iThemes Security: livelli e fattori di sicurezza
iThemes Security offre una panoramica completa di tutti i fattori di sicurezza che è possibile monitorare e gestire, aggiornando ogni aspetto man mano che viene configurato all’interno delle sue diverse aree di configurazione. Ogni elemento legato alla sicurezza viene classificato per il suo grado di priorità ed è gestibile in maniera completa ed efficiente, assicurando così la massima protezione nel suo ambito specifico.
In questo quarto e ultimo articolo della serie dedicata a iThemes Security esamineremo proprio le tre aree che riepilogano i fattori di sicurezza gestiti dal plugin suddividendoli in elementi ad alta, media e bassa priorità (i singoli elementi e le relative opzioni sono trattati in dettaglio separatamente nell’ebook e nella guida PDF scaricabile con la condivisione dell’articolo).
Il miglior manuale per proteggere
il tuo sito Web creato con WordPress.
Security Status: elementi a priorità alta
Prima di esaminare singolarmente i diversi elementi legati alla sicurezza che iThemes riesce a gestire e alle relative notifiche e impostazioni, diamo uno sguardo alle tre sezioni che le raccolgono in ordine di priorità all’interno dell’area Security Status della schermata principale (Dashboard). Ci serviremo di una configurazione in cui non è stato attivato il One-Click Secure e che visualizza, quindi, tutte le falle ancora da correggere.
Fra gli elementi ad alta priorità (Figura 1.12) troviamo quelli relativi ai nomi degli utenti e alle password, la protezione dagli ‘attacchi a forza bruta’ (brute force attacks), il backup del database e la scansione per il rilevamento di codice pericoloso (malware) nei file del sito. Se abbiamo applicato il One-Click Secure potrebbero rimanere da risolvere solo gli ultimi due elementi, e trattandosi di aspetti con massima priorità sarà bene gestirne la soluzione subito usando il pulsante Fix it per accedere alle rispettive aree di configurazione, come vedremo nel dettaglio per ogni singolo aspetto.
Security Status: elementi a priorità media
Gli elementi di sicurezza classificati con media priorità (Figura 1.13 e Figura 1.14) riguardano diversi aspetti di sicurezza comunque importanti, come la protezione dagli attacchi legati all’errore 404 (pagina non trovata), particolarmente sfruttato dai pirati informatici, oppure la protezione dall’accesso non autorizzato a file e cartelle di WordPress, o ancora il prefisso per le tabelle del database MySQL quando questo viene lasciato con il formato predefinito (wp_).
In generale si tratta di impostazioni che limitano i tentativi di accedere in modo non autorizzato all’area amministrativa di WordPress e di utilizzare codici pericolosi inserendoli nell’URL oppure nei commenti o nei file della cartella uploads, fra cui quella, importantissima, che permette di cambiare l’accesso amministrativo predefinito (wp-admin) in qualcosa di personalizzato e meno individuabile negli attacchi condotti manualmente o in modo automatizzato da i pirati informatici.
Security Status: elementi a priorità bassa
Anche se classificati come elementi a bassa priorità, si tratta comunque di fattori di rischio che vale la pena prendere in considerazione, almeno in parte, quantomeno se la loro attivazione non genera conflitti con altri plugin o con il tema in uso (ricordiamo sempre di creare un backup prima di procedere, in modo da essere in grado di ripristinare il sito in caso di problemi).
Fra questi (Figura 1.15 e Figura 1.16) troviamo la protezione alla scrittura/modifica dei due importantissimi file wp-config.php e .htaccess, la limitazione d’accesso alle informazioni sul contenuto della cartella wp-content (con la possibilità di rinominarla) e a tute le altre cartelle di WordPress e ovviamente il blocco degli utenti che risultassero ‘sospetti’ a causa di ripetute operazioni che rientrano fra quelle classificate come minaccia, come i tentativi non riusciti di accesso al login.
Diversi elementi classificati con priorità bassa riguardano poi le informazioni che la nostra installazione di WordPress comunica all’esterno e che possono essere sfruttate negli attacchi al sito, e saranno esaminati anch’essi uno per uno in modo da consentirne la valutazione e l’eventuale correzione.
