Esposizione
Cosa il mondo esterno può già vedere di un sito WordPress.
Ogni sito WordPress pubblico rivela alcune informazioni a chiunque le chieda. Una parte conta per la sicurezza, la maggior parte non si può proprio leggere dall’esterno. Ecco il quadro onesto — e dove passa il confine tra tirare a indovinare e sapere davvero.
Tre stati onesti
Non facciamo finta di vedere più di quanto possiamo.
Molti «scanner di sicurezza» tirano a indovinare e poi presentano l’ipotesi come un fatto. Noi usiamo invece tre etichette chiare.
Rilevato
Visibile nel codice sorgente pubblico del sito — leggibile da chiunque, anche da chi cerca un modo per entrare.
Non rilevabile pubblicamente
Non leggibile dall’esterno. Chi sostiene di saperlo senza accesso sta tirando a indovinare.
Serve il Verploy Connector
Misurabile solo dall’interno del sito, tramite il connettore che installi e controlli tu.
Cosa si vede e cosa no
Il tipico sito WordPress, visto dall’esterno.
Questo è il quadro generale per un’installazione standard. Il tuo sito può nascondere di più o di meno, a seconda di come è configurato.
Versione del core di WordPress
Rilevato
Spesso visibile dal sorgente della pagina, dai feed o da un file readme — a meno che non sia stata nascosta di proposito.
Tema attivo e alcuni plugin
Rilevato
I percorsi dei file e i file readme rivelano molti temi e plugin, a volte con il numero di versione.
Pagina di login e nomi degli autori
Spesso rilevato
Il login di amministrazione si trova a un indirizzo prevedibile, e gli archivi autore possono far trapelare i nomi utente se non sono bloccati.
Plugin premium e a pagamento
Non rilevabile pubblicamente
Molti plugin a pagamento non lasciano un’impronta pubblica, quindi una scansione esterna semplicemente non li vede.
Salute del server e spazio su disco
Perlopiù nascosto
Il certificato SSL è pubblico, ma versione PHP, memoria e spazio libero su disco di solito non sono leggibili dall’esterno.
Se un aggiornamento serve davvero
Serve il Verploy Connector
Conoscere le versioni esatte installate di tutto — e quali hanno davvero un aggiornamento in sospeso — richiede accesso dall’interno.
Quali vulnerabilità valgono davvero
Serve il Verploy Connector
Una versione indovinata dall’esterno può essere sbagliata. Collegare un sito alle vulnerabilità che lo riguardano davvero richiede le versioni esatte.
Se una correzione è sicura da applicare
Serve il Verploy Connector
Solo un test su una copia del sito reale mostra se un aggiornamento rompe qualcosa prima di andare online.
Perché non scansioniamo i siti degli altri
Uno scanner di vulnerabilità pubblico è un regalo per gli attaccanti.
Uno strumento che elenca i punti deboli di qualsiasi sito tu digiti è esattamente ciò che userebbe chi cerca un bersaglio. Quindi non lo costruiamo.
- Verploy analizza solo i siti collegati tramite il Verploy Connector — siti che possiedi o gestisci.
- Quel collegamento dimostra che il sito è tuo prima che parta qualsiasi controllo.
- Dall’interno i risultati sono esatti invece che indovinati — niente falsi allarmi, niente plugin a pagamento mancati.
Ottieni il quadro completo dei tuoi siti.
Collega un sito e Verploy legge le versioni esatte, le vulnerabilità che valgono davvero e se ogni aggiornamento può andare online in sicurezza — le parti che nessuna scansione esterna può raggiungere.