Le sfide della gestione della sicurezza di un sito web<\/h2>\n
Essendo il sistema di gestione dei contenuti (CMS) pi\u00f9 diffuso<\/a> del pianeta, WordPress \u00e8 un obiettivo primario per hacker e malintenzionati. Per questo motivo, WordPress punta molto sulla sua sicurezza di base<\/a>.<\/p>\n Anche se i numeri sembrano buoni sulla carta – circa il 3% dei siti<\/a> ha qualche tipo di infezione o risorse bloccate – questo non significa che ci si possa rilassare. Infatti, ci sono molte minacce da considerare quando si tratta del proprio sito web WordPress:<\/p>\n Data la complessa gamma di attacchi, gestire la sicurezza<\/a> di un singolo sito WordPress pu\u00f2 essere gi\u00e0 abbastanza impegnativo. Tuttavia, quando si \u00e8 responsabili di pi\u00f9 siti, la complessit\u00e0 e la portata si moltiplicano. Una rete di siti avr\u00e0 sempre bisogno di un approccio presente e proattivo al monitoraggio della sicurezza. Questo \u00e8 ancora pi\u00f9 difficile se si gestisce un gruppo di siti senza alcuna connessione.<\/p>\n Per questo motivo, un modo efficiente ed efficace per monitorare e proteggere tutti i siti di cui ci si occupa avr\u00e0 un valore enorme. Kinsta \u00e8 in grado di fornire questo servizio a tutti i clienti.<\/p>\n Indipendentemente dal piano scelto, ogni cliente Kinsta ha accesso all’API di Kinsta<\/a>. Questo potente strumento permette di interagire con i propri siti in molti modi programmatici. Sono disponibili molti endpoint diversi che si “agganciano” ad aspetti del nostro hosting, il che significa che si ha a disposizione un modo solido per gestire la sicurezza di tutti i propri siti.<\/p>\n L’API di Kinsta permette di automatizzare varie attivit\u00e0 legate alla sicurezza e ci sono molti endpoint rilevanti:<\/p>\n Anche se questi strumenti si possono trovare all’interno della dashboard di MyKinsta<\/a>, ci sono molte ragioni per cui offriamo anche un’opzione programmatica. Per molti versi, l’API di Kinsta offre diversi vantaggi rispetto alla dashboard:<\/p>\n Ma basta parlare: entriamo nel vivo dell’utilizzo dell’API di Kinsta per lavorare con gli indirizzi IP. Inizieremo con attivit\u00e0 semplici e vedremo in seguito le applicazioni avanzate.<\/p>\n Uno dei modi pi\u00f9 semplici per rafforzare la sicurezza del sito \u00e8 il blocco degli IP. In questo modo si pu\u00f2 tagliare la testa al toro e impedire l’accesso al proprio sito. Il vantaggio principale \u00e8 la mitigazione degli attacchi brute force.<\/p>\n Sebbene la dashboard di MyKinsta permetta di lavorare con la propria blocklist, l’API di Kinsta offre una maggiore flessibilit\u00e0 se serve. Consideriamo uno scenario in cui si fa parte di un’agenzia WordPress<\/a> che gestisce pi\u00f9 siti di clienti con uno dei nostri piani Kinsta Agency<\/a>.<\/p>\n Per prima cosa, serve un elenco di indirizzi IP che si desidera bloccare. La nostra documentazione contiene alcuni metodi<\/a> per farlo, come ad esempio l’utilizzo di statistiche per individuare gli indirizzi che effettuano molte richieste non memorizzate in un breve lasso di tempo.<\/p>\n Da qui \u00e8 possibile iniziare a utilizzare l’API di Kinsta per limitarli. Per prima cosa, \u00e8 necessario utilizzare l’endpoint Environments<\/a> per ottenere un elenco di siti. Questo includer\u00e0 sia i siti live che quelli di staging:<\/p>\n Successivamente, si pu\u00f2 utilizzare l’endpoint Denied IPs<\/a> per effettuare una richiesta a La richiesta associata a Un’aggiunta andata a buon fine restituir\u00e0 un codice di risposta Implementare misure di sicurezza preventive<\/a> come le restrizioni IP \u00e8 eccellente, ma \u00e8 anche fondamentale monitorare l’attivit\u00e0 del sito per individuare potenziali minacce alla sicurezza. Potete osservare una serie di indicatori chiave per ogni sito:<\/p>\n La dashboard di MyKinsta pu\u00f2 inviarvi notifiche e avvisi in tempo reale su molti aspetti del sito. In questo modo potrete intervenire quando si verifica un potenziale problema di sicurezza.<\/p>\n L’API di Kinsta ha diversi endpoint<\/a> che permettono di recuperare e consultare i log del sito e molto altro. Se lo desiderate, potrete anche impostare sistemi di monitoraggio e di avviso automatizzati in base alle vostre esigenze.<\/p>\n Consideriamo uno scenario in cui la vostra agenzia ha bisogno di monitorare attivit\u00e0 sospette su un sito di un singolo cliente. Ci sono alcuni approcci che si possono adottare per un monitoraggio proattivo quando non si ha una notifica come punto di partenza.<\/p>\n Anche in questo caso, dovrete recuperare l’elenco degli ambienti, poich\u00e9 gli endpoint richiedono un ID. Una volta ottenuto, potete dare un’occhiata all’endpoint Questo pu\u00f2 aiutarvi a capire se c’\u00e8 qualche motivo di preoccupazione. Gli approfondimenti, grazie all’endpoint Ad esempio, potete controllare la larghezza di banda per assicurarvi di non essere vittime di un attacco coordinato a un sito. I parametri della query permettono di impostare un punto di inizio e di fine dell’intervallo di tempo, oltre a un intervallo di tempo. Il ritorno JSON fornisce i dettagli della larghezza di banda per il sito specifico:<\/p>\n Sono disponibili molte altre metriche, come il numero di richieste HTTP al minuto<\/a> e il tempo medio di risposta<\/a>. Il vostro compito \u00e8 quello di esaminare queste metriche e i dati contenuti nei registri per identificare eventuali attivit\u00e0 sospette o potenziali minacce alla sicurezza.<\/p>\n Se avete bisogno di una visualizzazione, l’APM di Kinsta<\/a> pu\u00f2 esservi utile:<\/p>\n Combinando tutti gli strumenti di Kinsta – l’API, la dashboard MyKinsta e l’APM – potrete individuare e rispondere rapidamente a potenziali problemi di sicurezza e ridurre al minimo il rischio di danni permanenti al vostro sito e alla sua reputazione.<\/p>\n Automatizzare il flusso di lavoro della sicurezza pu\u00f2 dare alle vostre risposte maggiore efficienza e mobilitazione. Sebbene il monitoraggio proattivo sia il modo ideale per mantenere i vostri siti sicuri, a volte \u00e8 necessario un approccio reattivo.<\/p>\n Anche in questo caso le notifiche automatiche sono utili. Una volta ricevuta una notifica da Kinsta, potrete entrare in azione per risolvere il problema. Tuttavia, a differenza di altre attivit\u00e0 di sicurezza, questa volta l’API di Kinsta non fa parte del triage.<\/p>\n Al contrario, MyKinsta sar\u00e0 la vostra guida. La documentazione di Kinsta<\/a> tratta delle notifiche di monitoraggio del sito a vostra disposizione. Ce ne sono molte, come ad esempio i tempi di inattivit\u00e0 del sito, gli errori DNS e molto altro ancora.<\/p>\n Quando identificate una minaccia sul sito, potete ricorrere all’API di Kinsta per gestire gli utenti malintenzionati. Ad esempio, potete aggiungere degli IP a un elenco di blocco o controllare i backup che avete predisposto nel caso in cui si verifichi il peggio.<\/p>\n Ci sono un paio di richieste a L’API di Kinsta permette anche di ripristinare un backup. In effetti, potreste concepire una strategia che recuperi i log del sito, valuti le metriche, esegua un backup in base a parametri e regole specifici, blocchi gli IP dannosi in arrivo e ripristini il backup quando gli attacchi si calmano.<\/p>\n Monitorate costantemente l’attivit\u00e0 del sito e modificate il vostro processo di sicurezza in base alle informazioni ottenute da Kinsta API e MyKinsta.<\/p>\n Automatizzando il processo di escalation della sicurezza, potete rispondere pi\u00f9 rapidamente alle minacce e ridurre al minimo l’impatto potenziale degli incidenti di sicurezza sul vostro sito.<\/p>\n Ogni volta che utilizzate un’API, esponete alcuni aspetti del vostro sito al web. Per questo motivo, \u00e8 indispensabile seguire alcune pratiche tipiche e accettate per garantire la sicurezza e l’integrit\u00e0 del vostro sito e dei vostri dati.<\/p>\n Ci sono alcune linee guida fondamentali da tenere a mente. Innanzitutto, dovete sempre utilizzare metodi di autenticazione sicuri ogni volta che accedete a un’API. Pu\u00f2 trattarsi di una chiave API, di token OAuth o di altro. Kinsta fornisce un endpoint di autenticazione con chiave API a questo scopo:<\/p>\n Ricordate che non dovreste esporre le vostre credenziali API nel codice lato client o nei repository pubblici di controllo della versione. A questo punto dovete verificare cosa offre il vostro linguaggio di programmazione preferito. Ad esempio, Python chiama da un modulo Ci sono anche un paio di altre considerazioni importanti da fare:<\/p>\n Infine, seguire il principio del minimo privilegio \u00e8 quasi obbligatorio quando impostate qualsiasi livello di accesso per il vostro team o per i servizi di terze parti. In poche parole, concedete solo il livello minimo di accesso di cui ogni utente o servizio ha bisogno per svolgere le proprie attivit\u00e0. Inoltre, rivedete e revocate regolarmente le autorizzazioni non necessarie.<\/p>\n Per quanto riguarda la gestione della sicurezza dei siti dei clienti, \u00e8 buona norma – e anche fondamentale – fornire un report regolare e trasparente sull’efficacia della vostra strategia. I vostri clienti meritano di essere informati sulle misure che state adottando<\/a> per proteggere i loro siti e sui risultati dei vostri sforzi. Questo aiuta a creare fiducia e a dimostrare il valore di ci\u00f2 che offrite.<\/p>\n Per questo motivo, dovrete assicurarvi che i report forniscano il maggior numero di informazioni possibili ai vostri clienti. Kinsta permette di utilizzare una serie di metriche e approfondimenti per ogni singolo sito:<\/p>\n Ovviamente avete a disposizione molto di pi\u00f9. Tuttavia, \u00e8 importante presentare questi dati nel modo migliore per i vostri clienti. Ecco alcuni suggerimenti su cosa includere:<\/p>\n In generale, offrite trasparenza su tutte le sfide o le limitazioni che riscontrate nella sicurezza del sito. Nel caso di minacce o problemi difficili, \u00e8 bene essere chiari e spiegare cosa si sta facendo per migliorare.<\/p>\n In questo caso pu\u00f2 essere utile offrire raccomandazioni per ulteriori miglioramenti della sicurezza. Queste raccomandazioni deriveranno dalle vostre intuizioni e analisi. Ad esempio, potreste suggerire ulteriori misure di sicurezza, come l’implementazione dell’autenticazione a due fattori<\/a> o l’aggiornamento dei plugin obsoleti.<\/p>\n\n
Come l’API di Kinsta pu\u00f2 migliorare la sicurezza di un sito<\/h2>\n
![\"La](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/04\/mykinsta-dashboard.png\")
\n
\n
Implementare le restrizioni IP con l’API di Kinsta<\/h2>\n
Usare l’API di Kinsta per bloccare gli indirizzi IP<\/h3>\n
![\"Il](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/04\/mykinsta-analytics.png\")
const siteId = 'YOUR_site_id_PARAMETER';\n\nconst resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/sites\/${siteId}\/environments`,\n {\n method: 'GET',\n headers: {\n Authorization: 'Bearer <YOUR_TOKEN_HERE>'\n }\n }\n);\n\nconst data = await resp.text();\nconsole.log(data);\n<\/code><\/pre>\nGET<\/code> che restituisca la blocklist attuale in formato JSON. La risposta includer\u00e0 un array di oggetti IP bloccati:<\/p>\n{\n- \"environment\": [\n\"id\": \"abc123\",\n\"ip-list\": [\n\"192.168.1.1\",\n]\n }\n}\n<\/code><\/pre>\nPUT<\/code> permetter\u00e0 di aggiungere un IP alla blocklist, per il quale dovrete specificare l’ID dell’ambiente:<\/p>\nconst resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/sites\/tools\/denied-ips`,\n {\n method: 'PUT',\n headers: {\n 'Content-Type': 'application\/json',\n Authorization: 'Bearer <YOUR_TOKEN_HERE>'\n },\n body: JSON.stringify({\n environment_id: '54fb80af-576c-4fdc-ba4f-b596c83f15a1',\n ip_list: ['127.0.0.1']\n })\n }\n);\n\nconst data = await resp.json();\nconsole.log(data);\n<\/code><\/pre>\n200<\/code>, insieme a result: null<\/code> in un file JSON. Potreste automatizzare ulteriormente l’intero processo con uno script o uno strumento per eseguirlo ogni volta che dovete aggiornare la blocklist.<\/p>\nMonitoraggio dell’attivit\u00e0 del sito web con l’API di Kinsta<\/h2>\n
\n
![\"Una](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/04\/mykinsta-notifications.png\")
Individuare attivit\u00e0 dannose con i log e le metriche del sito<\/h3>\n
logs<\/code>. La richiesta ha due campi obbligatori<\/a>:<\/p>\n\n
file_name<\/code> accetta una stringa contenente i log error<\/code>, access<\/code> o kinsta-cache-perf<\/code>.<\/li>\nlines<\/code> consente di specificare il numero di righe che la richiesta restituisce dal registro, che deve essere inferiore a 20.000.<\/li>\n<\/ul>\nmetrics<\/code>, possono aiutarvi a colmare le lacune. Le metriche che sceglierete di analizzare dipenderanno dalla situazione specifica.<\/p>\n{\n \"app\": {\n \"id\": \"54fb80af-576c-4fdc-ba4f-b596c83f15a1\",\n \"display_name\": \"my-app\",\n \"metrics\": {\n \"timeframe\": {\n \"start\": \"1679587045511\",\n \"end\": \"1679587045511\"\n },\n \"bandwidth\": [\n {\n \"time\": \"1679587045511\",\n \"value\": \"value\"\n }\n\u2026<\/code><\/pre>\n![\"Lo](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/04\/kinsta-apm.png\")
Automatizzare l’escalation della sicurezza con l’API di Kinsta e MyKinsta<\/h2>\n
GET<\/code> che aiutano a scoprire quali sono i backup. Se ne manca uno, potete fare una richiesta POST per avviare un backup manuale. Sar\u00e0 necessario solo l’ID dell’ambiente e un nome per il backup:<\/p>\nconst envId = 'YOUR_env_id_PARAMETER';\nconst resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/sites\/environments\/${envId}\/manual-backups`,\n {\n method: 'POST',\n headers: {\n 'Content-Type': 'application\/json',\n Authorization: 'Bearer <YOUR_TOKEN_HERE>'\n },\n body: JSON.stringify({\n tag: 'my-awesome-backup'\n })\n }\n);\n\nconst data = await resp.json();\nconsole.log(data);\n<\/code><\/pre>\nBest practice per implementare misure di sicurezza basate sulle API<\/h2>\n
const resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/validate`,\n {\n method: 'GET',\n headers: {\n Authorization: 'Bearer <YOUR_TOKEN_HERE>'\n }\n }\n);\n\nconst data = await resp.text();\nconsole.log(data);\n<\/code><\/pre>\nconstants.py<\/code> e PHP utilizza OpenSSL<\/a> e altri moduli<\/a> per proteggere le informazioni sensibili.<\/p>\n\n
Reporting sulle restrizioni IP e monitoraggio delle attivit\u00e0<\/h2>\n
\n
\n
Riepilogo<\/h2>\n