All-In-One Security vs. Kakapo Security: punti o prove?

All-In-One Security è un popolare plugin di sicurezza gratuito con un sistema a punti: ogni misura attivata aumenta il punteggio di sicurezza. Questo motiva — e induce ad attivare interruttori di cui non si conosce l'effetto.

La risposta breve

AIOS copre protezione dell'accesso, hardening, un firewall semplice e le modifiche ai file, è gratuito e di facile accesso. Il punteggio rende visibili i progressi, ma non dice nulla su quanto porti ciascuna misura.

Kakapo Security rinuncia a un punteggio e punta sulla consultabilità: 40 pattern del firewall e 22 pattern di ricerca si trovano nel codice sorgente distribuito, insieme a un elenco degli approcci che, misurazioni alla mano, hanno prodotto troppi falsi positivi. Il registro delle attività è concatenato e calcolato rispetto a un valore tratto da wp-config.php.

Dove si differenziano

Perché nessun punteggio

Un punteggio presuppone che le misure si possano sommare. Non è così: aggiornamenti tempestivi e un secondo fattore insieme valgono più di una dozzina di piccoli interruttori di hardening — ma in un sistema a punti contano allo stesso modo.

Peggio ancora è il secondo effetto: chi punta ai 100 punti attiva anche cose che sul proprio sito hanno effetti collaterali. Un interruttore che porta un punto e rompe il page builder è un pessimo affare.

Se usi uno strumento con punteggio: non attivare nulla il cui effetto non sai spiegare in una frase. Il punteggio non è un obiettivo.

Quando All-In-One Security è la scelta migliore

• Vuoi iniziare gratis
• Ti piace una configurazione guidata con progressi visibili
• Ti servono solo protezione dell'accesso e hardening di base

Quando Kakapo Security è la scelta migliore

• Vuoi poter leggere cosa viene cercato
• Ti serve un registro che renda visibili le modifiche successive
• Nulla deve essere inviato a un servizio di sicurezza
• Gestisci più siti con una sola licenza

Il passaggio: cosa fare

1. Annota l'indirizzo di accesso spostato, se impostato — altrimenti ti chiudi fuori.
2. Controlla quali regole sono state scritte nel .htaccess; i plugin di sicurezza tendono a lasciarvi dei blocchi.
3. Installa Kakapo Security e inserisci la chiave di licenza.
4. Imposta prima il firewall su «Osserva» (in tedesco: „Beobachten“) e lascialo attivo per una settimana.
5. Acquisisci lo stato di riferimento dei file finché è certo che il sito sia pulito.
6. Disattiva il vecchio plugin, poi passa a «Blocca» (in tedesco: „Blockieren“).

Cosa nessuno dei due sostituisce

Un plugin di sicurezza è uno strato, non il tetto. Tre cose restano compito tuo, e nella pratica evitano più incidenti di qualsiasi impostazione del firewall.

• Aggiornamenti. La grande maggioranza delle intrusioni riuscite sfrutta falle per le quali esisteva da tempo un aggiornamento.
• Backup. Sono l'unica cosa che conta dopo un incidente — e l'unica che aiuta anche quando non hai subito alcun attacco, ma hai solo rotto qualcosa armeggiando.
• Accessi in ordine. Ogni accesso di cui nessuno ha più bisogno è una porta che nessuno sorveglia più.

Queste tre cose non costano denaro né richiedono competenze particolari. Chi le ha guadagna molto con un plugin di sicurezza. Chi non le ha, con un plugin si compra soprattutto una sensazione migliore.

Dove Kakapo Security volutamente non fa nulla

Perché le aspettative siano corrette, ecco i limiti detti chiaramente: l'accesso a due fattori invia i codici via e-mail, un'app di autenticazione non è supportata. Non esiste un database di firme mantenuto per il codice malevolo — la scansione cerca pattern, non malware noti per nome. E il confronto delle vulnerabilità accetta sì l'indirizzo di una fonte, ma di serie non ne include nessuna. A questo si aggiunge che il firewall lavora dentro WordPress, non davanti — un attacco che sovraccarica il server non viene intercettato da un plugin PHP, qualunque esso sia.

Ciò che fa invece è ben delimitato e verificabile: riconoscere e respingere pattern, confrontare i file del core con i checksum di api.wordpress.org, accorgersi delle modifiche ai file e registrare ogni decisione in una catena che non si può modificare in seguito senza che si noti. Chi ha bisogno di questi quattro punti è nel posto giusto. Chi cerca un database di firme, no.

In ogni plugin di sicurezza verifica dove si trova il firewall. Davanti al server è più robusto contro il sovraccarico, dentro WordPress è più preciso con le richieste rivolte a WordPress stesso. Entrambe le cose insieme si hanno solo se l'hosting collabora.

Domande frequenti