Dove si trova

Tutto parte dalla voce Plugin del menu laterale di WordPress, il punto 1 dell’immagine. Da lì apri Aggiungi plugin.

Come installare il plugin

Prima di cominciare fai una copia di sicurezza del sito. Il plugin scrive nel file .htaccess e non ne crea una copia, quindi la prudenza spetta a te.

1. Nel menu laterale vai su Plugin e poi su Aggiungi plugin.
2. Premi Carica plugin.
3. Al punto 3 dell’immagine, sotto File zip del plugin, scegli il file zip del plugin, per esempio cisilino-site-defense-network-1.0.15.zip.
4. Premi Installa ora.
5. Al punto 4 dell’immagine, a installazione finita, premi Attiva il plugin.

In alternativa puoi copiare la cartella del plugin in /wp-content/plugins/ via FTP. Poi la attivi da Plugin > Plugin installati. Il risultato è lo stesso.

Cosa succede all’attivazione

Il plugin prepara da solo tutto quello che gli serve.

• Crea quattro tabelle nel database, con il prefisso del tuo sito: csdn_events, csdn_overrides, csdn_rate_hits e csdn_activity.
• Prepara i due blocchi marcati in .htaccess, uno per gli IP bloccati e uno per l’hardening. Alla prima attivazione sono vuoti.
• Registra tre attività pianificate di WordPress: la sincronizzazione ogni 15 minuti, la pulizia giornaliera del registro e il controllo di integrità giornaliero.
• Scatta una fotografia degli hash dei file PHP del plugin, usata poi dal controllo di integrità.

Le attività pianificate usano WP-Cron. Parte quando il sito riceve visite, a meno che l’hosting non usi un cron di sistema.

Primo avvio

Appena finisci di installare il plugin, apri Impostazioni > Cisilino Site Defense Network. Si apre la scheda Generale. In alto vedi una riga con tre contatori: gli IP bloccati localmente, quelli ricevuti dal pannello e quelli della lista di sicurezza opzionale. Appena installato sono tutti a zero.

Non devi configurare nulla per essere protetto. Ecco cosa è già attivo con i valori predefiniti:

• Il rilevamento dei login falliti, con soglia di blocco 10.
• La policy di registrazione “Solo ruoli a basso privilegio”.
• Il rate limiting per autori e per ospiti, e l’email obbligatoria alla creazione degli utenti.
• Il registro attività, con retention di 30 giorni e tetto di 500 righe.
• La registrazione dei caricamenti di file. Il loro blocco, invece, è spento.

Sono spenti di default tutte le regole di hardening, gli header di sicurezza, la disconnessione per inattività e il log di debug. Li attivi tu, una alla volta, nei capitoli dedicati.

Tre controlli da fare subito

1. Nella scheda Generale, sezione IP attendibili (whitelist), premi Aggiungi alla whitelist se vedi il riquadro “Il tuo IP attuale (…) non è nella whitelist.”. Così i tuoi errori di password non contano.
2. Guarda il valore sotto Indirizzo IP nella sezione Override locali IP: il campo è precompilato con il tuo IP. Non premere Salva override con “Blocca (ban)”, o blocchi te stesso.
3. Scorri le dieci schede e leggi i testi introduttivi. Le altre tabelle del manuale ti dicono cosa fa ciascuna.

Attenzione: il contatore dei login falliti è cumulativo e non ha una scadenza. Anche un utente legittimo, sbagliando la password ogni tanto, può arrivare alla soglia. Metti le tue reti fidate in whitelist.

Valori predefiniti e limiti

• Il plugin vive nella pagina Impostazioni solo per chi ha il permesso giusto. Chi non lo ha non vede la pagina; se prova ad aprire un’azione riceve “Non autorizzato.”.
• Su una rete multisite la pagina è riservata al super admin, perché .htaccess è quello della rete. Collega al pannello un solo sito per rete.
• Se .htaccess non è scrivibile, il sito continua a funzionare ma le regole a livello server non vengono applicate.
• Il plugin legge l’IP del visitatore solo da REMOTE_ADDR e ignora gli header come X-Forwarded-For. Se il sito sta dietro a un proxy o a una CDN, tutti i visitatori possono risultare con lo stesso IP del proxy: prima di affidarti ai blocchi, controlla che l’IP mostrato in Il tuo IP attuale sia davvero il tuo.

Cosa succede dietro le quinte

Dopo un aggiornamento, il plugin confronta la versione del database con quella corrente. Se sono diverse, aggiorna le tabelle e rifà la fotografia dei file, così l’aggiornamento non sembra una manomissione. Non devi riattivare il plugin.

Per le basi dell’installazione di un plugin in WordPress, la guida ufficiale sulla gestione dei plugin spiega anche l’installazione via FTP e la differenza tra disattivare e cancellare.

Se qualcosa non va

Se non riesci a installare il plugin, controlla di aver scelto il file zip giusto e che il tuo utente possa installare plugin. Se dopo l’attivazione ottieni un errore sul server, passa al capitolo Risoluzione dei problemi e domande frequenti.

Capitolo precedente: l’introduzione al manuale. Capitolo successivo: Collegare il plugin al pannello: Impostazioni remote.

The post Installare e attivare Cisilino Site Defense Network first appeared on Matteo Cisilino.