Éclair 1.10.3: primo audit di sicurezza, 15 falle corrette
Di Thierry Gustin
Pubblicato il
Aggiornato il
6 min di lettura
Indice
Éclair 1.10.3, rilasciata il 3 novembre 2026, corregge tutto ciò che ha trovato il primo audit di sicurezza completo del codice di Éclair: 15 falle confermate, di cui 3 medie, nessuna critica né alta, e 8 piste che dipendevano dal server o dal browser. Tutto è corretto nel codice. Se il tuo sito usa la 1.10, l’aggiornamento si fa in un clic.
Cosa cambia con Éclair 1.10.3?
| Punto | Cosa ricordare |
|---|---|
| Audit n. 1 | Tutto il codice della 1.10.2 esaminato da 86 agenti, 50 zone coperte |
| Falle confermate | 15: 3 medie, 12 basse, 0 alte, 0 critiche |
| Piste da validare | 8, legate all’hosting o al browser, tutte chiuse nel codice |
| Rafforzamenti | Più di 50 raccomandazioni dell’audit applicate |
| Controlli automatici | Da 620 a 918, con un vero aggiornamento da 1.10.2 a 1.10.3 provato da GitHub |
| Archivio | 619 KB (602 KB nella 1.10.2) |
| Il tuo sito pubblico | Invariato: le pagine pubblicate restano identiche, byte per byte |
Queste correzioni arrivano subito dopo la 1.10.2, rilasciata il giorno prima, che ti presento più sotto. Il rapporto completo dell’audit è online: è in inglese, in formato PDF, e conta 18 pagine.
Come è stato condotto l’audit?
L’audit segue il metodo pubblico security-audit di Cloudflare. Divide il software in zone da coprire, poi lancia ondate di agenti «cacciatori» indipendenti. Ogni pista trovata viene poi ricontrollata da altri agenti, che non l’hanno vista nascere, prima di entrare nel rapporto. Una pista finisce confermata, da validare o respinta.
Per la 1.10.2, il risultato è:
- 86 agenti: 4 per la ricognizione, 22 cacciatori in 5 ondate, 6 critici di copertura e 54 verificatori;
- 50 zone coperte, e una revisione finale che non ha trovato lacune;
- 24 risultati finali: 15 falle confermate, 8 piste da validare, 1 pista respinta.
Tutto è stato fatto leggendo il codice e provandolo in locale, in una sandbox isolata dal sistema operativo: nessun accesso alla rete, dati e chiavi fittizi, e nessun sito reale sondato. Il tuo sito non è mai servito da banco di prova.
L’audit conclude che il codice è difensivo nel complesso: la crittografia, la firma degli aggiornamenti, la pulizia dei contenuti, le sessioni e la protezione dei moduli reggono sulla maggior parte dei loro percorsi.
Quali falle sono state corrette?
Prima di tutto, le tre falle medie:
- I pulsanti di disconnessione «Disconnetti i miei altri dispositivi» e «Disconnetti tutti» rinnovavano senza volerlo la conferma della password. Ora non lo fanno più.
- Reindirizzamenti riservati: un redattore non può più reindirizzare gli indirizzi
/.well-known/né gli indirizzi interni/_eclair/. Quelli esistenti sono disattivati e puoi eliminarli. Un amministratore può ancora reindirizzare altri indirizzi/.well-known/, comechange-password. - Un tetto per i contenuti: un sito tiene al massimo 3.000 contenuti, l’IA smette di creare bozze a 500, e l’indice di ricerca tiene solo il testo pubblicato, fino a 16 MB. I tuoi contenuti esistenti restano sempre modificabili.
Le 12 falle basse riguardano soprattutto copie derivate e limiti che non mantenevano la promessa. Un account eliminato ora sparisce dalla cache delle pagine. Un backup non contiene mai la cassaforte (chiavi API, connessione a Google Drive), nemmeno con un’impostazione scritta male. I limiti di invio del modulo di contatto e del connettore MCP sono ora rigorosi. Infine, gli annunci di aggiornamento portano un numero e una data di scadenza firmati.
Le 8 piste dipendevano da un fatto impossibile da osservare offline, come il comportamento di un provider. Sono comunque tutte chiuse nel codice. Il rapporto non dà alcun dettaglio di sfruttamento: per ogni punto, dice cosa non andava e come è stato corretto.
Cosa cambia nel tuo pannello?
La maggior parte delle correzioni è invisibile. Alcune cambiano i tuoi gesti:
- 🔒 Autenticazione a due fattori: per cambiare telefono, disattiva la 2FA con la password attuale, poi riattivala. Si fa in Il mio profilo.
- 🔑 Dispositivi abituali: dopo l’aggiornamento, ogni dispositivo torna «abituale» al suo prossimo accesso riuscito.
- ☁️ Google Drive: una connessione fatta prima della 1.10.3 viene segnalata. Scollegala e ricollegala, così Éclair registra chi l’ha creata.
- 🤖 Connettore MCP: un’app diversa da Claude o ChatGPT chiede sempre la tua password, e il pulsante Consenti si attiva dopo un breve istante, quando muovi il mouse o tocchi lo schermo.
- ✍️ Editor: la copia locale del lavoro non salvato appartiene all’account connesso e si cancella alla disconnessione.
- 💾 Modulo di contatto: raggiunti i 100 messaggi al giorno per tutto il sito, rifiuta tutti per 24 ore.
Se usi Nginx, aggiorna le tue regole con la guida: media/ non serve più file .js né .mjs.
Cosa correggeva la 1.10.2, rilasciata il giorno prima?
La 1.10.2, rilasciata il 2 novembre 2026, risolveva due problemi concreti.
- L’antivirus di o2switch bloccava l’archivio nel file manager. Era un falso positivo sul codice dell’aggiornamento in un clic. Le operazioni sui file vivono ora in una piccola classe a parte, e un test verifica che nessun file distribuito ripeta la sequenza sospetta. Il tuo sito non nota alcuna differenza.
- Google Drive si apre a ogni sito. La connessione si basava su credenziali Google incluse nell’archivio, mai configurate: la scheda restava chiusa. Ogni sito può ora usare la propria app Google. Sicurezza › Backup su Google Drive ti guida passo passo (gratis, una decina di minuti, una sola volta), poi incolli l’ID client e il codice segreto del client. Il segreto è cifrato sul tuo server.
Come passare a Éclair 1.10.3?
Dalla 1.10.0 in poi, l’aggiornamento si fa nel pannello:
- Se più account lavorano sul tuo sito, salva le modifiche in corso: le copie non salvate della 1.10.2 non vengono conservate.
- Fai un backup: Scarica un backup, oppure un backup su Google Drive.
- Apri Amministrazione › Aggiornamenti, spunta la casella del backup, poi clicca su Aggiorna.
L’aggiornamento installa l’ultima versione disponibile, che contiene queste correzioni. Sei alla 1.9 o prima? Passa via FTP un’ultima volta, con l’archivio della pagina Scarica e la guida all’aggiornamento.
Dove leggere il rapporto di audit completo?
Il rapporto completo è in inglese, in formato PDF, su 18 pagine. Descrive il metodo, la sandbox, ogni falla con la sua correzione e i limiti dell’esercizio. Copre anche il secondo audit, condotto sulla 1.10.3, e la versione 1.10.4 che l’ha seguito: leggi l’articolo su Éclair 1.10.4.
Scarica il rapporto di audit (PDF in inglese, 18 pagine)
Il rapporto è onesto sui suoi limiti: non pretende che Éclair sia privo di difetti. Le protezioni sono spiegate anche in la sicurezza di Éclair, e tutte le versioni sono nel registro delle modifiche.
Domande frequenti su Éclair 1.10.3
Il mio sito è stato attaccato?
L’audit non riguarda il tuo sito: ha esaminato il codice sorgente di Éclair, in una sandbox, con dati fittizi, e nessun sito reale è stato sondato. Le falle che ha trovato sono corrette nella 1.10.3.
Devo installare Éclair 1.10.3 subito?
Sì, è una versione di sicurezza. Fai un backup, poi apri Amministrazione › Aggiornamenti: l’ultima versione contiene queste correzioni. Se più account lavorano sul tuo sito, salva prima le modifiche in corso.
Dove trovo il rapporto di audit, e in che lingua è?
Il rapporto è in inglese, un PDF di 18 pagine. Lo scarichi all’indirizzo /assets/site/eclair-cms-security-report-2026-11.pdf. Non contiene alcun dettaglio di sfruttamento.
Cosa devo fare per Google Drive?
Se l’hai collegato prima della 1.10.3, la pagina Sicurezza lo segnala: scollegalo, poi ricollegalo. Éclair registra allora chi ha creato la connessione, e la rimuove se quell’account viene eliminato o perde il ruolo di amministratore.
Quanto costa questo aggiornamento?
Niente: Éclair resta gratuito, con licenza libera AGPL-3.0, e l’aggiornamento non usa l’IA. L’archivio pesa 619 KB, e il tuo sito pubblico resta identico.
Leggi anche
Migrare da WordPress a Éclair CMS senza perdere un indirizzo
Migrare da WordPress a Éclair CMS con Eclair Export: contenuti, immagini, SEO, menu e reindirizzamenti, prima una simulazione, poi un report per il cliente.
Éclair 2.3 ed Eclair Export 1.1: migrare da WordPress diventa facile
Éclair 2.3 ed Eclair Export 1.1 trasferiscono un sito WordPress in un solo invio: una chiave, un clic, senza download né FTP. Schemi e guida passo passo.
Creare un sito dalla A alla Z con l’Agente IA Éclair CMS
La guida completa per creare un sito professionale con l’Agente IA Éclair CMS: ogni tappa, gli attriti eliminati, gli screenshot e il link per scaricarlo.