htaccessColoro di voi che conoscono almeno le basi del diffuso CMS opensource WordPress e che utilizzano tra i plugin disponibili il “wordpress firewall” si saranno resi conto di quanto frequentemente avvengano attacchi ai propri siti.

Il Firewall infatti ci invia direttamente in mail, degli avvisi su ogni attacco che avviene sulla rete verso il nostro wordpress e di questo ce ne possiamo accorgere solamente grazie a questi avvisi.

Pochi giorni fa, controllando la mia posta, ho notato che ad una serie di miei siti fatti con wordpress, stavano arrivando molti avvisi di attacchi apportati sempre dal solito numero IP, evidentemente, il tipo che lo stava facendo, aveva individuato il server dove sono hostati i miei siti e li stava attaccando sitematicamente per vedere di trovare qualche falla ed entrare, per fare i propri comodi.

Nei giorni seguenti, constatando che il numero di Ip dell’attaccante non cambiava, ho potuto stabilire che a logica, evidentemente era un Ip statico e quindi mi sono attrezzato per rendergli la vita meno facile.

A parte il consiglio che do sempre e cioè quello di aggiornare sempre il core del proprio wordpress con l’ultima release disponibile, posso darvi un altro piccolo consiglio, attuabile facilmente da tutti e cioè quello di bloccare alcuni numeri o serie di numeri Ip tramite l’utilizzo del file .htaccess che, come saprete, è il file situato nella root di ogni wordpress che, nella sua versione di default, si occupa di gestire alcune direttive di base, ma che può tranquillamente essere integrato con altre istruzioni a noi utili.

So di non dire nulla di nuovo, ma questi piccoli escamotage a volte danno al nostro wordpress un piccolo grado di sicurezza in più che non fa mai male.

Attenzione, se lavorate sul file .htaccess e fate degli errori, potrete avere malfunzionamenti del vostro sito fino anche al bloccaggio totale, vi invito quindi a fare una copia del file originale che potrete ripristinare in caso di bisogno.

Dunque, aprendo il file .htaccess di default con un editor, troverete queste istruzioni (esempio di .htaccess delle versioni 3.x su installazione in una root principale):

# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index.php$ – [L] RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L] # END WordPress

Per bloccare uno o una serie di Ip dovete solo aggiungere questa altra parte di istruzioni:

# INZIO parte blocca IP degli spammer
order allow,deny
allow from all
deny from 193.105.240.173
# FINE parte blocca IP degli spammer

Il vostro .htaccess alla fine risulterà così:

# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index.php$ – [L] RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L] # END WordPress

# INZIO parte blocca IP degli spammer
order allow,deny
allow from all
deny from 193.105.240.173
# FINE parte blocca IP degli spammer

Con questo sistema potrete anche fare qualcosa di più complesso e cioè per esempio bloccare il traffico verso il vostro sito ad una intera area geografica. Come farlo? Semplice, avvalendovi di questo utilissimo sito web: http://www.countryipblocks.net/ e inserendo la spunta in alto a destra su “htaccess deny” e selezionando nel menu sottostante il paese da bloccare, otterrete tutti i gruppi IP del paese stesso che vi verranno scritti uno per fila su un file già pronto, non dovrete fare altro che copiare gli Ip e incollarli sul vostro .htaccess nella sezione degli IP da bloccare.

Vi consiglio comunque di salvarvi una copia del file .htaccess originale, che potrete ripristinare in qualsiasi momento in caso di malfunzionamenti o di vostri errori.

Gualtiero Santucci