HTProtect – Documentazione

HTProtect non è una serratura rigida, ma una protezione che ragiona insieme a te per il tuo sito Joomla: a più livelli, sempre aggiornata – e non ti lascia mai fuori. Questa guida spiega capitolo per capitolo che cosa succede esattamente, quando succede e perché tutto questo ti protegge.

Che cos'è HTProtect?

HTProtect è uno «scudo lato server» per Joomla che sorveglia più punti contemporaneamente. Tre cose lo distinguono:

• Un mini-firewall che si aggiorna in tempo reale. Quando emerge un nuovo metodo di attacco o una vulnerabilità appena scoperta in un'estensione diffusa, HTProtect blocca automaticamente la via d'ingresso: non devi aspettare l'aggiornamento dello sviluppatore. Gli esperti lo chiamano patching virtuale.
• Si mantiene aggiornato da solo. HTProtect installa i propri aggiornamenti in automatico, di norma nel giro di circa tre ore: senza che tu faccia nulla, la protezione è sempre all'ultima versione.
• Non ti lascia mai fuori. Ogni regola di protezione viene testata sul server reale subito dopo essere stata scritta e, se serve, ritirata automaticamente.

A questo si aggiungono l'hardening del server, una password aggiuntiva davanti al backend, uno scanner antimalware e gli aggiornamenti automatici con backup. HTProtect aggiorna i propri dati di protezione come un antivirus aggiorna le definizioni dei virus: scarica con regolarità dati pubblici e firmati, e non trasmette all'esterno dati del sito o dati personali senza che tu lo chieda.

Panoramica

La panoramica è la tua cabina di comando. Un semaforo di sicurezza mostra a colpo d'occhio a che punto sei: verde vuol dire tutto a posto, arancione è un avviso, rosso richiede un intervento. Le voci arancioni e rosse si possono cliccare e ti portano dritto alla soluzione. Il grande pulsante «Proteggi ora» fa tutto l'essenziale con un solo clic.

Perché il semaforo sia sempre attendibile, in background lavora il guardiano. Entra in azione per primo a ogni caricamento di pagina – senza rallentamenti percepibili –, tiene aggiornato il mini-firewall e vigila sull'integrità dello scudo di protezione. In sola lettura riconosce inoltre il codice iniettato nei file del core e in quelli del template attivo, e te lo segnala.

Nota anche i movimenti sospetti sui tuoi account: un nuovo Super Utente, una password cambiata di nascosto. Ti avvisa via e-mail, in modo raggruppato e nella lingua del tuo backend, e solo quando c'è davvero qualcosa che non va. Niente spam, quindi.

Che cosa succede e quando

La protezione segue un ritmo preciso e, per la maggior parte, senza che tu debba mai fare nulla:

1. All'installazione

   HTProtect si configura, ma non attiva ancora nessuna protezione. Sei tu a decidere quando si parte.

2. Un clic su «Proteggi ora»

   Lo scudo viene scritto, le cartelle di upload vengono sigillate, tutto viene testato sul server reale e i tuoi download sicuri vengono sbloccati in automatico.

3. A ogni caricamento di pagina

   Il guardiano controlla firewall e integrità: impercettibilmente veloce.

4. A intervalli regolari in background (circa ogni 6 ore)

   HTProtect scarica il feed firmato e tiene aggiornati il mini-firewall e l'elenco delle vulnerabilità note. Le voci critiche per la sicurezza hanno effetto immediato.

5. Circa ogni 3 ore

   HTProtect verifica la disponibilità di aggiornamenti propri e li installa in automatico.

6. All'orario impostato

   Aggiornamenti automatici opzionali delle tue estensioni: con backup, controllo di funzionamento e ripristino automatico.

Protezione con password del backend

Davanti al login di Joomla, HTProtect mette una seconda richiesta di password, subito prima dell'indirizzo del backend (quello che termina con /administrator). Così gli aggressori e i bot non arrivano nemmeno alla pagina di login. È un ostacolo in più e ti protegge perfino dalle vulnerabilità del login stesso che ancora nessuno conosce.

1. Scegli nome utente e password
2. Attiva la protezione: fatto

E il legittimo timore «e se mi chiudessi fuori da solo?» te lo toglie HTProtect: testa il blocco sul server reale e lo disattiva in automatico se qualcosa non va. Una protezione con password già esistente viene semplicemente ripresa così com'è.

Password dimenticata? Nessun problema: elimina via FTP il file administrator/.htaccess, la richiesta aggiuntiva sparisce e rientri nel backend.

E se nel tuo team ci sono più Super Utenti, puoi nascondere HTProtect ad alcuni di loro: chi deselezioni non vede né la voce di menu né il riquadro di stato e non può aprire il componente. Il tuo account resta sempre visibile (niente rischio di autoesclusione) e la protezione continua a funzionare invariata per tutti. Riguarda solo la visibilità: tecnicamente un Super Utente ha comunque accesso completo al sistema.

Scudo di protezione

Lo scudo di protezione è il livello server della tua difesa: un .htaccess blindato secondo il principio «tutto vietato tranne lo stretto necessario». Basta un clic su «Proteggi ora»: le impostazioni consigliate sono già pronte. Tutto il resto resta raccolto sotto «Impostazioni avanzate» (per esperti; nel dubbio lascia tutto com'è).

Dietro le quinte si incastrano più livelli:

• Cartelle di upload sigillate. Nelle cartelle in cui si possono caricare file (upload, media, cache, tmp) l'esecuzione di PHP è disattivata del tutto. La via d'ingresso più frequente – una webshell caricata dall'esterno – finisce così in un vicolo cieco (403).
• File sensibili al riparo. L'accesso diretto a configuration.php, ai backup, ai file di log e simili viene bloccato.
• Header di protezione & HTTPS. Vengono impostati gli header di sicurezza; se il tuo sito usa HTTPS, HTProtect reindirizza automaticamente le richieste non cifrate sulla connessione sicura (disattivabile).
• Web Application Firewall. Gli schemi di attacco noti vengono intercettati prima di Joomla: l'attacco non arriva nemmeno al tuo sito.

Il mini-firewall: una protezione che non invecchia

Il bello è proprio questo: quegli schemi non sono scolpiti nella pietra. HTProtect si sincronizza a intervalli regolari – circa ogni 6 ore – con un feed firmato, esattamente come un antivirus aggiorna le proprie definizioni dei virus. Quando emerge un nuovo metodo di attacco o una vulnerabilità appena scoperta in un'estensione diffusa, la regola di blocco corrispondente si aggiunge in automatico: la via d'ingresso è chiusa prima ancora che esista un aggiornamento ufficiale dell'estensione vulnerabile. Le voci critiche per la sicurezza hanno effetto subito, non solo alla sincronizzazione successiva.

Perché nessuno possa abusare di questo canale, la firma del feed viene verificata direttamente sul tuo sito: vengono accettati soltanto dati integri.

HTProtect non ti lascia mai fuori

Ogni nuova regola di protezione porta con sé un rischio teorico: e se una di queste chiudesse fuori proprio te? È esattamente qui che HTProtect ha pensato in anticipo. Ogni regola viene testata sul server reale subito dopo essere stata scritta (che sia Apache, LiteSpeed o nginx, lo riconosce da solo). Se ti chiudesse fuori, HTProtect la ritira automaticamente. Lo scudo entra in funzione solo quando è dimostrato che funziona.

Dopo una migrazione del server o un cambio di dominio? Se qualcosa si inceppa, elimina via FTP il file .htaccess principale nella cartella radice di Joomla e fallo riscrivere da capo con «Proteggi ora»: così spariscono le vecchie regole che non sono più adatte.

Problema frequente: un tuo file viene bloccato (403)

Lo scudo lascia passare solo ciò che conosce e respinge il resto con un 403 (accesso negato) – ed è proprio questo a proteggerti. Ma se aggiungi qualcosa di tuo (uno script personalizzato, un forum, uno shop), lo scudo ancora non lo conosce → 403. Non è un guasto: un 403 su un file che hai aggiunto di proposito significa soltanto «per favore, sbloccami una volta».

Come trovare il file bloccato – direttamente nel browser, senza accesso al server (30 secondi, non puoi rompere nulla):

1. Apri la pagina o la funzione che non funziona.
2. Premi F12 sulla tastiera

   Si aprono gli strumenti per sviluppatori integrati in ogni browser. In alto, fai clic sulla scheda Rete.

3. Ripeti l'azione

   Ricarica la pagina o invia di nuovo il modulo, poi fai clic sulla voce rossa «403» – lì trovi il percorso del file bloccato (ad esempio custom-form.php). Annotalo.

Come sbloccarlo – in HTProtect›Scudo di protezione›Impostazioni avanzate, poi sempre Salva + scrivi .htaccess (solo allora ha effetto):

• Un singolo file: campo «Sblocca direttamente singoli file» – uno per riga, ad esempio custom-form.php (in una sottocartella: tools/specialtool.php).
• Una cartella con software proprio (forum, shop …, che esegue PHP): campo «Sblocca completamente le cartelle, esecuzione di PHP inclusa» – ad esempio forum.
• Una cartella con soli file da scaricare (PDF, immagini – niente PHP): campo «Sblocca tutti i tipi di file in una cartella, senza PHP» – ad esempio downloads. È la scelta più sicura quando PHP non serve.
• Un intero tipo di file insolito: campo «Estensioni di file consentite (separate da virgola)» – per estensioni inusuali non ancora ammesse, ad esempio i file 3D/CAD (stl, dwg, step).
• Ultima risorsa, se non basta nulla di quanto sopra: campo «Percorsi attendibili (consenti ovunque)» – per questi percorsi vengono sospesi anche i blocchi sulle directory e le firme anti-exploit. Solo per percorsi che hai verificato tu e che sai essere innocui, mai a tappeto.

Regola d'oro: sblocca nel modo più mirato possibile – meglio il singolo file che l'intera cartella, meglio «senza PHP» che con PHP. Quando il 403 è sparito dalla scheda Rete, il problema è risolto.

Una pagina non si lascia incorporare in un iframe

Problema: una pagina non si riesce più a incorporare tramite <iframe> su un altro dominio (per esempio un modulo di contatto ospitato sul sito B e incorporato sul sito A). La console del browser segnala: Refused to display … X-Frame-Options: SAMEORIGIN.

Causa: la protezione anti-clickjacking «Vieta l'incorporamento in siti esterni (X-Frame-Options)» attiva sul sito B, quello incorporato, vieta l'inclusione da parte di terzi.

Soluzione (sul sito B, non su A!): in HTProtect›Scudo di protezione›Impostazioni avanzate disattiva l'interruttore «Vieta l'incorporamento in siti esterni» → Salva + scrivi .htaccess. Per i moduli pubblici è del tutto innocuo.

Scansione del sito

Se qualcosa dovesse comunque passare, la scansione del sito lo scova. Analizza l'intero sito alla ricerca di codice malevolo, file iniettati e backdoor nascoste (le cosiddette webshell) – e può rimuovere subito ciò che trova. Parte solo su tuo comando, mai da sola, e non appesantisce il server in modo permanente.

I siti molto grandi vengono analizzati a piccoli blocchi, così nessun limite di tempo interrompe l'operazione; una scansione successiva controlla poi solo ciò che è cambiato. Può inoltre verificare se i file e i download che hai collegato sono raggiungibili.

La sorveglianza vale anche nel piccolo: i file appena installati o aggiornati vengono controllati alla ricerca di codice malevolo, per esempio webshell o JavaScript iniettato. Se trova qualcosa può isolarlo o rimuoverlo, con precauzioni severe contro le cancellazioni sbagliate. Per uno schema molto frequente c'è un trattamento dedicato: il JavaScript iniettato nei template Helix viene riconosciuto e rimosso in modo mirato – operazione reversibile, con backup.

Backup & aggiornamenti

Prima di ogni modifica al file .htaccess, HTProtect crea automaticamente un backup: un clic e torni in qualsiasi momento allo stato precedente. Per gli aggiornamenti vale lo stesso principio: mai senza rete.

Se vuoi, HTProtect tiene aggiornate in automatico le tue estensioni Joomla. Prima di ogni aggiornamento salva file e database, poi verifica con un controllo di funzionamento che il sito giri ancora senza problemi – e, se qualcosa non va, torna da solo allo stato precedente. Per impostazione predefinita hanno la precedenza gli aggiornamenti di sicurezza, ogni giorno all'orario che hai scelto.

E HTProtect sa che cosa andrebbe aggiornato: confronta le estensioni che hai installato con un elenco di vulnerabilità di sicurezza note e ti segnala con precisione gli aggiornamenti disponibili.

Consiglio: fai girare gli aggiornamenti non di sicurezza una volta a settimana, con 3 giorni di attesa – è un buon compromesso.

La rete di sicurezza che c'è dietro:

• Intervallo & orario liberamente impostabili: settimanale, giornaliero oppure «immediato» (ogni 15 minuti).
• Gli aggiornamenti di sicurezza partono subito – senza alcuna attesa.
• Periodo di attesa a scelta: nessuno, 1, 3, 7 o 14 giorni.
• Scansione antimalware durante l'aggiornamento: se emerge qualcosa si torna subito indietro (di solito è un falso positivo – le firme vengono corrette a livello centrale, senza dati del sito o dati personali; l'aggiornamento viene poi ripetuto al passaggio successivo).
• Rispettoso: le fonti di aggiornamento non vengono mai disattivate; HTProtect interroga i server esterni a ritmo ridotto, per non sovraccaricarli.
• Freno d'emergenza: se un aggiornamento si rivela gravemente problematico, può essere bloccato subito per tutti a livello centrale.

Aiuto & supporto

Da qui raggiungi il supporto (se vuoi, con dati diagnostici utili allegati), la chat dal vivo, questa documentazione e la cassa del caffè.

HTProtect è pensato per cedere con delicatezza in caso di dubbio, invece di piantarsi di colpo. Se, per esempio, un antivirus del server troppo zelante danneggia un file di HTProtect, il tuo sito resta comunque raggiungibile: la parte interessata si spegne in silenzio, HTProtect si ripristina da solo con il proprio aggiornamento automatico e una pagina di avviso chiara ti spiega che cosa sta succedendo. Convive con gli strumenti di sicurezza già presenti (modalità hands-off) e mantiene minimo il carico sul server.

E se volessi liberarti di HTProtect? Durante la disinstallazione una procedura guidata ti propone di rimuovere in modo pulito anche i file di protezione e di ripristinare il tuo .htaccess originale – senza lasciare tracce. Onesto e reversibile, come tutto il resto qui.

• Mettere in sicurezza il file .htaccess di Joomla con HTProtectArticolo di approfondimento

I sostenitori di questo sito

htprotect.org è un servizio informativo gratuito e indipendente da qualsiasi produttore. È sostenuto da:

Hosting & community

FC-Hosting

Hosting provider tedesco specializzato in Joomla, con un supporto attivo della community – ha individuato il primo attacco alla vulnerabilità di JCE.

fc-hosting.de

Ideatore & gestore

Website-Bereinigung.de

Specializzata nella bonifica, nella manutenzione e nella messa in sicurezza di siti Joomla e WordPress.

website-bereinigung.de

Bauschild & Service

Produce e installa cartelli di cantiere, recinzioni pubblicitarie e soluzioni per facciate – progettazione grafica e visualizzazioni 3D incluse.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Assistenza IT professionale dalla Repubblica Ceca – gestione Windows, amministrazione dei domini e hosting web.

defendersoft.cz

onlineweg.de

Portale di viaggi tedesco – pacchetti vacanza, hotel e voli online, con la consulenza personale di un'agenzia.

onlineweg.de

Criadero

Agenzia creativa del Brandeburgo – web design, stampati, fotografia e panorami a 360° da un unico interlocutore.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Fornitore di servizi IT di Wächtersbach – siti Joomla, assistenza PC, hardware e software.

jahnedv.de

IsariConsult

Consulenza sulla sicurezza delle informazioni da Berlino – analisi di sicurezza, gestione del rischio e ISO 27001 per le PMI.

isari-consult.de