La sicurezza di un sito deve essere la preoccupazione principale di un buon Webmaster.
Un hacker ha molti modi per attaccare un sito e avere un portale in Joomla non aggiornato è sempre un rischio. Anche l’utilizzo di estensioni di terze parti poco conosciute e poco aggiornate può rivelarsi dannoso.
Lo stesso Joomla è consapevole di queste “falle” ed è per questo che il sito ufficiale rilascia spesso degli aggiornamenti.
Esistono alcune estensioni (o plugin) in grado di difendere il proprio sito dalle principali minacce e da attacchi come SQL injection o brute force.
Di seguito riportiamo 3 dei plugin più conosciuti ed efficaci, scaricabili gratuitamente, che vi consigliamo di installare sul vostro Joomla.
AdminExile
Questo plugin nasconde il link di accesso all’administrator che può essere raggiunto solo con una chiave. Se non si conosce la chiave giusta non è possibile accedere all’administrator.
AdminExile è efficacie contro gli attacchi bruteforce.
E’ un plugin gratuito e per renderlo attivo bisogna abilitarlo dalla sezione dei Plugin di Joomla.
Dopo averlo attivato va configurato attivando il Use Key + Value. In URL Access Key va inserita una parola chiave, per esempio 34ru4r4r7r7c347 (caratteri e numeri casuali) e in Key Value va inserito un valore o una parola simile (per esempio SHELLRENT). Poi salvate.
Inserendo questi valori di esempio per poter accedere all’administrator, si avrà questo nuovo indirizzo:
www.nomedelmiosito.it/administrator/index.php?34ru4r4r7r7c34=SHELLRENT
SecurityCheck
Securitycheck è un componente (e anche plugin) che aiuta a proteggere il sito da SQL injection, LFI e attacchi XSS controllando ogni POST e GET inviati con la funzione di Web Firewall.
Esiste anche la versione a pagamento a circa 30 euro all’anno con molte più protezioni, ma anche la versione base è molto valida.
Dopo averlo installato dal menu Componenti – Securitycheck potete visualizzare le opzioni di base:
– Check Vulnerabilities: trova le vulnerabilità di Joomla o delle estensioni che avete installato.
– File Manager: verifica manualmente se i permessi dei file sono corretti.
– .Htaccess Protection: potete attivare un nuovo URL per l’accesso al backend di Joomla per evitare gli attacchi BruteForce.
Cliccate su Protect (in alto vicino a Salva) e generate una chiave per attivare un nuovo URL per l’accesso all’administrator. Ricordatevi poi il link al nuovo URL. In caso di problemi rimuovete o rinominate il file .htaccess di Joomla per ripristinare il link normale all’administrator.
Funziona come AdminExile con qualche opzione in meno quindi non è necessario attivarli entrambi.
Il componente una volta attivato funziona senza necessitare di una configurazione particolare.
Marco’s SQL Injection
Marco’s SQL Injection è costruito per la protezione contro gli attacchi SQL injection e LFI (local file inclusion) e blocca tutti i rischi inviandoti una email degli attacchi bloccati. L’estensione non viene aggiornata dal 2014 ma resta sempre un plugin valido.