Risoluzione problemi: da dove cominciare

Prima di cercare la risposta esatta, passa in rassegna questo elenco di controllo.

1. Riesci ancora ad aprire wp-admin? Se sì, quasi tutto si risolve dalla pagina Impostazioni del plugin.
2. Leggi gli avvisi in alto. Il plugin spiega l’esito delle azioni con messaggi in riquadri colorati.
3. Ricorda l’ultima cosa che hai cambiato: una regola di hardening, una policy, un limite.
4. Se esiste un pulsante Verifica ora o Verifica adesso, usalo prima di tirare a indovinare.
5. Se non entri più nel sito, prepara l’accesso FTP o il file manager dell’hosting.

Accessi e blocchi

Mi sono bloccato da solo: che cosa faccio?

Se hai ancora accesso a WordPress, per esempio dal telefono con la rete mobile, apri la scheda IP bloccati. Cerca il tuo IP e premi Sblocca. Se il tuo IP non è in elenco ma sei bloccato (può venire dalla lista di sicurezza opzionale), vai nella scheda Generale, sezione “Override locali IP”: inserisci l’IP, scegli “Sblocca sempre (unban)” e premi Salva override. Poi, nella scheda Generale, premi Aggiungi alla whitelist.

Se sei bloccato anche dal sito, e vedi un errore 403, entra via FTP e apri .htaccess. Togli la riga con il tuo IP, oppure l’intero blocco tra # BEGIN Cisilino Site Defense Network e # END Cisilino Site Defense Network.

Attenzione: la modifica a mano è temporanea. Il blocco viene riscritto dalla stessa fonte al prossimo evento: un login fallito, una sincronizzazione o il giro ogni 15 minuti. Appena sei dentro, usa Sblocca e la whitelist.

Perché la whitelist non mi ha sbloccato?

La whitelist evita solo che i login falliti vengano contati. Non toglie i blocchi già presenti. Per togliere un blocco serve Sblocca, che crea un override permanente di sblocco su questo sito.

Un utente legittimo è stato bloccato

Il contatore dei tentativi è cumulativo per IP e non si azzera da solo. Anche errori sparsi in settimane possono arrivare alla soglia, che di default è 10. Sblocca l’IP e mettilo in whitelist, oppure alza la soglia in Impostazioni remote, dove il campo è “Soglia blocco locale (tentativi falliti)”.

Il blocco di un IP non finisce mai

Un blocco locale non scade. Un blocco manuale scade con la durata scelta, da 1 ora a 7 giorni. Se hai scelto “Permanente (finché non lo rimuovi)”, non scade. Un blocco ricevuto dal pannello sparisce quando il pannello lo toglie dalla lista. Uno sblocco a tempo, scadendo, fa tornare il blocco se la fonte originale è ancora lì. Per uno sblocco definitivo usa Sblocca, che è permanente.

Dietro un proxy o una CDN i blocchi sono strani

Il plugin legge l’IP solo da REMOTE_ADDR e ignora l’header X-Forwarded-For, perché si può falsificare. Guarda la frase “Il tuo IP attuale è …” sotto il campo Indirizzo IP della scheda Generale. Se non è il tuo IP pubblico, il plugin sta vedendo l’indirizzo del proxy. In quel caso evita di bloccare o mettere in whitelist quell’indirizzo, finché non hai chiarito la situazione con chi gestisce il proxy.

Errori dopo le regole in .htaccess

Questa parte della risoluzione problemi riguarda le regole scritte nel file del server.

Il sito dà errore 500 dopo aver salvato l’hardening

Il plugin non crea una copia di .htaccess e non controlla la sintassi dopo la scrittura. Un errore, o una regola che il server non accetta, si vede subito come errore 500.

1. Entra via FTP o dal file manager.
2. Fai una copia di .htaccess.
3. Elimina il blocco tra # BEGIN Cisilino Site Defense Network - Hardening e # END Cisilino Site Defense Network - Hardening.
4. Ricarica il sito, poi correggi le impostazioni nella scheda Hardening / IDS.

Il blocco dell’hardening viene riscritto solo quando salvi la scheda o riattivi il plugin, non dal giro ogni 15 minuti. La tua modifica a mano quindi resta.

Ho scritto un percorso personalizzato e tutto il sito dà 403

Nella casella dei percorsi personalizzati ogni riga è testo letterale, senza jolly. La regola blocca ogni indirizzo che contiene quella stringa. Scrivere / o wp blocca tutto, compreso wp-admin. Togli via FTP il blocco dell’hardening, come sopra. Poi, nella scheda Hardening / IDS, correggi o svuota la casella “Percorsi personalizzati da bloccare” e salva. Se non la correggi, un nuovo salvataggio o una riattivazione del plugin riscrive la regola e il sito torna a dare 403.

Compare “Impostazioni salvate, ma la scrittura in .htaccess è fallita”

Il file .htaccess non è scrivibile: controlla i permessi. Le regole di quel blocco non sono attive. Restano invece attivi i due interruttori che agiscono in PHP, cioè XML-RPC e ?author=N.

Il test dice che il blocco PHP in uploads non funziona

Nella scheda Test, il riquadro “Verifica blocco esecuzione PHP in uploads” segnala se il file di prova è stato eseguito. Controlla che l’hosting permetta .htaccess in quella cartella e che non esista un blocco <Directory> più specifico. Su nginx le regole non hanno effetto. La regola copre solo la cartella uploads standard.

Un plugin o il tema hanno smesso di funzionare

Spegni l’ultima regola che hai attivato e salva. I casi più comuni: il blocco del PHP in uploads rompe i plugin che ci scrivono file PHP; la disabilitazione di XML-RPC ferma app e funzioni remote; il blocco dei caricamenti eseguibili rifiuta anche file come .svg.

Utenti, autori e visitatori

Un autore non può più pubblicare: “il tuo account è sospeso”

Il rate limiting ha visto troppi contenuti creati in poco tempo. Di default il limite è 150 contenuti in 300 secondi, con sospensione di 3600 secondi. Dalla scheda Rate limiting, nella tabella degli utenti sospesi, premi Revoca sospensione. Altrimenti aspetta la scadenza.

Spegnere “Rate limit attivo” non toglie una sospensione già in corso. Prima di un’importazione grande alza il limite N o disattiva il paletto.

Un visitatore vede “Troppi invii”

Un ospite ha inviato troppi commenti o moduli in poco tempo: di default più di 2 in 60 secondi, e il blocco dura 3600 secondi. Il blocco è per IP, quindi può colpire più persone nello stesso ufficio. Alza il valore N della sezione visitatori. Non esiste un elenco di eccezioni.

Non riesco a creare un utente editor o amministratore

È voluto. La policy predefinita di Registrazione utenti è “Solo ruoli a basso privilegio” e non fa eccezioni, nemmeno per te. Passa temporaneamente a “Nessuna restrizione”, crea l’utente, poi torna indietro. Con “Nessuna registrazione (esclusiva)” nessuno può creare utenti. Controlla anche il ruolo predefinito in Impostazioni > Generali di WordPress: se è un ruolo vietato, le registrazioni vengono respinte.

Collegamento al pannello

Il collegamento al pannello non risulta

Lo stato è nel riquadro “Stato collegamento al pannello:” in cima alla scheda Impostazioni remote. Se il riquadro manca, i campi erano incompleti: servono Customer code, Chiave API e URL del pannello. Dopo “Salva e verifica collegamento” non compare un banner a parte.

• “URL del pannello non sicuro: serve https …”: l’indirizzo deve iniziare con https. Il plugin rifiuta anche di salvare un URL http.
• “Autenticazione rifiutata dal pannello: customer_code o chiave API errati.”: ricontrolla i due valori.
• “Impossibile raggiungere il pannello: …”: problema di rete, DNS o certificato.
• “Risposta del pannello non valida (non è JSON).”: l’indirizzo non punta al pannello giusto.

Se il pannello non risponde, la protezione locale continua e i dati in coda vengono inviati al giro dopo. Il plugin funziona anche senza pannello.

Le attività non arrivano al pannello

Nella scheda Registro attività guarda la tabella di diagnostica e la riga “in attesa di invio al pannello”. Premi Prova a inviare adesso: l’esito compare nella diagnostica. Il tetto di righe, di default 500, cancella le più vecchie anche se non sono state consegnate.

Log di debug, integrità e header

Il log di debug non si accende

Hai due messaggi possibili. “la cartella dei caricamenti non è scrivibile”: sistema i permessi di uploads. “i file della sua cartella risultano raggiungibili da internet”: probabile server senza .htaccess, come nginx. Blocca l’accesso alla cartella csdn-debug-* nella configurazione del server e riprova. Se il log si è fermato per il tetto di 200 MB, scarica o elimina i file e riaccendilo.

L’integrità segna “i file del plugin non corrispondono”

Se hai modificato a mano un file del plugin, è normale. Altrimenti tratta il sito come potenzialmente compromesso: reinstalla il plugin da una copia attendibile e controlla il resto. Se il messaggio dice che non c’è alcun riferimento, riattiva il plugin per scattare una nuova fotografia.

HSTS non si attiva, o non si spegne

Per attivarlo devi aprire le impostazioni del plugin in https, altrimenti compare “HSTS NON è stato attivato”. Salva sempre da una pagina https. Spegnere la casella ferma l’invio dell’header, ma i browser che l’hanno già ricevuto lo ricordano a lungo.

Se non trovi la risposta

Se la risoluzione problemi non basta, accendi il log di debug, riproduci il problema e leggi la voce. Poi apri una discussione sul forum di supporto del plugin: è il posto dove ricevere aiuto e vedere i problemi già segnalati. Non incollare percorsi del server o dati sensibili.

Capitolo precedente: Log di debug: gli errori PHP in un file proprio. Capitolo successivo: Disattivazione, disinstallazione e dati personali. Per l’indice: manuale CSDN.

The post Risoluzione dei problemi e domande frequenti first appeared on Matteo Cisilino.