Siti web
Sicurezza del sito
The Security page collects every protection for a single site in one view: certificate status, malware scanning, vulnerability reports, login hardening, country filtering, hotlink protection, and an…
La pagina Sicurezza raccoglie in un'unica visualizzazione tutte le protezioni per un singolo sito: stato del certificato, scansione malware, rapporti sulle vulnerabilità, protezione dell'accesso, filtro geografico, protezione hotlink e un elenco di blocco degli IP. Questa guida illustra ogni card e cosa fare con essa.
Dove si trova la Sicurezza in KPanel
Come raggiungerla dipende dal tipo di sito:
- Accedi a KPanel.
- Fai clic su Websites nella barra laterale sinistra, quindi fai clic sul sito.
- Per un sito WordPress o WooCommerce, apri WordPress, quindi Security. Per un sito statico, PHP, Node.js, Python o Ruby, apri Advanced, quindi Security.
Entrambi i percorsi conducono a /websites/<site-id>/security.
Riepilogo delle Protezioni
In alto, una singola riga indica quante delle tue protezioni sono attive, con una pillola per ogni controllo. I controlli sono il tuo certificato, lo stato del malware, la protezione dell'accesso e le vulnerabilità, e ogni pillola è verde quando è in buone condizioni e ambra quando necessita attenzione.
Usalo come test rapido. Se ogni pillola è verde, nulla in questa pagina ha bisogno di te oggi.
Certificato SSL
La card del certificato mostra i giorni rimanenti, l'oggetto, l'emittente, la data di scadenza e ogni dominio coperto dal certificato. La pillola dei giorni rimanenti diventa ambra e poi rossa man mano che la scadenza si avvicina.
I certificati si rinnovano automaticamente. Il pulsante Renew now è presente nel caso in cui il rinnovo automatico non sia riuscito, solitamente perché il DNS è cambiato o un dominio nel certificato non si risolve più nel sito.
Due interruttori di protezione si trovano sotto:
HSTS dice ai browser di usare sempre HTTPS per il dominio, il che protegge dagli attacchi di downgrade e stripping.
HSTS viene ricordato dal browser per un lungo periodo e non può essere ritirato da un visitatore che l'ha già visto. Abilitalo solo una volta che sei certo che ogni parte del sito, incluso ogni sottodominio che servi, funziona correttamente su HTTPS. Abilitarlo su un sito con contenuto HTTP misto romperà cose che non puoi riparare da remoto. Vedi Fixing Mixed Content Warnings prima.
OCSP stapling rende gli handshake TLS più veloci e privati facendo sì che il server fornisca lo stato di revoca del certificato stesso. Non c'è alcuno svantaggio nel lasciarla attivata.
Per i certificati in generale, vedi SSL Certificates.
Scansione Malware
Le scansioni vengono eseguite automaticamente ogni notte. La card mostra il risultato della scansione più recente, una cronologia delle scansioni e un pulsante Scan now per un'esecuzione su richiesta, che esegue il polling fino al completamento.
Quando il sito è pulito, la card lo indica con il numero di file scansionati e il tempo di completamento.
Quando i file sono infetti, ognuno viene elencato con il suo percorso e il nome della minaccia, su uno sfondo rosso. Alcuni sono etichettati come Auto-quarantined, il che significa che il file è già stato neutralizzato per te. Per gli altri, un pulsante Quarantine sposta il file.
La quarantena di un file lo rimuove dal tuo sito. Se il file infetto è una parte legittima di un tema o plugin che è stato modificato, la quarantena può danneggiare il sito. Fai un backup prima di mettere in quarantena qualsiasi cosa, così avrai una via d'uscita. Vedi Taking a Backup.
Trovare malware significa che qualcosa è entrato. Pulire i file è solo metà del lavoro: cambia le tue password, aggiorna tutto e scopri come l'attaccante è entrato, o sarai di ritorno la prossima settimana.
La quarantena automatica è un diritto del piano incluso in Managed WordPress. Su altri piani, il rilevamento continua comunque e metti in quarantena manualmente.
Scansione Vulnerabilità
La card delle vulnerabilità elenca i problemi di sicurezza noti nel tuo core WordPress, nei temi e nei plugin, controllati giornalmente rispetto a un database CVE.
Ogni risultato mostra una pillola di gravità, il componente e la sua versione, l'identificatore CVE dove presente, il titolo, la versione in cui è corretto e quando è stato visto per la prima volta. Un pulsante Dismiss nasconde un risultato che hai valutato e accettato.
Attiva resolved nell'intestazione della card per visualizzare i problemi che sono stati corretti, ognuno con la data di risoluzione.
La riga Fixed in è la parte operativa: ti dice la versione esatta a cui aggiornare. La maggior parte dei risultati viene chiusa aggiornando il componente. Vedi WordPress Updates.
La scansione delle vulnerabilità è un diritto del piano incluso in Managed WordPress. Su altri piani, la card viene sostituita da un pannello che descrive la funzione con un link per eseguire l'upgrade.
Protezione Brute-Force dell'Accesso
Questa card monitora i tentativi di accesso rispetto al tuo login WordPress e bandisce le origini che falliscono ripetutamente. Un indirizzo con cinque o più tentativi falliti in dieci minuti viene bloccato automaticamente per un'ora.
Cinque contatori mostrano gli indirizzi attualmente bannati, gli indirizzi sotto osservazione ma non ancora bannati, il totale bloccato da quando il servizio è stato riavviato l'ultima volta, il totale dei tentativi falliti e le richieste di login recenti. Gli indirizzi attualmente bannati sono elencati sotto.
I numeri alti qui sono normali e non sono un segno che qualcosa vada male. Ogni sito WordPress pubblico è sondato costantemente. Quello che conta è che il conteggio dei ban stia aumentando, il che significa che la protezione sta funzionando.
La protezione dell'accesso è un diritto del piano incluso in Managed WordPress. Dove non è disponibile, la card non appare.
Filtro IP per Paese
Una card di riepilogo mostra se il filtro geografico è attivo e quanti paesi vengono bloccati o consentiti. Fai clic su Configure per aprire il selettore completo dei paesi.
Il filtro geografico è un filtro grossolano, non un confine. Chiunque sia su una VPN sembra essere da qualche altra parte. La guida completa, inclusa la protezione intorno alla modalità solo consentimento, si trova in Country Blocking for a Site.
Protezione Hotlink
La protezione hotlink impedisce ad altri siti web di incorporare direttamente le tue immagini e i tuoi media, il che altrimenti consuma la tua larghezza di banda per servire la pagina di qualcun altro.
Attivala con Turn on. Le visite dirette, i motori di ricerca e le tue stesse pagine continuano a funzionare normalmente.
Una volta attivata, puoi aggiungere domini consentiti, uno alla volta, nel modulo example.com o *.example.com. I tuoi stessi domini sono sempre consentiti automaticamente, quindi l'elenco è solo per i siti partner che legittimamente incorporano i tuoi media. Rimuovi una voce con la piccola croce accanto.
Elenco di Blocco IP
L'elenco di blocco nega specifici indirizzi o intervalli CIDR esattamente.
- Inserisci un indirizzo IP o un intervallo CIDR.
- Facoltativamente, aggiungi un motivo, il che vale la pena di fare in modo che il te stesso del futuro sappia perché è lì.
- Fai clic su Block.
Ogni voce è elencata con il suo motivo e un'icona cestino per rimuoverla.
Questo è lo strumento preciso. Quando sai esattamente quale indirizzo sta causando un problema, bloccalo qui piuttosto che bloccare l'intero paese.
Protezione PCI-DSS
Negli store WooCommerce gestiti, una card aggiuntiva offre una protezione mirata all'idonea SAQ-A. Mostra quattro controlli e se ognuno è attualmente applicato:
- L'editor di file WordPress è disabilitato.
- Le modifiche ai file dall'admin sono prevenute.
- SSL è forzato per le sessioni di admin.
- XML-RPC è bloccato al server web.
Apply all hardening li attiva, e Remove hardening li inverte.
Disabilitare le modifiche ai file impedisce anche l'installazione o l'aggiornamento di plugin e temi dall'interno dell'admin di WordPress. È il punto, ma cambierà il tuo modo di lavorare. Pianifica il tuo processo di aggiornamento prima di applicarlo. Vedi WordPress Plugins.
L'applicazione di queste impostazioni è un passo utile verso PCI-DSS SAQ-A, non una certificazione. Il tuo flusso di pagamento e le tue stesse pratiche determinano la tua idonea effettiva.
Una Routine Sensata
- Settimanalmente: guarda il riepilogo delle protezioni. Agisci solo se una pillola è ambra.
- Quando appare una vulnerabilità: aggiorna il componente denominato alla versione elencata in Fixed in.
- Prima di qualsiasi cambio rischioso: fai un backup.
- Su un avviso di certificato: verifica che il DNS punti ancora al sito, quindi usa Renew now.
- Dopo qualsiasi compromesso sospetto: esegui una scansione manuale del malware, cambia ogni password e aggiorna tutto.
Pagine Correlate
- Password-Protecting a Site per un genuino confine di accesso.
- Country Blocking for a Site per il filtro basato sulla geografia.
- Two-Factor Authentication per il tuo account Kapsule stesso.
- Taking a Backup prima di cambiare qualsiasi cosa in questa pagina.