Cari amici, ben ritrovati in seduta pomeridiana. Oggi si parla di un argomento davvero geek, da trattare con molta delicatezza e con la giusta dose di perizia: hacking del file .htaccess in WordPress. Questo file costituisce una risorsa fondamentale per il corretto funzionamento dell’intero blog e il danneggiamento dello stesso potrebbe renderlo inagibile.

D’altronde, con qualche piccola modifica, è possibile ottenere tantissimi risultati, adatti alle proprie esigenze. Com’è d’obbligo in questi casi, noi di Geekissimo decliniamo ogni responsabilità dovuta al cattivo utilizzo delle modifiche in seguito proposte. Pertanto, prima di accedere alla modifica di .htaccess, prescriviamo una buona dose di esperienza e conoscenza e, soprattutto, l’effettuazione di un backup integrale del blog (operazione da fare sempre, in caso di modifica di qualunque componente del complesso).

Postulato che il file .htaccess (hypertext access) è utilizzabile su ogni web server (principalmente su Apache) e che si occupa maggiormente delle impostazioni di sicurezza del blog, ecco una selezione degli hacks più utili:

• Bloccare efficacemente lo spam – I
  Order allow,deny
Deny from < incoming -address >
Allow from < incoming -address>Istruzioni: inserire l’indirizzo dal quali rifiutare commenti al posto della stringa e quelli ai quale sono permessi al posto della stessa stringa nella riga successiva.
• Bloccare efficacemente lo spam – II
  RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
RewriteCond %{HTTP_REFERER} !.*yourblog.com.* [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule (.*) ^http://%{REMOTE_ADDR}/$ [R=301,L]
• Rimuovere /category/ dal link della categoria
  RedirectMatch 301 ^/category/(.+)$ http://www.name.com/$1
# OR
RewriteRule ^category/(.+)$ http://www.name.com/$1 [R=301,L]Istruzioni: inserire l’URL del proprio blog al posto degli URL sopra presenti.

• Correggere automaticamente gli errori di digitazione dell’URL
  <ifmodule mod_speling.c>
CheckSpelling On
</ifmodule>
• Impedire l’accesso alla pagina wp-login.php
  <files wp-login.php>
Order deny,allow
Deny from All
Allow from 123.456.789.0
</files>
• Proteggere il file .htaccess da attacchi di files .hta
  <files ~ "^.*\.([Hh][Tt][Aa])">
order allow,deny
deny from all
satisfy all
</files>

• Pagina “Lavori in corso”
  RewriteEngine on
RewriteCond %{REQUEST_URI} !/maintenance.html$
RewriteCond %{REMOTE_ADDR} !^123\.123\.123\.123
RewriteRule $ /maintenance.html [R=302,L]Istruzioni: inserire l’URL della pagina al posto di “maintenance.html” e il proprio indirizzo IP alla terza riga.
• Limitare il numero di connessioni simultanee
  MaxClients < number-of-connections>Istruzioni: inserire il numero di connessioni simultanee sostenibili al posto della stringa < number-of-connections>; restrizione degli accessi valida per tutti gli .htaccess (quello in root e quello in ogni sottocartella).
• Disabilitare la navigazione fra le risorse del blog
  # disable directory browsing
Options All -Indexes
• Proteggere il file WP-Config
  <files wp-config.php>
order allow,deny
deny from all
</files>

Sperando di esser stati utili, rinnoviamo l’avviso: utilizzare solo se in possesso delle adeguate competenze. E fare backup.

A tutti voi una buona navigazione A presto!