I motivi più comuni per cui il tuo sito Joomla viene hackerato : spam

Tag: spam

Team tecnico Xlogic Leave a comment Blogging, Joomla

I motivi più comuni per cui il tuo sito Joomla viene hackerato

Che tu abbia un blog, un sito aziendale o un sito e-commerce poco importa, perché qualsiasi sito web su Internet può essere un bersaglio per gli Hacker o comunque può essere vulnerabile.

In questo articolo ti mostreremo i motivi più comuni per cui il tuo sito Joomla viene hackerato e ti daremo dei consigli per poter risolvere il problema.

I motivi più comuni per cui il tuo sito Joomla viene hackerato

Sicurezza del sito web e del computer

Il più delle volte un sito web viene hackerato perché l’utente non inserisce una password d’accesso valida e complessa, in questo modo l’hacker è facilitato a rilevare le credenziali.

Inoltre se all’interno del proprio Computer sono presenti dei virus o malware, il sito web potrebbe venire compromesso in quanto gli hacker possono rubare tutti i cookies e le informazioni salvate all’interno del pc come le credenziali d’accesso.

Detto questo, è di fondamentale importanza effettuare almeno una volta a settimana una scansione antivirus all’interno del proprio computer e anche una scansione antivirus all’interno del proprio sito web.

Phishing

Il Phishing è un metodo che include un indirizzo mail o un sito web utilizzato dagli hacker per rubare le credenziali di accesso del tuo sito o le informazioni di pagamento.

In pratica gli hacker creano ad Hoc la struttura del sito web facendoti pensare in questo caso che un amministratore Joomla ti chiede di accedere con urgenza all’interno del tuo account, in questo modo l’hacker ti ruberà le informazioni che inserirai.

Plugin e temi vulnerabili

All’interno di Joomla è molto importante implementare il sito web con temi, plugin, widget e altri strumenti che ti permetteranno di avere una completa gestione del sito web.

Tutti questi strumenti sono molto potenti ed utili ma potrebbero venire compromessi ed utilizzati dagli hacker per accedere all’interno del sito web.

E’ molto importante aggiornare regolarmente i plugin, addons ed i temi in quanto se non aggiornati potrebbero crearsi delle falle dove l’hacker potrebbe riuscire ad accedere più facilmente.

Come faccio a capire se il mio sito Joomla è stato hackerato

A volte non è semplice capire se il proprio sito web è stato hackerato perché potrebbe succedere che non siano presenti dei veri e propri segnali, in questo caso lo potresti scoprire “grazie” al tuo Provider Hosting che ti invierà una mail avvisandoti che il tuo sito web è stato violato e che probabilmente sta inviando delle mail in Spam o in Phishing.

Invece, il più delle volte ti accorgerai che il tuo sito web è stato hackerato in base a diversi motivi:

  • Rallentamento del caricamento delle pagine del sito web
  • Apertura automatica di link esterni e annunci pubblicitari all’interno del sito web
  • Home Page modificata con la firma dell’Hacker

Moltissimi Hacker avvieranno download non autorizzati sul tuo computer o sul browser dal momento in cui il tuo sito verrà violato quindi se all’interno di una delle pagine del tuo sito web verrà automaticamente avviato il download significa che il tuo sito è stato compromesso ed è stato hackerato.

Come posso proteggere il mio sito Joomla

Prevenire è meglio che curare… detto questo è di fondamentale importanza mantenere sempre aggiornato il proprio sito web, quindi tutti i plugins, gli addons, i temi e soprattutto la versione di Joomla dovranno essere costantemente aggiornati.

Ma perché è necessario aggiornare sempre tutte le risorse? Perché gli sviluppatori Joomla rilasciano costantemente gli aggiornamenti per correggere i Bug e per rilevare le vulnerabilità di sicurezza in cui gli Hacker potrebbero tentare di sfruttare per riuscire ad accedere all’interno del sito Joomla.

Un consiglio molto efficace per mantenere il sito più sicuro è quello di non dare i permessi di scrittura a tutti i files .php, quindi in questo modo mantenere i files .php in sola lettura impedirà agli hacker di accedere all’interno del sito mediante questi files.

Gli hacker potrebbero tentare di accedere recuperando i dati della tabella del Database ed è possibile impedire questa operazione cambiando il prefisso del database delle tabelle.

E’ molto importante effettuare periodicamente un backup del sito web, in questo modo per qualsiasi problema avrai sempre la possibilità di ripristinare una copia del tuo sito funzionante.

Con Xlogic potrai effettuare il backup manualmente direttamente dal pannello di controllo di cPanel oppure potrai attivare il servizio di backup automatico, in questo modo in due semplici click potrai ripristinare il backup dell’interno sito web, dei files, delle cartelle oppure solamente di alcuni elementi scelti.

Se il tuo sito viene riconosciuto come dannoso da Google, dopo aver risolto il problema dovrai effettuare la richiesta di riconsiderazione.

Alla prossima!

Team tecnico Xlogic 1 Comment News da Xlogic, Wordpress

Come proteggere il sito WordPress con il Captcha

Come proteggere il sito WordPress con il reCaptcha – Con il passare del tempo WordPress si è affermato sempre di più nel mondo del Web e si è confermato come uno tra i CMS più utilizzati e popolari però è anche diventato uno dei bersagli più attraenti per i bot e per gli spammer.

Per limitare le mail in spam Xlogic mette a disposizione attraverso il pannello di controllo cPanel lo strumento SpamAssassin:

In questo articolo ti spieghiamo che cos’ è il Captcha e qual’è la sua funzionalità.

Moltissimi sviluppatori hanno lavorato per migliorare la sicurezza del sito web, nel 1997 è stato inventato Captcha che ha lo scopo di permettere l’accesso solamente alle persone e quindi di effettuare una distinzione tra gli umani ed i robot (bot).

Captcha

Successivamente questo metodo di protezione è stato preso in gestione da Google che con il passare degli anni l’ha ottimizzato.Prima Captcha chiedeva ai visitatori di compilare un form scrivendo la dicitura copiandola dal testo sopra riportato.

ReCaptcha

I Bot sono diventati abbastanza intelligenti da riuscire a bypassare  il Puzzle del Captcha semplice, di conseguenza Google ha inserito un ulteriore controllo composto da un form dove il visitatore deve spuntare l’opzione “Non sono un Robot”.

Se però Google rileva un comportamento insolito, ReCaptcha visualizza un Puzzle pittorico che ti chiede di selezionare le immagini dai riquadri legati a vari elementi come ad esempio montagne, strade, laghi, fiumi, macchine e molto altro.

Invisible ReCaptcha

Per facilitare la vita alle persone, Google ha lanciato una nuova versione denominata Invisible ReCaptcha dove il Puzzle viene visualizzato solamente quando Google sospetta che il visitatore non sia un essere umano.

Installare Invisible ReCaptcha in un sito WordPress

Per poter integrare ReCaptcha nel tuo sito WordPress è necessario scaricare ed installare il Plugin Invisible ReCaptcha.

Di seguito le caratteristiche del Plugin Invisible ReCaptcha:

  • Protezione modulo d’iscrizione
  • Login in un form protetto
  • Form dei commenti protetto
  • Captcha presente nel modulo password dimenticata e recupero password
  • Form di contatto (Contact form 7) protetto
  • Protezione personalizzata

Dopo aver scaricato il plugin è necessario attivarlo, per far questo devi accedere nell’area di configurazione del plugin che trovi nel backend di WordPress > Impostazioni > Invisible reCaptcha

Per attivare il reCaptcha è necessario inserire le due chiavi richieste nel form di configurazione, per poter ottenere queste informazioni devi accedere con il tuo account Google a questo link: ReCaptcha Google:
Nel campo “Domini” c’è la possibilità di inserire più domini (uno per riga), l’importante è inserirli senza nessun protocollo (esempio: xlogic.org)Dopo di che dovrai copiare questi codici nell’area di configurazione del Plugin:

In questo modo il reCaptcha sarà attivo nel tuo sito web, ora non ti resta che decidere dove impostarlo.

Configurazione ReCaptcha sito WordPress

Configurazione ReCaptcha sito WooCommerce

Configurazione ReCaptcha Form di contatto

Sito protetto da ReCaptcha

Puoi decidere di nascondere il badge utilizzando il seguente codice Javascript nelle impostazioni del Plugin:

.grecaptcha-badge {
display: none;
}

Ma si consiglia di non nasconderlo perché il Badge è legato ai termini ed alle condizioni di Google.

Invisible ReCaptcha non protegge un sito WordPress ma viene utilizzato per controllare diverse aree del sito limitando gli accessi solo ed esclusivamente ai visitatori umani e non ai bot.

 

 

Team tecnico Xlogic Leave a comment News da Xlogic, Blogging

Nuove norme su Cookie e Spam – Gennaio 2017

La commissione Europea ha intenzione di modificare le norme relative alle comunicazioni elettroniche da integrare al regolamento Privacy.

Infatti ha proposto nuove misure per tutelare la privacy nelle comunicazioni elettroniche che il governo Europeo si augura che vengano approvate dal parlamento entro il 25 Maggio 2018.

Tra le molte proposte spiccano le proposte di norme più restrittive sullo Spamming ed una semplificazione delle Cookie Law.

Ricordiamo che dal 2 Giugno 2015 tutti i siti web si sono adeguati alle normative europee sui Cookie, per saperne di più leggi questa guida:

La commissione Europea vuole effettuare questi cambiamenti per ottenere una maggiore apertura relativa allo scambio dei dati ed alle norme di sicurezza; infatti gli atti normativi dovrebbero garantire una maggiore tutela sulla Privacy delle persone come spiegato dal vicepresidente della commissione Europea responsabile del Mercato Unico Generale, Andrus Ansip.

Di seguito ti illustrerà i punti fondamentali sulle norme relative alle comunicazioni elettroniche:

 

Cookie

Finalmente è prevista la semplificazione relativa alle legge sui Cookies che ha dato luogo ad un numero spropositato di richieste di consenso per gli utenti di Internet.

Le nuove norme permetteranno agli utenti di avere la possibilità di personalizzare le impostazioni, consentendo di decidere se accettare o rifiutare il monitoraggio dei Cookies; inoltre la proposta chiarisce che il consenso non è necessario per i Cookies non intrusivi che migliorano l’esperienza degli utenti come ad esempio quelli che permettono di ricordare la cronologia del carrello mentre il consenso non sarà più necessario per i cookie contatori di visite.

 

Protezione contro lo Spamming

La proposta vieta le comunicazioni elettroniche indesiderate (sms, mail, chiamate telefoniche, etc), gli stati membri possono offrire la possibilità ai consumatori di opporsi alla ricezione delle telefonate a scopo commerciale.

Gli autori delle chiamate a scopo commerciale saranno obbligati a mostrare il proprio numero o comunque dovranno utilizzare un prefisso che indichi la natura della chiamata.

 

Metadati

La commissione chiede maggiore riservatezza per quanto riguarda il contenuto ed i Metadati come ad esempio l’ora della chiamata ed il luogo; se le nuove proposte entreranno in vigore, dovranno essere anonimizzati o addirittura eliminati in caso di mancato consenso degli utenti a meno che non siano necessari come ad esempio per la fatturazione.

 

Applicazione

Le autorità nazionali per la protezione dei dati avranno la responsabilità di garantire il rispetto delle norme riguardanti la sicurezza della Privacy previste dal Regolamento.

 

Servizi Aggiuntivi

La commissione Europea propone che dopo aver ottenuto il consenso al trattamento dei dati riguardanti le comunicazioni (metadati e contenuti), gli operatori di telecomunicazioni potranno avere la possibilità di utilizzare i dati e fornire servizi aggiuntivi creando anche mappature utili alla pubblica amministrazione.

 

Alla prossima!

 

Team tecnico Xlogic Leave a comment News da Xlogic, Wordpress

WordPress: come inviare le emails con il server SMTP

In questi giorni abbiamo disattivato la funzione PHP Mail su alcuni server per combattere lo Spam.

La causa principale dello spam sono i files (non scaricati dalla directory ufficiale di wordpress) che un utente copia nel proprio sito che possono contenere codici malevoli (malware) con la quale viene innescato lo spamming.

La maggior parte dei Provider nei propri server ha la funzione PHP Mail disattivata per evitare lo spam, chi la mantiene attivata ha problemi continui di spam con conseguente inserimento dell’indirizzo IP server nelle blacklist e sospensione degli account (Spammer).

Bisogna sapere che il servizio mail di PHP non offre nessuna garanzia di consegna e rende difficile qualsiasi verifica, mentre usando SMTP tramite autenticazione le consegne saranno verificate e sicure, inoltre per i nostri clienti è possibile richiedere tramite Ticket l’attivazione dei record SPF e DKIM.

SPF: Sender Policy Framework è un record DNS che identifica e certifica i server di posta autorizzati a inviare email per conto del dominio, lo scopo del record SPF è di impedire agli spammer di inviare al dominio messaggi con indirizzi del mittente falsificati.

DKIM: DomainKeys Identified Mail è un record DNS che identifica il meccanismo di autenticazione della posta e si concentra sulla certificazione del contenuto.

 

In questo articolo vi spieghiamo come poter utilizzare il server SMTP con WordPress.

Nella directory ufficiale di WordPress sono disponibili alcuni plugin per poter gestire le mail in uscita tramite un server SMTP:

 

La nostra scelta è ricaduta su WP Mail SMTP che è un plugin completo e molto semplice da configurare.

wp-mail-smtp

Una volta installato il plugin è necessario configurare i parametri:

  • Nome e indirizzo email per la posta in uscita.
  • Selezionare l’invio della posta tramite SMTP.
  • Specificare un host SMTP (default è localhost).
  • Specificare una porta SMTP (default è 25).
  • Scegliere la crittografia SSL / TLS.
  • Scegliere di utilizzare l’autenticazione SMTP.
  • Specificare un nome utente e una password SMTP.

 

E’ importante che le mail in uscita da WordPress siano dello stesso dominio utilizzato da WordPress e il server SMTP utilizzato sia lo stesso della posta elettronica del dominio. Nel caso si voglia utilizzare un SMTP esterno consigliamo questo plugin: Postman SMTP Mailer.

 

In caso di problemi nella configurazione, potete aprire un ticket presso la nostra Area Clienti.

Alla Prossima.