Sicurezza

Éclair è un CMS sicuro di default, pensato per un ambiente ostile: un hosting condiviso e bot che provano password giorno e notte. Non hai nulla da installare né da configurare per essere protetto. Questa guida spiega cosa è bloccato di default, cosa controlla l’amministrazione e i quattro accorgimenti che rafforzano ancora il tuo sito.

Perché un sito senza database è più sicuro?

Senza database, la SQL injection, uno degli attacchi più diffusi contro i siti web, semplicemente non ha nulla da colpire. I tuoi contenuti sono file, e questi file sono protetti due volte:

• le cartelle data/, app/ e cache/ sono vietate dal web grazie al file .htaccess;
• ogni file di dati inizia con la riga <?php exit; ?>: anche se un server ignorasse i .htaccess, non verrebbe mostrato nulla, e nessuna sequenza <?php può esservi scritta;
• i file sono privati (permessi 0600) e scritti in modo atomico: un’interruzione non lascia mai un file scritto a metà.

L’installazione stessa è protetta: è possibile solo entro 2 ore dalla prima visita, e l’indirizzo del sito viene usato per reindirizzare i visitatori solo dopo essere stato verificato dal server stesso.

Come è protetto l’accesso?

• Password cifrate con Argon2id (19 MiB di memoria, 2 passaggi), i parametri raccomandati da OWASP; bcrypt come ripiego. Minimo 10 caratteri, password comuni rifiutate.
• Protezione anti brute force: ogni tentativo viene prenotato prima di essere verificato, il che rende impossibile superare il limite con richieste in parallelo. I limiti riguardano la rete (indirizzo IPv4 o blocco /64 in IPv6) e l’account preso di mira. Il tuo dispositivo abituale non viene mai bloccato da un attaccante che sbaglia apposta.
• Autenticazione a due fattori (2FA) compatibile con Google Authenticator, Microsoft Authenticator, 1Password o Bitwarden, con codice QR e 8 codici di recupero mostrati una sola volta. Dopo 10 codici errati, la 2FA dell’account viene bloccata per 15 minuti e il titolare viene avvisato via email.
• Password richiesta di nuovo per le azioni sensibili (backup, account, impostazioni avanzate, cambio di email) oltre 15 minuti dopo l’accesso.
• Sessioni rafforzate: nessuna sessione prima dell’accesso, cookie HttpOnly, Secure e SameSite=Strict, disconnessione dopo inattività, pulsante «Disconnetti tutti». L’amministrazione viene forzata su HTTPS non appena lo è il sito.
• Token CSRF su tutte le azioni e verifica dell’origine delle richieste.

Come è messo in sicurezza il sito pubblico?

Gli header di sicurezza dipendono dalle impostazioni, mai dalla richiesta: una pagina servita dalla cache invia gli stessi header a tutti, e questo rende impossibile l’avvelenamento della cache.

Cosa controlla la pagina Sicurezza?

Riservata agli amministratori, la pagina Sicurezza raccoglie i tuoi strumenti di controllo:

1. Livello di protezione: una percentuale e lo stato di ogni protezione (HTTPS, indirizzo verificato, autenticazione a due fattori, indirizzo di amministrazione, versione di PHP, HSTS…), con il pulsante Verifica l’indirizzo del sito.
2. Test di protezione delle cartelle: il tuo browser prova ad aprire dei file interni, che devono restare inaccessibili.
3. Integrità dei file: ogni file di Éclair viene confrontato con la sua impronta originale, e i file sospetti vengono segnalati, come uno script nascosto nei media o un .php senza riga di protezione in data/.
4. Backup: un archivio di tutto il tuo sito in un clic.
5. Sessioni e blocchi, poi il registro di sicurezza: accessi, errori, blocchi, cambi di password, backup.

I registri sono limitati a 1 MB: è impossibile gonfiarli per riempire il disco.

Cosa ha rivelato l’audit di sicurezza offensivo?

Prima della sua pubblicazione, Éclair è stato attaccato in modo metodico: race condition, brute force, reindirizzamenti, injection, file trappola. Sono state trovate 17 vulnerabilità, di cui 2 gravi, 7 medie e 8 minori, e tutte sono state corrette. I 13 scenari d’attacco sono stati poi ripetuti sulla versione corretta: tutti neutralizzati. L’assistente IA, arrivato con la versione 1.2.0, ha avuto un suo audit prima del rilascio.

I test automatici di Éclair, che contano 502 verifiche, riprendono gran parte di questi attacchi. Il dettaglio delle correzioni è nel registro delle versioni.

Quali accorgimenti rafforzano ancora il tuo CMS sicuro?

Mantieni aggiornato anche PHP presso il tuo provider: Éclair funziona da PHP 8.1 a 8.5, e si consiglia l’8.3. Per backup e aggiornamenti, vedi la guida Aggiornare, fare backup, traslocare.