remote

Le impostazioni remote collegano il plugin al pannello Cisilino. Il collegamento è facoltativo: senza di esso il plugin protegge comunque il tuo sito. In questo capitolo vedi come compilare la scheda, che cosa viaggia verso il pannello e che cosa devi evitare.

Dove si trova

Nella barra laterale di WordPress apri Impostazioni e poi “Cisilino Site Defense Network” (punto 1 dell’immagine). Clicca la scheda “Impostazioni remote” (punto 2). Sotto trovi due sezioni: il riquadro “Stato collegamento al pannello” (punto 3) e il modulo “Collegamento al pannello” (punto 4).

A cosa serve

Il plugin conta i login falliti e blocca gli IP in locale, nel file .htaccess. Se lo colleghi al pannello, ogni 15 minuti gli manda gli IP che hanno fallito il login. In cambio riceve l’elenco degli IP già bannati per il tuo cliente e li blocca anche sul tuo sito.

Se lasci vuote le impostazioni remote, il plugin non fa alcuna chiamata esterna. Continua a contare i tentativi e a bloccare gli IP sul sito. Lo schema delle sue protezioni è nel capitolo 1, l’indice del manuale.

Come compilare le impostazioni remote

1. Nel pannello apri Impostazioni › Servizi Audit e cerca la sezione “Chiavi API — Cisilino Site Defense Network”. Qui il pannello genera la chiave.
2. Torna in WordPress, nella sezione del punto 4. Compila “Customer code”.
3. Incolla la “Chiave API”. Il campo è di tipo password: non vedi ciò che scrivi.
4. Scrivi l’“URL del pannello”, per esempio https://pannello.esempio.it.
5. Imposta, se vuoi, la “Soglia blocco locale (tentativi falliti)”. Ne parlo nel capitolo 4.
6. Scegli il “Livello di sicurezza (lista IP dal pannello)”.
7. Clicca “Salva e verifica collegamento”.

Le impostazioni si salvano sempre, anche se la verifica poi fallisce. Fa eccezione un URL http, che blocca l’intero salvataggio (vedi più sotto). Non devi riscrivere tutto per correggere un errore di battitura. Il risultato della verifica compare nel riquadro del punto 3, con la dicitura “Ultima verifica” e la data. È verde se tutto va bene, rosso se qualcosa non va.

I livelli di sicurezza

Il campo “Livello di sicurezza (lista IP dal pannello)” offre quattro voci.

• “Disattivato — solo blacklist ufficiale del pannello” è il valore predefinito.
• “Noob — IP visti fallire il login WordPress altrove nella rete”.
• “Casual — anche IP visti fallire su FTP altrove nella rete”.
• “Berserk — tutti gli IP registrati come possibili attacchi, qualunque protocollo”.

I livelli sono via via più ampi: Noob è incluso in Casual, Casual è incluso in Berserk. Il pannello manda tutte le liste, ma il plugin applica solo quella che scegli. Se torni a “Disattivato”, la lista precedente esce subito da .htaccess.

Valori predefiniti e limiti

• Customer code e chiave API sono vuoti all’inizio.
• La soglia è 10, con minimo 3 e massimo 100 solo nel campo del modulo: il server non controlla i limiti (un valore vuoto o 0 diventa 10, un valore forzato da 1 a 2 o oltre 100 verrebbe accettato).
• Il livello di sicurezza è “Disattivato”.
• Se manca anche uno solo tra customer code, chiave e URL, il plugin non invia nulla e il riquadro di stato sparisce.

Perché serve https

Nelle impostazioni remote l’URL del pannello deve cominciare con https. La chiave API viaggia nel corpo di ogni richiesta di sincronizzazione. Su http chiunque sia sul percorso di rete potrebbe leggerla. Potrebbe anche alterare la risposta, che decide quali IP bloccare. Per capire che cosa garantisce il protocollo puoi leggere questa pagina su HTTPS nel glossario MDN, che spiega in modo chiaro la cifratura del traffico.

Un URL senza schema (per esempio pannello.esempio.it) viene completato con http e quindi rifiutato: scrivi sempre https://. Il controllo avviene due volte. Se scrivi un URL http, il plugin non salva nulla (nemmeno gli altri campi) e mostra un avviso rosso che comincia con “URL del pannello non salvato: serve https”. Il controllo si ripete a ogni richiesta: se un URL http fosse già salvato, la richiesta non parte e lo stato diventa errore, con il messaggio “URL del pannello non sicuro: serve https”. L’unica eccezione è l’host di sviluppo locale, come localhost o un dominio che finisce per .test, .localhost o .local.

Attenzione: non scrivere mai la chiave API in un URL http e non incollarla in strumenti che non conosci. La chiave resta in chiaro nel database di WordPress: proteggi anche l’accesso al backend.

Cosa viene inviato al pannello

Una volta salvate le impostazioni remote, a ogni sincronizzazione il plugin invia al pannello:

• il customer code, la chiave API e l’indirizzo del sito;
• fino a 200 eventi per volta, ciascuno con IP, ultimo utente provato, esito (sempre “failed”) e ora del tentativo;
• le righe del registro attività del sito (scheda “Registro attività”), a lotti di 200: chi ha fatto l’azione (login, ruolo, IP), il tipo di azione e la descrizione. Questo avviene se la voce “Invia le attività al pannello” è attiva, ed è attiva di default. L’invio parte anche a fine richiesta, non solo ogni 15 minuti.

Non invia mai la password che è stata digitata. Non invia nemmeno gli override locali: sono descritti nel capitolo 5 e restano solo sul tuo sito. Le righe inviate vengono segnate e non vengono rispedite.

Se qualcosa non va

Se le impostazioni remote non funzionano, il riquadro rosso mostra uno di questi messaggi.

• “Autenticazione rifiutata dal pannello: customer_code o chiave API errati.” Se il pannello manda un proprio messaggio di errore, compare quello al suo posto. Ricontrolla i due valori.
• “Impossibile raggiungere il pannello: …”, seguito dal testo dell’errore. Controlla l’URL, il DNS e il certificato.
• “Il pannello ha risposto con un errore (HTTP …)”, seguito dall’inizio della risposta.
• “Risposta del pannello non valida (non è JSON).” L’URL probabilmente non è quello giusto.

Se il pannello non risponde, il plugin non perde la protezione. Gli IP già bloccati restano nel file .htaccess. Gli eventi restano in coda e vengono rinviati al giro successivo. Non c’è un’e-mail di avviso: lo stato lo leggi solo nel riquadro.

Attenzione: i livelli Casual e soprattutto Berserk bloccano molti IP in blocco. Parti da “Disattivato” o da Noob e passa a un livello più ampio solo se serve.

Ricorda: le impostazioni remote sono facoltative e il plugin protegge il sito anche senza.

Capitolo precedente: Installare e attivare Cisilino Site Defense Network. Capitolo successivo: Scheda Generale: soglia di blocco e stato del plugin.