Come correggere
Istruzioni brevi e precise per i problemi trovati da un report PageCheck. Ognuna spiega cosa non va e come correggerlo, con un prompt per l’assistente IA di uno sviluppatore e un’email per il tuo supporto IT.
Sicurezza
- Chiunque può leggere il tuo database Supabase Il database Supabase del tuo sito può essere letto con la chiave pubblica presente nella pagina, perché Row Level Security è disattivato.
- Chiunque può avviare le attività pianificate del tuo sito tramite wp-cron.php Chiunque può far eseguire a WordPress le sue attività pianificate aprendo wp-cron.php. Eseguile invece dal server e chiudi il file all’esterno.
- La REST API di WordPress elenca pubblicamente i plugin che usa L’indice della REST API in /wp-json/ elenca a chiunque lo legga tutti i plugin del sito. Nascondilo, insieme alle parti che le tue pagine non chiamano, ai visitatori non connessi.
- I visitatori passano per più reindirizzamenti prima della pagina Gli indirizzi radice del sito (con e senza www, http:// e https://) dovrebbero raggiungere la pagina ciascuno con un solo reindirizzamento permanente, mai attraverso http:// non cifrato. Impostate un 301 da ogni altro indirizzo direttamente all'indirizzo finale.
- File core di WordPress generano errori quando vengono aperti direttamente I file core di WordPress generano errori PHP quando vengono aperti direttamente: i bot possono usarli per gonfiare i log degli errori del server e, con la visualizzazione degli errori attiva, rivelano le cartelle del server. Chiudi quei file all’esterno.
Recapito delle email
- La tua policy DMARC è «none»: chiunque può inviare e-mail a tuo nome Il record DMARC del dominio si limita a raccogliere report, quindi le email falsificate a suo nome vengono ancora recapitate.
- La crittografia della posta inviata a te può essere disattivata di nascosto Il dominio non ha una policy MTA-STS, quindi un aggressore tra due server di posta può disattivare di nascosto la cifratura delle e-mail inviate al dominio. Pubblica un file di policy e due record DNS.
- La tua policy MTA-STS per la posta crittografata non funziona Il dominio annuncia una policy MTA-STS che i mittenti non possono usare. A seconda del guasto, la posta perde la protezione o viene rifiutata. Trova la causa e correggila.