Focus 3: i protocolli di sicurezza di plugin e CMS

Negli approfondimenti che abbiamo pubblicato le settimane passate ci siamo soffermati su alcuni dei principali aspetti che riguardano la sicurezza di un sito web, di un ecommerce o di un blog. Tra questi ricordiamo ad esempio l’hosting di un sito, una variabile fondamentale per garantire il perfetto funzionamento del sistema 24 ore su 24. Ma come accade spesso nel web, il quadro completo si ha solo mettendo insieme più tessere del puzzle, per cui non basta fermarsi al solo hosting o alla sola manutenzione ordinaria. Ci sono altri fattori che determinano la sicurezza di un sito web, e fra questi bisogna annoverare i protocolli dei plugin e delle piattaforme di Content Management System, da WordPress a Joomla!. Plugin e CMS possono infatti diventare la porta di ingresso per attacchi e malware, con ovvie ripercussioni negative in termini di efficienza del sito e perdita dei dati. Vediamo quindi come prevenire questi scenari, e prima ancora quali sono le best practice da mettere in atto.

COSA SONO I PLUGIN E A QUALI PERICOLI ESPONGONO IL TUO SITO

Il mercato dei plugin, negli ultimi anni, ha vissuto un boom impressionante, complice l’apprezzamento del pubblico e la familiarità che moltissimi utenti hanno maturato nei confronti di queste integrazioni. Un semplice clic e il plugin è installato e attivo, pronto per estendere e ampliare le possibilità operative del sito web. Dalla newsletter al banner di consenso al trattamento dati, dalla clonazione di un contenuto all’ottimizzazione delle immagini, esistono centinaia e centinaia di plugin per qualunque tipo di esigenza. Sono le stesse aziende e gli stessi sviluppatori di software e programmi informatici a rendere disponibili le funzionalità dei loro prodotti anche in formato plugin. Questo consente agli utenti, anche i meno esperti, di implementare il programma dal pannello di amministrazione del CMS, ad esempio per vendere online un prodotto.

Insomma, i vantaggi dei plugin sono tanti, al punto da rendere questi strumenti irrinunciabili o quasi. Ma accanto ai benefici rimane un problema che va compreso e gestito nel modo corretto: la sicurezza. Per quali ragioni i plugin possono diventare un pericolo per il tuo progetto digitale? Proviamo a rispondere con un breve elenco di casistiche ricorrenti:

•  il plugin non viene più aggiornato, e questo crea una falla che i pirati informatici possono sfruttare a proprio vantaggio, “entrando” nel sito e inserendo righe di codice malevolo (per fare un redirect a prodotti, sondaggi, per cancellare intere pagine, ecc ecc)
• il plugin originale viene copiato e manipolato, per poi essere inserito in un sito creato apposta da un cracker, allo scopo di indurre le persone a credere di scaricare il vero plugin. A quel punto l’installazione del plugin rischia di compromettere l’intero sito.
• il plugin viene cancellato dalla directory ufficiale, ma rimane installato nel tuo sito. Questa eventualità succede spesso e volentieri in WordPress, il CMS più utilizzato e più famoso al mondo. In soldoni il gruppo che lavora dietro WordPress può decidere di eliminare un plugin dalla directory ufficiale nel momento in cui riscontra incompatibilità o altri elementi degni di nota. A quel punto il plugin non verrà più aggiornato, e questo, di nuovo, metterà in pericolo chi quel plugin ancora lo utilizza nel proprio sito web.

COME ANALIZZARE I PLUGIN E GLI STANDARD DI SICUREZZA

Ci sono diverse best practice che si possono mettere in atto per aumentare la sicurezza del sito senza rinunciare alla comodità dei plugin. Pur non esistendo al momento un protocollo universale di sviluppo dei plugin tale da garantirne l’autenticità e la qualità, gli accorgimenti che tutti noi dovremmo seguire non mancano di certo. Più certezze abbiamo, maggiore sarà lo standard di sicurezza del plugin, meno certezze riscontriamo, più alto sarà il rischio di abbassare le difese immunitarie del sito una volta installato il plugin. L’analisi deve quindi prendere in esame i seguenti punti:

• data dell’ultimo aggiornamento del plugin (se obsoleta, il rischio aumenta, se recente, il rischio diminuisce)
• compatibilità con l’ultima versione di WordPress o altri CMS
• recensioni delle persone che hanno scaricato il plugin
• documentazione tecnica disponibile
• commenti degli utenti e risposte dello sviluppatore
• sito web ufficiale del plugin o della società che lo ha sviluppato

Va da sé che un controllo effettuato con un po’ di buon senso permette di capire con una certa precisione se il plugin è affidabile o meno. Le recensioni sono negative? Lo sviluppatore non risponde alle domande? Mancano le documentazioni previste? La data dell’ultimo aggiornamenti risale a qualche anno fa? Meglio lasciar perdere…

LA SICUREZZA DI UN CONTENT MANAGEMENT SYSTEM

Ora che abbiamo visto nel dettaglio i requisiti per identificare un plugin sicuro, passiamo alla questione del Content Management System, ovvero del sistema di amministrazione dei contenuti di un sito o di uno spazio virtuale (landing page, forum, blog, ecc). Anche qui ci vorrebbe non una guida ma un libro intero, perché ogni CMS è diverso dagli altri, e per ogni CMS sono stati raggiunti standard di sicurezza più o meno elevati, a seconda dell’aggiornamento attualmente in uso. Se per WordPress siamo giunti da poco alla versione 5.0, ad esempio, per Joomla! siamo ancora alla 3.9, mentre per Magento siamo prossimi alla 2.4. Attenzione, ciò non significa che la sicurezza sia maggiore se il numero della versione è più alto: alcuni CMS sono semplicemente nati dopo, dunque bisogna conoscere bene l’evoluzione di ciascuno e interpretare gli umori della rete, leggendo cosa viene scritto in merito all’ultimo aggiornamento.

Non sarà chiaramente solo su questo che baseremo le nostre previsioni. Se vogliamo ottenere il massimo in ottica di sicurezza, dobbiamo sforzarci di mantenere la piattaforma CMS aggiornata all’ultima versione: più ci allontaniamo dall’ultimo update rilasciato, maggiori saranno i rischi per la sicurezza del sito, sempre a causa delle falle che si vengono a creare e nelle quali qualcuno può infilarsi.

Come aggiornare un CMS senza correre rischi

L’aggiornamento di un CMS non è un’operazione da affrontare a cuor leggero, soprattutto se si tratta di una major release (come per l’ultima versione di WordPress). La strategia migliore è quella di effettuare un backup dei dati subito prima di scaricare e installare la nuova versione. Questo perché si potrebbe verificare un conflitto fra tema e CMS, o fra plugin e CMS, con il rischio di perdere contenuti, traduzioni, immagini e altro. Per la funzione di backup ti rimandiamo alla lettura del precedente capitolo dedicato alla manutenzione ordinaria e straordinaria di un sito.

CMS COMUNI, GESTIONALE PROPRIETARIO O SITI WYSIWYG?

L’ultima questione che vogliamo sottoporvi in ambito di sicurezza riguarda la differenza tra CMS comuni (per l’appunto WordPress, Magento, Joomla! e altri), gestionali cosiddetti proprietari e siti web del tipo “what you see is what you get” (da Jimdo a Wix passando per Weebly e altri). Ecco in sintesi l’approccio alla sicurezza di ciascuna alternativa, così come risulta dalla nostra esperienza pluridecennale nel settore della sviluppo e della manutenzione di siti web.

•  CMS comuni: come abbiamo visto, la responsabilità nella configurazione di un ambiente sano e protetto ricade nelle mani del team che lavora agli aggiornamenti del CMS, ma anche nella puntualità di chi controlla gli update del CMS e dei plugin.
• Gestionale proprietario: se il sito è sviluppato con piattaforme o codici di proprietà di una web agency o di un web master, la sicurezza passa quasi completamente nelle mani del referente di turno, che dovrà garantire il pieno rispetto di canoni di protezione adeguati.
• Siti What You See Is What You Get: queste soluzioni rappresentano una via di mezzo tra i CMS più popolari e i gestionali privati, perché consentono all’utente di controllare e gestire il proprio sito semplicemente trascinando i contenuti nella pagina. Responsabili della sicurezza, in questo caso, sono le aziende che sviluppano le soluzioni WYSIWYG, ma attenzione, perché in base al piano di abbonamento l’assistenza potrebbe essere sufficiente, buona o quasi del tutto assente.

La nostra terza puntata si conclude qui. Il prossimo approfondimento si focalizzerà su un argomento di stringente attualità: il trattamento dei dati e le responsabilità personali nei confronti degli utenti che visitano in buona fede il nostro sito web, ecommerce o blog. Pronti? Continuate a seguirci, a presto!