Come faccio un controllo di sicurezza su ciò che espone il mio sito WordPress?

Perché è importante

Un controllo di sicurezza WordPress utile parte da fuori: cinque richieste reali, da disconnesso, mostrano cosa vede davvero un bot. Quasi tutti i consigli di sicurezza riguardano interruttori: attiva questo, disattiva quello. Ma un interruttore ti dice cosa hai chiesto, non cosa è successo. Un livello di cache potrebbe servire una vecchia risposta. Una regola della CDN potrebbe bloccare un file prima ancora che WordPress veda la richiesta. Un plugin potrebbe riaprire qualcosa che un altro aveva chiuso. L'unica risposta onesta a "cosa espone il mio sito?" è chiederlo come farebbe un estraneo.

La buona notizia: l'elenco delle cose da controllare sul fronte login è breve. I bot cercano la stessa manciata di indirizzi su ogni sito WordPress:

Nessuno di questi è un disastro da solo. Insieme, consegnano a un bot un elenco di nomi e due porte su cui provarli. Sapere quali sono aperti ti permette di chiuderli nell'ordine giusto: prima le porte, poi i nomi.

Errori comuni

• Fare il test da connesso. WordPress mostra di più agli utenti connessi. Usa una finestra privata o curl.
• Testare la pagina in cache. Se hai appena cambiato un'impostazione, svuota prima la cache delle pagine e della CDN, altrimenti vedrai la vecchia risposta.
• Fermarsi alla prima luce verde. Chiudere il modulo di login lasciando aperto XML-RPC è la mezza soluzione più comune che vediamo.
• Aspettarsi un audit di sicurezza completo. Questi controlli riguardano le vie d'accesso. Non dicono nulla su malware, modifiche ai file o plugin non aggiornati.

Senza plugin

I cinque comandi curl del passaggio 1 sono il metodo manuale, e vale la pena conoscerli. Leggi i risultati così:

• HTTP/2 200 su wp-login.php: il login predefinito è pubblico. 404: è nascosto.
• XML-RPC server accepts POST requests only. da xmlrpc.php: l'endpoint è attivo. Per sapere se il login viene accettato, dovresti inviare una chiamata wp.getUsersBlogs con un account di prova.
• Un array JSON da /wp/v2/users con campi "slug": i nomi utente sono pubblici. 401 o un array vuoto: chiuso.
• Location: /author/nome/ da ?author=1: una fuga. Ripeti con 2, 3 e così via per vedere quanti utenti potrebbe raccogliere un bot.
• 200 sulla sitemap degli utenti: gli URL degli autori sono elencati.

Lo svantaggio è il tempo e l'interpretazione. Devi ripetere tutto dopo ogni modifica, e testare correttamente il login via XML-RPC significa scrivere XML a mano.

Se qualcosa va storto

• La scansione dice "aperto" ma l'hai disattivato. Svuota la cache delle pagine e della CDN e ripeti la scansione. Se è ancora aperto, un altro plugin o una regola del server potrebbe sovrascrivere l'impostazione.
• La scansione non riesce a raggiungere il sito. Alcuni hosting impediscono a un sito di inviare richieste a se stesso (loopback). Chiedi al tuo hosting di consentire le richieste di loopback, oppure usa il metodo curl dall'esterno.
• Un nome utente trapela ancora dopo l'hardening. Controlla il box autore del tuo tema e la sitemap degli autori di eventuali plugin SEO. Cambia il nome visualizzato dell'autore se il tema lo stampa.

Con Hushfort

La Scansione della superficie è inclusa in Hushfort Security, il plugin di sicurezza gratuito per WordPress.

La Scansione della superficie si trova nel pannello Hardening della superficie di Hushfort. Misura ciò che il tuo sito espone davvero con richieste reali, proprio come il metodo manuale, ed elenca per nome i nomi utente che trova. Ogni risultato corrisponde a un livello di Hushfort che lo chiude:

• Login via XML-RPC → Blocco backdoor (Pro)
• Elenco utenti REST, scansioni autori, sitemap → Scudo nomi utente (Pro)
• Login predefinito → Nascondi login (gratuito)

Abbiamo creato la Scansione della superficie dopo che un negozio continuava a ricevere tentativi di password tramite XML-RPC nonostante la sua pagina di login fosse nascosta. L'impostazione sembrava a posto; solo una richiesta reale ha mostrato la porta aperta.