Bloccare, sbloccare e whitelist: gli override manuali

Per bloccare IP WordPress a mano, o per liberarne uno che è stato fermato per errore, il plugin Cisilino Site Defense Network ti dà due strumenti: gli override locali e la whitelist. Stanno entrambi nella scheda Generale, non nella scheda “IP bloccati”. Questo capitolo ti spiega come usarli senza chiuderti fuori dal tuo stesso sito.

Dove si trova

Nel menu laterale di WordPress apri Impostazioni > Cisilino Site Defense Network (punto 1 dell’immagine). Poi scegli la scheda Generale (punto 2). Più in basso trovi tre sezioni:

• punto 3: “Log attività recenti”.
• punto 4: “Override locali IP”.
• punto 5: “IP attendibili (whitelist)”.

Dopo ogni azione torni sempre alla scheda Generale, anche se sei partito dalla scheda “IP bloccati”. Il messaggio di conferma compare lì.

A cosa serve

Gli override ti permettono di forzare il blocco o lo sblocco di un singolo indirizzo, a prescindere dalla soglia di tentativi falliti e dalla lista ricevuta dal pannello. Valgono solo su questo sito: non vengono mai inviati al pannello.

La whitelist serve a un altro scopo. Elenca gli indirizzi che non devono mai essere contati come tentativi di login falliti, per esempio la rete del tuo ufficio.

Come usarlo

Leggere il log (punto 3)

La sezione “Log attività recenti” mostra gli “Ultimi 50 tentativi di login falliti rilevati su questo sito.” Le colonne sono IP, Username tentato, Tentativi, Stato e Ultima volta vista. Lo stato è “Bloccato” oppure “Osservato”. C’è una riga per ogni IP, con un contatore cumulativo, e lo username è l’ultimo che è stato provato. Se non c’è nulla leggi “Nessun evento registrato.” Non confondere questo elenco con la scheda “Registro attività”, che è un altro argomento.

Bloccare o sbloccare un IP (punto 4)

Questa è la parte che serve per bloccare IP WordPress a mano.

1. Nel campo “Indirizzo IP” scrivi un solo indirizzo, per esempio 203.0.113.5.
2. In “Azione” scegli “Blocca (ban)” oppure “Sblocca sempre (unban)”.
3. In “Durata” scegli “Permanente (finché non lo rimuovi)”, “1 ora”, “6 ore”, “24 ore” o “7 giorni”.
4. Premi “Salva override”. Se l’IP è valido leggi “Override salvato e .htaccess aggiornato.” Il messaggio compare anche se .htaccess non è scrivibile: non prova che il blocco sia attivo.

Sotto il form c’è la tabella degli override attivi, con le colonne IP, Azione, Scadenza e Creato il. Ogni riga ha il pulsante “Rimuovi”. Quando togli un override leggi “Override rimosso e .htaccess aggiornato.” Se la tabella è vuota trovi “Nessun override attivo.”

Usare la whitelist (punto 5)

1. Nella casella scrivi un indirizzo o una rete per riga, per esempio 203.0.113.5 oppure 203.0.113.0/24.
2. Premi “Salva whitelist”. Leggi “Whitelist salvata.”

Se il tuo IP non è in lista compare un avviso: “Il tuo IP attuale (…) non è nella whitelist.” Il pulsante “Aggiungi alla whitelist” inserisce solo quella voce e lascia intatte le altre.

Valori predefiniti e limiti

• L’azione predefinita è “Blocca (ban)”, la durata predefinita è “Permanente (finché non lo rimuovi)”.
• Il campo “Indirizzo IP” accetta solo un indirizzo IPv4 o IPv6 singolo. Un CIDR come 203.0.113.0/24 viene rifiutato con “IP non valido.”
• Per ogni IP esiste un solo override. Se ne salvi un secondo sullo stesso indirizzo, sostituisce il primo.
• La whitelist accetta IP singoli e reti CIDR IPv4 con prefisso da 0 a 32. Attenzione: 0.0.0.0/0 è accettato e copre tutti gli IPv4, quindi spegne il conteggio dei login falliti per tutti. Per IPv6 vale solo l’indirizzo esatto.
• Le righe non valide della whitelist vengono scartate e il messaggio ti dice quante, per esempio “1 riga scartata perché non valida.” I duplicati vengono eliminati.
• Salvare la whitelist sostituisce tutta la lista precedente.

Attenzione: il campo “Indirizzo IP” è già compilato con il tuo IP, e sotto leggi “Il tuo IP attuale è …”. L’azione predefinita è “Blocca (ban)”. Se premi “Salva override” senza guardare, blocchi te stesso, subito, e vedrai un errore 403 su tutto il sito. Controlla sempre azione e indirizzo prima di salvare.

Attenzione: il pulsante “Sblocca” della scheda “IP bloccati” non chiede conferma. Crea subito un override permanente. La whitelist non toglie i blocchi già esistenti: un IP già bloccato resta bloccato anche se lo aggiungi in lista, finché non lo sblocchi. Non ferma nemmeno i blocchi del pannello, della lista di sicurezza e i ban manuali: impedisce solo di contare i login falliti. Inoltre il blocco funziona solo con Apache o LiteSpeed e con il file .htaccess scrivibile. Con altri server il ban esiste nelle tabelle ma il server non lo applica.

Cosa succede dietro le quinte

Quando decidi di bloccare IP WordPress con un override, il plugin riscrive un blocco di .htaccess compreso tra # BEGIN Cisilino Site Defense Network e # END Cisilino Site Defense Network. Il resto del file non viene toccato. Gli IP bloccati sono l’unione di quattro fonti: il blocco locale per login falliti, la lista del pannello, la lista opzionale del “Livello di sicurezza” e i ban manuali. L’unban toglie dall’unione la voce che coincide con l’indirizzo scritto. Una rete del pannello (per esempio 198.51.100.0/24) esce solo se sblocchi 198.51.100.0, non un singolo IP dentro la rete. Lo sblocco vale anche per la lista opzionale del “Livello di sicurezza” (Noob, Casual, Berserk). Quegli IP non compaiono nella scheda “IP bloccati”, ma un unban li neutralizza.

Il plugin legge l’IP del visitatore da REMOTE_ADDR e ignora X-Forwarded-For. Dietro un proxy o una CDN l’indirizzo visto può essere quello del proxy. In quel caso un blocco rischia di colpire tutti i visitatori.

Le scadenze funzionano così:

• Un ban manuale a tempo viene eliminato alla scadenza, e l’indirizzo esce da .htaccess al prossimo ciclo di controllo, entro circa 15 minuti.
• Un ban locale, quello scattato per troppi login falliti, non scade da solo. Si toglie solo con un unban.
• Un unban a tempo, quando scade, riporta il blocco se la fonte originale c’è ancora.

Ogni salvataggio o rimozione di un override, e ogni modifica alla whitelist, viene scritto nel registro attività.

Esempi pratici

Bloccare IP WordPress per un giorno

Vuoi fermare l’indirizzo 203.0.113.5 per 24 ore. Scrivilo in “Indirizzo IP”, lascia “Blocca (ban)”, scegli “24 ore” e premi “Salva override”. Nella scheda “IP bloccati” compare con origine “manuale”.

Whitelist per la rete dell’ufficio

Scrivi 203.0.113.0/24 nella whitelist e premi “Salva whitelist”. Da quel momento i login sbagliati di quella rete non vengono più contati. Fallo prima di fare prove con password errate.

Mi sono bloccato da solo

Se riesci ancora ad aprire l’area di amministrazione, per esempio dal telefono con la rete mobile, vai in “IP bloccati” e premi “Sblocca” sul tuo IP. Poi aggiungilo alla whitelist. Se invece vedi un 403 su tutto il sito, puoi collegarti in FTP e togliere dal file .htaccess la riga con il tuo IP. Attenzione: il plugin può riscriverla al prossimo evento, quindi appena rientri fai “Sblocca” e whitelist.

Per approfondire come Apache gestisce questi controlli di accesso, leggi la guida Apache al controllo degli accessi: spiega le direttive che il plugin scrive per te.

In sintesi, bloccare IP WordPress con cura significa controllare azione e indirizzo prima di salvare. Capitolo precedente: Scheda Generale: soglia di blocco e stato del plugin. Capitolo successivo: Scheda IP bloccati: leggere la blacklist. L’indice è nel manuale CSDN.