Autore: La Redazione

Il National Vulnerability Database (NVD) del governo statunitense ha emesso un avviso su una vulnerabilità che interessa il plugin WordPress Metform Elementor Contact Form Builder che potrebbe far trapelare informazioni sensibili.

Metform Elementor Generatore di moduli di contatto per WordPress

Il generatore di moduli di contatto Metform Elementor è un componente aggiuntivo di terze parti del popolare plug-in per la creazione di pagine Elementor con oltre 200.000 installazioni.

Offre un’interfaccia drag-and-drop che semplifica la creazione di moduli di contatto, inclusi moduli in più passaggi.

Il plug-in WordPress per la creazione di moduli di contatto Metform per Elementor consente ai principianti senza competenze di codifica di creare moduli per sondaggi, moduli di contatto, moduli di feedback sui referral e può anche salvare un modulo in modo che un utente possa tornare al modulo se perde e riacquista la connessione Internet.

Secondo il repository ufficiale dei plugin WordPress:

“MetForm, il generatore di moduli di contatto WordPress drag-and-drop è un componente aggiuntivo per Elementor, crea al volo qualsiasi modulo di contatto veloce e sicuro con la sua flessibilità di drag-and-drop.

Può gestire più moduli di contatto e puoi personalizzare il modulo in più passaggi con un builder Elementor.

Vulnerabilità nella divulgazione di informazioni

La vulnerabilità consente a un utente malintenzionato di ottenere informazioni riservate.

Questa vulnerabilità è classificata dalla NVD come una minaccia di livello medio perché richiede che un utente malintenzionato ottenga un ruolo utente a livello di abbonato o superiore.

Un ruolo utente a livello di abbonato è un livello relativamente basso per l’attivazione dell’exploit, poiché è più facile da ottenere rispetto a un ruolo utente a livello di amministratore o editor.

Un utente malintenzionato deve solo iscriversi a un sito web per poter sferrare un attacco.

Il sito web di Elementor descrive il ruolo utente dell’abbonato:

“Un abbonato a WordPress è un utente del sito che può solo modificare il proprio profilo, leggere post e lasciare commenti.

WordPress utilizza il concetto di “ruoli” per consentire al proprietario di un sito di controllare e gestire quale insieme di attività (capacità) gli utenti possono eseguire o meno all’interno del sito.

Un abbonato è il livello più basso di ruolo utente con il minor numero di autorizzazioni. “

Pertanto, un utente malintenzionato può iniziare ad hackerare il sito con il ruolo utente di livello più basso.

Il NVD descrive la minaccia:

“Il Metform Elementor Contact Form Builder per WordPress è vulnerabile alla divulgazione di informazioni tramite lo shortcode ‘mf_first_name’ nelle versioni fino alla 3.3.1 inclusa.

Ciò consente agli aggressori autenticati, con capacità a livello di abbonato o superiore, di ottenere informazioni sensibili sugli invii di moduli arbitrari, incluso il nome del mittente.”

Aggiorna il plugin per mitigare la minaccia di attacco

Questa vulnerabilità interessa le versioni del plug-in Metform Elementor Contact Form Builder fino alla 3.3.1 inclusa.

La versione più recente del plugin è la 3.4.0.

Metform Elementor Contact Form Builder versione 3.3.2 è la versione che ha risolto la vulnerabilità.

Secondo il Log delle modifiche ufficiale del generatore di moduli di contatto Metform Elementor:

“Versione 3.3.2

…Migliorato: sicurezza, nonce e controllo delle autorizzazioni.”

Leggi l’avviso ufficiale NVD:

CVE-2023-0689 Dettaglio

Immagine in primo piano di Shutterstock/pedrorsfernandes

Dopo un accumulo di vulnerabilità non divulgate e senza patch nei plugin ospitati su WordPress.org, Patchstack ha segnalato 404 plugin al Plugin Review Team di WordPress.

“Questa situazione crea un rischio significativo per la comunità di WordPress e abbiamo deciso di agire”, ha affermato il ricercatore di Patchstack Darius Sveikauskas. “Poiché questi sviluppatori non sono raggiungibili, abbiamo inviato l’elenco completo di queste 404 vulnerabilità al team di revisione dei plugin per l’elaborazione.”

Di solito, segnalare i plugin a WordPress.org è l’ultima risorsa per i casi difficili dopo che Patchstack non riesce a trovare un modo per contattare i fornitori. In questo caso, molti di questi autori di plugin non hanno incluso informazioni di contatto nelle loro estensioni o non rispondono ai tentativi di comunicazione. Patchstack lo ha caratterizzato come un “Pandemia di plugin zombie” a causa dell’enorme numero di plugin abbandonati che interessano più di 1,6 milioni di siti.

Il team dei plugin di WordPress.org ha dato seguito alla segnalazione chiudendo oltre il 70% dei plugin. A giugno la squadra aggiunti sei nuovi volontari sponsorizzati e ho aperto domande per più membri del team, ma lo hanno fatto ha lottato per gestire un arretrato formidabile di plugin in attesa di essere recensiti. IL arretrato sta salendo più in alto e ora supera i 1.119 plugin con un tempo di attesa di 71 giorni.

L’aggiunta di problemi di vulnerabilità dei plug-in, per cui centinaia devono essere chiusi, non fa altro che aumentare il tempo che gli sviluppatori devono attendere per ottenere la revisione dei nuovi plug-in.

Al 31 agosto 2023, Patchstack riporta a WordPress.org le seguenti statistiche associate a questi rapporti:

• 404 vulnerabilità
• 358 plugin interessati
• 289 plugin (71,53%) – Chiuso
• 109 plugin (26,98%) – Patchati
• 6 plugin (1,49%) – Non chiusi/Non patchati
• Sono interessate fino a 1,6 milioni di installazioni attive
• Installazioni medie per plug-in 4984
• Conteggio massimo di installazioni 100000 (due plugin)
• CVSS più alto 9.1
• CVSS medio 5,8
• Plugin “più vecchio” – 13 anni dall’ultimo aggiornamento

Patchstack esorta gli sviluppatori ad aggiungere i propri dettagli di contatto ai propri plugin leggimi.txt e/o SICUREZZA.md File. Per semplificare la gestione dei problemi di sicurezza, l’azienda ha creato il Patchstack mVDP (programma di divulgazione delle vulnerabilità gestite) progetto, a cui gli sviluppatori possono aderire gratuitamente. Patchstack convalida i report che arrivano, premia i ricercatori e li trasmette al fornitore per essere indirizzati.

Anche l’azienda lo è sostenendo un avviso sul dashboard quando un plugin o un tema viene rimosso per motivi di sicurezza, poiché WordPress attualmente non fornisce all’utente queste informazioni. I loro ricercatori presenteranno presto ulteriori rapporti che potrebbero comportare la chiusura delle estensioni.

“Stiamo preparando elenchi più simili per il repository di temi WordPress.org e repository focalizzati su prodotti premium”, ha affermato Sveikauskas. “Attualmente stiamo elaborando circa oltre 200 vulnerabilità simili.”

In questo articolo discuteremo alcune cose straordinarie che puoi fare con ChatGPT Plus e il componente aggiuntivo Code Interpreter di OpenAI. Ma prima dobbiamo parlare del gigantesco elefante viola che sta per entrare nella stanza.

Cos’è quel gigantesco elefante viola, chiedi? La sicurezza dei dati. Nello specifico, dobbiamo discutere i tuoi (e, in questo caso, i miei) dati proprietari. Ecco il punto. Affinché ChatGPT Plus possa estrarre i tuoi dati, deve avervi accesso.

Anche: 7 suggerimenti avanzati per la scrittura di messaggi ChatGPT che devi conoscere

Vedi dove sto andando qui? Per fare tutto ciò di cui sto per raccontarti ho dovuto caricare un set di dati di 22.797 record esportati dai server della mia azienda. Cosa farà OpenAI e ChatGPT fare con quei dati? Non ne ho idea. Questo è un grosso rischio.

Nel mio caso è più importante condividere con voi il processo di analisi dei dati che salvaguardare i miei dati. Ma questa è la mia decisione da prendere. Sono i miei dati. So che non violerò alcun accordo di divulgazione né metterò a rischio la mia azienda condividendolo con ChatGPT (e, per estensione dovuta a questo articolo, con te).

Anche: Come funziona effettivamente ChatGPT?

Ma se usi queste tecniche – e non commettere errori, sono incredibilmente potenti – dovrai decidere se tu e la tua azienda potete condividere comodamente quei dati con un’intelligenza artificiale e, possibilmente, con il resto dell’intera Internet.

ChatGPT aziendale

C’è un modo possibile per disinvitare l’elefante. OpenAI ha introdotto un nuovo livello di servizio ChatGPT acquistabile: ChatGPT aziendale. Questo livello di servizio risolve molti dei problemi che ho elencato sopra. Nello specifico, “le richieste dei clienti e i dati aziendali non vengono utilizzati per l’addestramento dei modelli OpenAI”. Fornisce inoltre la crittografia dei dati sia per i dati in transito che per quelli inattivi.

Anche: OpenAI introduce finalmente una versione business di ChatGPT

Ciò ti consentirebbe di caricare i dati in modo più sicuro come nell’esempio che mostrerò, senza preoccuparti che i tuoi dati proprietari si disperdano in natura. La presa? I dati sui prezzi non sono stati divulgati. OpenAI utilizza il temuto “un venditore chiamerà” come sostituto del prezzo pubblicato. Molto probabilmente, qualsiasi servizio ChatGPT Enterprise avrà un prezzo fuori dalla portata delle aziende più piccole. Detto questo, OpenAI ha anche promesso: “Disponibilità per team di tutte le dimensioni: un’offerta ChatGPT Business self-service per team più piccoli”.

Quindi, ecco quello. Nessun dettaglio su quando ciò accadrà o sul prezzo, ma la società afferma: “Li lanceremo non appena saranno pronti”.

E con questo, lascia che ti mostri perché è emozionante.

Cosa stiamo guardando?

Il set di dati che utilizzo sono dati di disinstallazione, raccolti quando gli utenti disinstallano i miei plugin WordPress. Ecco come funziona.

Quando un utente sceglie di disinstallare Seamless Donations o Il mio sito privato, gli viene presentata la finestra di dialogo sopra. I dati di ciascuna di queste disinstallazioni vengono inviati al mio server, dove vengono archiviati.

Fino ad ora ho potuto vedere i dati rappresentati in forma tabellare, in questo modo:

Ma questo è quanto di meglio c’è stato. Non ho mai avuto il tempo di creare analisi dettagliate per tracciare grafici o creare tabelle pivot. Quindi ho potuto sfogliare alcune pagine e avere un’idea approssimativa di ciò che stava accadendo con le recenti disinstallazioni, ma non avevo una visione di migliaia di piedi da cui ricavare informazioni generali.

Finora.

Preparazione ChatGPT per il caricamento del file

Avrai bisogno di ChatGPT Plus, che è la versione di ChatGPT disponibile tramite un abbonamento di $ 20 al mese.

Anche: GPT-3.5 vs GPT-4: ChatGPT Plus vale la quota di abbonamento?

Dovrai anche accedere alle impostazioni di ChatGPT e attivare l’Interprete del codice dalla scheda Funzionalità beta:

E, infine, quando inizi una sessione, dovrai selezionare GPT-4 e Interprete di codice. Se fai tutto questo, sei a posto.

La prossima cosa che dovrai fare è caricare i tuoi dati. A questo punto, presumo che tu e il tuo team di gestione abbiate riflettuto sulle implicazioni del gigantesco elefante viola (ok, ora lo sto facendo solo per il lulz), e che tu sia d’accordo con il caricamento dei dati su Skynet. Se è così, ecco qui.

Fai clic sul segno più nella parte inferiore della schermata della sessione:

Fai clic su Carica per caricare il tuo file. Quando hai finito, premi Invio.

Fatto ciò, ChatGPT mi ha mostrato quanti record c’erano nel file. Per essere sicuro che fosse in grado di leggere ciò che ho caricato, gli ho chiesto di descrivere i campi.

Rendiamo magica l’analisi dei dati insieme

Quando si utilizza l’interprete di codice, ChatGPT è… loquace. È come quell’amico geek entusiasta che non riesce ad arrivare al punto e deve condividere tutto su come è arrivato alla risposta, prima di darti una risposta – o come quello scrittore di articoli che impiega qualche migliaio di parole per darti il ​​retroscena essenziale prima di arrivare finalmente alle poche istruzioni chiave su “come fare”.

Anche: Come utilizzare ChatGPT per scrivere codice

Poiché ChatGPT è così loquace, ti mostrerò gli screenshot delle sue risposte. Ritaglierò tutte le informazioni estese fornite prima e dopo le risposte. Altrimenti, questi screenshot sarebbero lunghi un miglio.

E con ciò, ho posto una semplice domanda e ho ottenuto una risposta chiara.

Quanti record ci sono per ogni prodotto?

Per essere onesti, creare quel calcolo non sarebbe difficile da programmare, ma richiederebbe molto tempo. ChatGPT? 15 secondi, al volo. Boom.

Quale percentuale di record contiene commenti?

La maggior parte degli utenti non lascia commenti e quelli che lo fanno sono quelli che hanno scelto di selezionare “Altro” anziché uno dei motivi di disinstallazione predefiniti. Anche così, controlla cosa sono stati in grado di estrarre due semplici domande da tutti quei dati grezzi.

Esaminare tutti i commenti rilevanti e condurre un’analisi tematica per identificare tendenze e modelli comuni

Per ciascun prodotto, descrivi i problemi di funzionalità prevalenti descritti nei commenti.

Sulla base di ciò che so dei miei utenti, tale analisi è praticamente esatta. Ma più precisamente, wow! Voglio dire, questa cosa ha attraversato 22.797 record e ha presentato problemi generali. E lo ha fatto in meno di un minuto. Hai idea di quanto tempo ci sarebbe voluto per tabulare a mano o per codificare? Giorni.

Anche: I migliori chatbot AI da provare adesso

Ad essere onesti, ChatGPT non si è limitata a generare subito la risposta più utile. Ho dovuto negoziarlo, provando una serie di suggerimenti diversi finché non ho trovato quelli che funzionavano. Ma anche così, il processo ha richiesto meno di un’ora rispetto a giorni.

Vuoi un po’ di torta?

Successivamente, ho deciso di vedere se potevo ottenere alcuni grafici. I motivi della disinstallazione rientrano in una serie di categorie predefinite, quindi volevo vedere come si confrontavano. Volevo anche vedere se i motivi della disinstallazione fossero cambiati nel corso degli anni. Ho dato all’IA questo messaggio:

Per ogni prodotto e poi per ogni anno, tracciare un grafico a torta dei codici motivo di disinstallazione. Non includere altro, nan e disattivazione temporanea. Alla fine, annota eventuali tendenze o approfondimenti osservati.

In realtà ho ottenuto gli otto grafici a torta che mi aspettavo, ma qui ne mostro solo uno. Di particolare rilievo è che i miei dati sono stati registrati nel 2020, 2021, 2022 e 2023. Allora perché ChatGPT ha parlato del 2017 e del 2018?

I grafici sono stati disegnati per gli anni corretti e i dati mostrati hanno senso. Ho iniziato a utilizzare il mio sito privato perché volevo bloccare un sito di prova che avevo creato per la scuola di specializzazione a tutti tranne che a me e ai miei professori. Una volta laureato, non avevo più bisogno del plugin per quello scopo. Molte persone probabilmente lo scaricano e lo usano a livello di progetto.

L’intelligenza artificiale ha anche generato alcune conclusioni derivate dai dati.

I modelli specifici del prodotto identificati erano affascinanti. Questo è un modello linguistico di grandi dimensioni che teoricamente non sa nulla delle mie app software. Eppure la sua analisi era assolutamente esatta. Questi due modelli riflettono direttamente ciò che ho visto nella gestione di tali prodotti.

Non lo odiano. Davvero non lo odiano.

A febbraio ho introdotto un cambiamento importante nel modo in cui Seamless Donations gestisce i gateway di pagamento. Da allora quella versione, la 5.2, mi ha preoccupato. Non ho ricevuto molti feedback dagli utenti, quindi è stato difficile dire se agli utenti è piaciuto, se lo hanno odiato o se questo li ha portati ad abbandonare il prodotto. Di solito, quando gli utenti non apprezzano un aggiornamento, sono molto espliciti. Ma era enorme e si sentivano i grilli.

Anche: 6 modi utili per utilizzare le istruzioni personalizzate di ChatGPT

Uno dei campi nel set di dati di disinstallazione riguarda il numero di versione. Quindi ho chiesto a ChatGPT di eseguire alcune analisi del sentiment per vedere se gli utenti che avevano disinstallato dalla 5.2 in poi lo facevano a causa di qualcosa di nuovo. Diamo un’occhiata a cosa è stata in grado di dirmi l’intelligenza artificiale.

Confrontando tutti i dati (compresi eventuali commenti disponibili), gli utenti sembrano più o meno soddisfatti di Seamless Donations dalla versione 5.2 in poi? Fornire dettagli e approfondimenti.

Ecco cosa ho ottenuto:

Prenditi un momento per apprezzarlo. Ho scritto due frasi e l’intelligenza artificiale ha esaminato 22.797 record ed eseguito un’analisi molto dettagliata, il tutto per concludere che gli utenti sembravano avere un “leggero aumento del sentiment positivo” nella nuova versione.

Anche: In che modo questa semplice modifica al prompt di ChatGPT può aiutarti a perfezionare i tuoi contenuti generati dall’intelligenza artificiale

Se avessi dovuto scrivere il codice per svolgere la quantità di lavoro svolta dall’intelligenza artificiale, per elaborare la quantità di dati coinvolti, ci avrei messo un’eternità. Il livello di sforzo in termini di programmazione che avrei dovuto fare per ottenere queste informazioni sarebbe stato fuori scala. Invece, tutto quello che dovevo fare era scrivere due prompt.

Certo, se fossi un product manager per IBM, avrei potuto coinvolgere Watson nel quadro e utilizzare team di elaborazione dati per creare un’analisi del prodotto. Ma come persona sola, che scrive due frasi e ottiene spunti preziosi come questo, semplicemente wow!

Sono sbalordito.

Questo è un vero strumento

Non c’è dubbio che ci sia spazio per preoccuparsi del caricamento dei dati aziendali su ChatGPT Plus. Ma per i dati in cui tale preoccupazione non esiste (come il mio set di dati), questa non è più una novità. Non è solo un divertente trucco da salotto.

Anche: Come ho utilizzato ChatGPT per scrivere un bookmarklet JavaScript personalizzato

Questo è un vero strumento di produttività. Questo è qualcosa che possiamo usare per portare a termine un vero lavoro, che realizza qualcosa che altrimenti non saremmo in grado di fare, e lo fa bene. Certo, c’è sempre la preoccupazione che i risultati siano sbagliati, ma sarebbe anche una giusta preoccupazione se qualcuno avesse scritto un programma personalizzato per generare queste informazioni.

Ho pagato venti dollari e ho fatto tutte queste analisi nel giro di poche ore (sono stato espulso dopo aver fatto troppe domande e sono dovuto tornare qualche ora dopo). La quantità di lavoro che sarebbe stata necessaria e la spesa che sarebbe costata per ottenere le informazioni che ho ottenuto dalle mie sessioni con ChatGPT sono quasi incalcolabili in confronto.

Anche: Come ho utilizzato ChatGPT e gli strumenti artistici AI per avviare rapidamente la mia attività su Etsy

Questo è vero, gente. Aggiungilo alla tua casella degli strumenti insieme agli altri potenti strumenti di produttività. E cerca di non pensare agli elefanti viola.

Hai dati che ritieni sicuro condividere con ChatGPT? Hai dati dove vuoi davvero che ti forniscano alcune risposte? Hai già utilizzato ChatGPT in questo modo? Discuti con noi nei commenti qui sotto.

---

Puoi seguire gli aggiornamenti quotidiani sui miei progetti sui social media. Assicurati di iscriverti alla mia newsletter di aggiornamento settimanale sul sottostacke seguimi su Twitter all’indirizzo @DavidGewirtzsu Facebook all’indirizzo Facebook.com/DavidGewirtzsu Instagram all’indirizzo Instagram.com/DavidGewirtze su YouTube all’indirizzo YouTube.com/DavidGewirtzTV.

Una vulnerabilità in diverse estensioni del plug-in All-in-One WP Migration espone potenzialmente i siti Web WordPress ad attacchi che portano alla divulgazione di informazioni sensibili.

Con oltre cinque milioni di installazioni e gestito da ServMask, All-in-One WP Migration è un plugin molto popolare per lo spostamento di siti Web che fornisce anche diverse estensioni premium per la migrazione a piattaforme di terze parti.

Mercoledì, la società di sicurezza WordPress Patchstack dettagli condivisi su una vulnerabilità che colpisce le estensioni All-in-One WP Migration Box, Google Drive, OneDrive e Dropbox che potrebbero consentire agli aggressori di accedere a informazioni sensibili.

Rilevato come CVE-2023-40004 e descritto come un problema di manipolazione del token di accesso non autenticato, il bug potrebbe consentire a un utente malintenzionato non autenticato di manomettere la configurazione del token di accesso dell’estensione interessata.

“Questa manipolazione dei token di accesso potrebbe comportare la divulgazione di informazioni sensibili relative alla migrazione verso un account di terze parti controllato dall’aggressore o il ripristino di un backup dannoso”, afferma Patchstack.

Il difetto è stato individuato nel dentro funzione delle estensioni interessate, che è “collegata a WordPress admin_init hook”, che a sua volta può essere attivato da un utente malintenzionato, senza autenticazione.

“Poiché non vi è alcuna autorizzazione e convalida nonce sulla funzione init, un utente non autenticato è in grado di modificare o eliminare il token di accesso utilizzato su ciascuna delle estensioni interessate”, spiega Patchstack.

Il 18 luglio, la società di sicurezza WordPress ha segnalato la vulnerabilità a ServMask, che ha corretto il bug in tutte le estensioni interessate “aggiungendo permessi e convalida nonce sulla funzione init”.

Si consiglia agli utenti di aggiornare all’estensione Box di All-in-One WP Migration versione 1.54, all’estensione Google Drive versione 2.80, all’estensione OneDrive versione 1.67 e all’estensione Dropbox versione 3.76, che sono state rilasciate alla fine di luglio.

Imparentato: Le vulnerabilità critiche dei plugin WordPress influiscono su migliaia di siti

Imparentato: Siti WordPress violati tramite vulnerabilità critica nel plugin WooCommerce Payments

Imparentato: Il popolare plugin di sicurezza WordPress è stato sorpreso a registrare password in testo normale

Esistono milioni di siti Web e ogni giorno ne vengono creati altri, quindi è fondamentale avere il sito più bello possibile per attirare visitatori. Uno dei maggiori fallimenti nella fidelizzazione dei clienti è un sito web mal progettato, ma non tutti hanno il budget per assumere un designer professionista. Se hai un sito WordPress, ci sono molti temi WordPress gratuiti per aiutare il tuo sito ad attirare quei visitatori.

Buono a sapersi: non sei un fan di WordPress? Dai un’occhiata a questi Alternative a WordPress.

Mancia: Ulteriori informazioni su differenze tra account Premium, Business e gratuiti.

1. Ideale per una facile personalizzazione: Astra

Astra è uno dei temi più popolari di sempre e, sebbene la maggior parte delle funzionalità siano bloccate nella versione premium, la versione gratuita ha ancora molte funzionalità. Viene fornito con tantissimi modelli di pagina predefiniti e temi di siti Web completi, e i semplici elementi di trascinamento della selezione consentono una personalizzazione quasi illimitata.

Punti salienti:

• Estremamente popolare per i suoi bellissimi design e la facilità d’uso
• Ottimizzato per prestazioni più veloci
• Include la possibilità di personalizzare intestazioni, piè di pagina, colori e tipografia

2. Il meglio per una personalizzazione potente: Elementor

Nessun elenco dei temi gratuiti migliori per la personalizzazione sarebbe completo senza menzionare lo straordinario plugin WordPress Elementor. Oltre a fornirti tantissimi semplici elementi drag-and-drop per rendere il tuo sito molto migliore, ti dà anche accesso a numerosi temi. Sebbene la maggior parte delle funzionalità siano disponibili nella versione premium, il plug-in gratuito di Elementor è comunque potente.

Punti salienti:

• Uno dei plugin più utilizzati per WordPress
• Funzionalità incredibili oltre ai temi gratuiti
• Consente una personalizzazione quasi illimitata

Mancia: hai bisogno di trovare un servizio di hosting per il tuo sito: controlla il i migliori host WordPress.

3. Il meglio per i principianti esperti di tecnologia: Ciao Elementor

Richiedendo il popolarissimo plug-in Elementor, il Ciao Elementor il tema ti offre un alto livello di personalizzazione senza frustrazione, rendendolo perfetto per i principianti. Sono disponibili diversi modelli tra cui scegliere, ciascuno con istruzioni chiare su come popolare il contenuto. Ha un’elegante interfaccia drag-and-drop con un design pulito e moderno facile da navigare.

Punti salienti:

• Facile da personalizzare
• Incorpora funzionalità aggiuntive di Elementor
• Non è necessario acquistare la versione Premium, poiché la versione gratuita è altamente capace

4. Il meglio per i principianti del web design: venti ventitré

Ogni anno WordPress rilascia una nuova versione di Ventiventitréed è facile capire perché il tema è popolare. Con oltre un milione di download, questo tema gratuito è incredibilmente facile da configurare e inizia con una base pulita e vuota. Presenta molti elementi che lo rendono adatto a quasi tutti i tipi di siti Web e il tema predefinito include dieci diverse varianti di stile. È un punto di partenza facile per i principianti, poiché sfrutta le nozioni di base per creare un ottimo sito Web non eccessivamente complesso.

Punti salienti:

• Progettato e gestito da WordPress
• Layout semplice con complessità minime
• Ha contenuti predefiniti facilmente sostituibili con i tuoi

Mancia: se non sei ancora sicuro di come iniziare, abbiamo la soluzione per te. Imparare come avviare un blog WordPress.

5. Ideale per blog personali: BUTE

IL BUTO il tema ha un aspetto professionale che si apre con un’immagine a grandezza naturale nella home page. Quando fai clic sul contenuto, i post vengono disposti in modo ordinato con immagini di intestazione verticale, frammenti di testo e collegamenti ai social media, rendendolo un design eccellente per blog o siti Web di notizie.

Punti salienti:

• Pagina di destinazione accattivante
• Istruzioni passo passo
• Include un editor per intestazioni, piè di pagina e menu di navigazione personalizzati

Buono a sapersi: impara come ospita il tuo blog gratuitamente con le pagine Jekyll e GitHub.

6. Ideale per blog in stile notizie: Tenaz

Se preferisci un tema blog che assomigli a un sito Web di notizie, il Testardo il tema è un’opzione perfetta. La home page presenta blocchi di post con immagini e frammenti di testo, attribuzione dell’autore e diverse categorie personalizzabili. Non ci sarà confusione su ciò che offre il sito Web quando i visitatori arrivano sulla home page.

Punti salienti:

• Istruzioni passo passo
• Esercitazione video
• Più categorie e tipi di contenuto per una migliore organizzazione

7. Il meglio per i negozi di abbigliamento online: Brandstore

Il bello Brandstore Il tema ha tutto il necessario per gestire un negozio di abbigliamento online di successo. Ha un design semplice e pulito, facile da navigare e si integra con WooCommerce. Viene fornito con diversi modelli predefiniti per consentirti di essere subito operativo.

Punti salienti:

• Bellissimo layout con ottimo posizionamento delle immagini
• Ottimizzato per dispositivi mobili
• Gestisce facilmente centinaia di prodotti per un’azienda in rapida crescita

PER TUA INFORMAZIONE: dai un’occhiata ai migliori plugin di notifica per WordPress.

8. Il meglio per i negozi di prodotti online: Botiga

IL negozio Il tema gratuito è leggero ma ha tutto ciò di cui hai inizialmente bisogno per un negozio online. È previsto un abbonamento mensile per funzioni aggiuntive, ma la versione gratuita ha un aspetto professionale e conta più di 20.000 installazioni attive. L’immagine in primo piano di grandi dimensioni sulla home page attira immediatamente l’attenzione, portando a più clic.

Punti salienti:

• Ottimizzato sia per l’editor di blocchi WordPress che per Elementor
• Può gestire molti prodotti in diverse categorie
• Include alcuni modelli, come gioielli o cosmetici, per diverse categorie di prodotti

9. Il meglio per i portfolio fotografici: Mayland

Il bello Mayland è un tema gratuito più adatto per mostrare le tue abilità fotografiche. La home page pulita e facile da navigare ha un testo minimo, lasciando che le tue immagini parlino da sole. È un’opzione eccellente per mostrare la tua creatività e puoi integrare le vendite online nel backend.

Punti salienti:

• Presenta una sorprendente home page con blocchi fotografici coinvolgenti
• Istruzioni passo passo e tutorial video
• Supporta pienamente il nuovo editor WordPress

Mancia: prima di pubblicare le tue foto sul tuo sito web, scopri come filigranare le foto su un Android.

10. Il meglio per i portfolio video: Inspiro Lite

Specificamente progettata per video e foto, la versione gratuita di Ispirazione Lite dispone di un’area di visualizzazione video a schermo intero, supporta la riproduzione di video Vimeo, YouTube e ospitati autonomamente ed è compatibile con WooCommerce per vendere i tuoi clip. Il tema drag-and-drop è compatibile con Elementor, semplificando la visualizzazione della tua arte.

Punti salienti:

• Facile da configurare e iniziare a vendere
• Dispone di più sezioni e categorie per organizzare i tuoi contenuti
• Layout bello e accattivante

11. Il meglio per le agenzie con un aspetto premium: Phlox

Phlox è più di un semplice tema: è un pacchetto completo che distingue qualsiasi sito web dagli altri con temi gratuiti. La semplice creazione del sito drag-and-drop è compatibile con Elementor e include una serie di funzionalità e oggetti personalizzabili per dare al tuo sito un aspetto professionale.

Punti salienti:

• Altamente personalizzabile con molti temi unici
• Facile da installare e configurare
• Sebbene esista una versione premium, la versione gratuita ha tutto ciò di cui hai bisogno

Mancia: installa una chatbox WhatsApp sul tuo sito WordPress.

12. Ideale per portafogli con un aspetto premium: Ascend

Il libero Ascendere Il tema ha molte funzioni che normalmente assoceresti ai temi premium, motivo per cui è estremamente popolare. Se hai un negozio online o vuoi mostrare alcuni dei tuoi lavori, questo tema è perfetto.

Punti salienti:

• Include diverse opzioni per intestazioni e menu personalizzati
• Pienamente compatibile con WooCommerce
• Gallerie ricche per mostrare i tuoi prodotti

13. Ideale per pagine di destinazione semplici: Calyx

Il libero Calice Il tema è una pagina singola ben progettata con elementi minimi, che lo rendono perfetto per una pagina di destinazione. Il tema include un tutorial video passo passo sulla personalizzazione degli elementi tramite l’editor di blocchi di WordPress.

Punti salienti:

• Perfetto per una pagina “in arrivo”.
• Facile da personalizzare

PER TUA INFORMAZIONE: usando Ubuntu? Impara come configura WordPress con Docker su Ubuntu.

14. Ideale per pagine di destinazione informative: Zeever

Se hai bisogno di una landing page dall’aspetto professionale che offra ai visitatori una rapida occhiata a ciò che ti occupi, Zeever è una scelta eccellente Il layout dal design accattivante è pulito e i colori contrastanti facilitano la navigazione. Il tema ha un modello pronto all’uso, quindi devi solo inserire il testo e le immagini prima del lancio.

Punti salienti:

• La combinazione di colori predefinita è sorprendente, rendendola perfetta per avviare rapidamente un sito Web
• Pienamente compatibile con il plugin Gutenverse
• Creato appositamente per agenzie digitali o creative o come portfolio online

15. Pagine di destinazione ideali per i servizi: Iotix

Con il suo design semplice, pulito e moderno, Iotix è il tema perfetto per una landing page elegante. Presenta quattro modelli e modelli predefiniti, più sezioni informative e un’area dei prezzi per i tuoi servizi. Puoi rimuovere facilmente gli aspetti o le sezioni del design che non ti servono e mostrare solo le informazioni più rilevanti.

Punti salienti:

• Tutti i contenuti sono gestiti tramite l’editor a blocchi di WordPress
• Non sono richiesti costi aggiuntivi o plug-in
• Facile da configurare con istruzioni passo passo

Domande frequenti

È sicuro scaricare temi WordPress gratuiti?

Come la maggior parte delle cose che puoi scaricare online, dovresti sempre scaricare temi WordPress gratuiti da un sito Web affidabile. Esistono molti siti Web sicuri per i temi, ma assicurati sempre che il sito che utilizzi abbia una connessione sicura, leggi alcune recensioni e attieniti alle opzioni più popolari. Impara come ottieni un certificato SSL gratuito per il tuo sito WordPress.

Dove posso scaricare gratuitamente altri temi WordPress?

Sebbene WordPress abbia una libreria relativamente ampia, molti altri siti Web offrono opzioni eccellenti. Questi includono TemaForesta E Temi elegantimentre i plug-in come Elementor e Astra hanno le proprie librerie di temi.

Come posso scoprire quale tema WordPress sta utilizzando un sito?

Ti sei imbattuto in un sito web con un tema che desideri replicare, ma come fai a capire di cosa si tratta? Esistono diversi siti Web in grado di rilevare quale tema viene utilizzato su uno specifico sito Web WordPress. Su un sito come WPThemeDetectordevi inserire l’URL nella casella di ricerca e ti dirà rapidamente di cosa si tratta e fornirà un collegamento per il download, se è disponibile.

Credito immagine: Unsplash. Tutti gli screenshot sono di Charlie Fripp.

Un sottodominio è un tipo di dominio che fa parte di un altro dominio. Puoi considerarlo come un ramo separato dal tuo sito web principale. Ad esempio, se hai mai letto un blog WordPress, potresti aver notato che il dominio (o URL) è il nome del blog + “.” + worddpress.com (ad esempio, nomeblog.wordpress.com). In questo caso, wordpress.com è il dominio e blogname.wordpress.com è il sottodominio.

I sottodomini possono essere utilizzati per diversi motivi, dalla prototipazione di siti all’utilizzo di due temi diversi. In questo articolo discuteremo cos’è un sottodominio, quando utilizzarlo, come i sottodomini influenzano l’ottimizzazione dei motori di ricerca (SEO) e come impostarne uno tramite il tuo registrar del dominio O ospite web.

Definizione del sottodominio

Un sottodominio è un’estensione o un componente aggiuntivo del nome di dominio della tua azienda. I sottodomini vengono utilizzati per organizzare diverse parti funzionali del sito web.

Supponiamo che tu abbia un nome di dominio tuosito.com. Puoi avere sottodomini come blog.tuosito.com o store.tuosito.com in modo che il tuo negozio e blog possano essere progettati, organizzati e ottimizzati indipendentemente dal tuo sito web principale. Man mano che continui ad aggiungere diverse funzioni al sito web del tuo dominio, puoi utilizzare nuovi sottodomini per separarli dal sito web principale.

Gli URL dei nomi di dominio e dei sottodomini vengono trattati come entità separate, il che ci porta alla questione di come appare un sottodominio nell’URL del dominio.

Struttura di un sottodominio

Il sottodominio viene aggiunto prima del nome del tuo dominio per creare un nuovo URL. Una volta creato, questo URL può avere pagine proprie come con qualsiasi sito web.

Caratteristiche e parametri di un sottodominio

Ecco alcune cose importanti da sapere su un sottodominio:

• Un dominio può avere fino a 500 sottodomini
• Puoi creare più livelli di sottodomini come store.product.yoursite.com, test.forum.yoursite.com, ecc.
• Ogni sottodominio può contenere fino a 255 caratteri, ma per i sottodomini multi livello ogni livello può contenere solo 63 caratteri

Quando utilizzare un sottodominio

I sottodomini vengono utilizzati per:

• Semplifica la gerarchia del sito
• Migliora la navigazione dell’utente
• Crea un prototipo o una versione di prova di un sito web
• Per utilizzare due temi diversi con funzioni diverse per un dominio (ad esempio un blog, un forum, un negozio di e-commerce, ecc….)
• Crea siti specifici per località o lingua
• Per creare un sito specifico per dispositivi mobili

Come creare un sottodominio

Il processo di configurazione di un sottodominio varierà leggermente a seconda di dove è registrato il tuo sottodominio. Tuttavia, generalmente il processo per creare un sottodominio sarà simile al seguente:

Ecco come impostare un sottodominio:

• Passare al registrar del nome di dominio o all’host web (ad esempio, Bluehost o DreamHost)
• Seleziona i domini dalla dashboard del tuo account
• Trova e seleziona sottodomini
• Crea il tuo nuovo sottodominio

Per ulteriori informazioni, visita il centro assistenza del registrar del tuo dominio o del provider di hosting web per istruzioni dettagliate su come creare un sottodominio. Inoltre, il tuo fornitore dovrebbe essere in grado di assisterti ulteriormente tramite il supporto in caso di problemi lungo il percorso.

Sottodominio e sottodirectory

C’è una certa confusione tra sottodomini e sottodirectory, ed è giusto che sia così. I due sono apparentemente molto simili, ma ognuno ha una struttura, un’organizzazione del sito e un impatto sulla SEO diversi. Una sottodirectory utilizza le cartelle sotto il nome di dominio principale per organizzare i contenuti sul tuo sito web. Una differenza fondamentale è che i sottodomini sono trattati come siti Web separati e non ereditano alcuna autorità di dominio del sito Web principale. Il suo SEO deve essere costruito da zero.

Sottodomini e sottodirectory in sintesi:

• Sottodominio: blog.tuosito.com
• Sottodirectory: tuosito.com/blog

Sia le sottodirectory che i sottodomini hanno i loro vantaggi e svantaggi e, in definitiva, sta a te decidere di cosa ha bisogno il tuo sito web.

Domande frequenti

I salt di WordPress sono una parte cruciale dell’ecosistema di sicurezza di WordPress. Sebbene non godano della stessa notorietà di altri componenti, come i firewall, senza di essi WordPress sarebbe esposto a tutti i tipi di attacchi. Questo è il motivo per cui è così importante capire cosa sono, come gestirli e come utilizzare un generatore di sali WordPress nel caso avessi bisogno di nuovi sali.

In questo articolo esploreremo tutto ciò che c’è da sapere sui salt e sui generatori di WordPress, aiutandoti a ottenere il massimo da questa funzionalità così importante per la sicurezza di WordPress.

Cosa sono i salt di WordPress?

I salt di WordPress e le chiavi di sicurezza associate sono strumenti crittografici utilizzati per eseguire l’hashing dei dati. Sono anche conosciuti come chiavi di sicurezza di WordPress. Un esempio notevole di come vengono utilizzati su un sito Web è l’hashing delle password archiviate nei cookie. I salt rendono molto più difficile per gli hacker rubare le password degli utenti. Ciò rende i sali parte integrante di Sicurezza di WordPress. Anche se questo sistema non è perfetto, nella maggior parte dei casi fornisce una protezione adeguata.

Analizzeremo tutto questo (e altro ancora) nelle sezioni seguenti, quindi continua a leggere per saperne di più sui salt di WordPress.

Come funzionano i salt di WordPress

WordPress è ciò che è noto come un sistema senza stato. Ciò significa che non è in grado di mantenere le sessioni utente come fanno alcune altre applicazioni. Si affida invece a Cookie del browser WordPress per mantenere gli utenti “loggati”. Pertanto, una volta effettuato l’accesso con nome utente e password (e 2FA se prendi sul serio la sicurezza di WordPress), WordPress definisce un cookie che viene inviato al tuo browser. Finché hai quel cookie e le sue condizioni sono soddisfatte, rimani “loggato”.

Affinché WordPress possa riconoscerti, questo cookie deve essere inviato a WordPress ogni volta che interagisci con il sito web, essenzialmente autenticandoti ogni volta che interagisci con il sito web. Per garantire che i dati rimangano il più sicuri possibile, WordPress crittografa la password memorizzata nel cookie. È qui che entrano in gioco i sali.

Cookie di WordPress

Anche se approfondire i dettagli dei cookie di WordPress va oltre lo scopo di questo articolo, vale la pena fare una breve deviazione per discutere di come i sali si relazionano ai cookie.

Come promemoria, i cookie sono file di testo memorizzati nei browser degli utenti di WordPress che comunicano a WordPress informazioni importanti, ad esempio se l’utente ha effettuato l’accesso e chi è.

• wordpress_loggato_in_[hash] – Questo cookie viene utilizzato per dire a WordPress se hai effettuato l’accesso o meno. Questo cookie viene sottoposto ad hashing con la chiave LOGGED_IN_KEY e il sale LOGGED_IN_SALT. Ne discuteremo più dettagliatamente nella sezione successiva.
• wordpress_[hash] – Questo cookie viene utilizzato nelle pagine di amministrazione e consente di apportare modifiche al sito Web WordPress. Questo cookie viene sottoposto ad hashing con la chiave SECURE_AUTH_KEY e il sale SERCURE_AUTH_SALT se utilizzi SSL/TLS o la chiave AUTH_KEY e il sale AUTH_SALT se non utilizzi SSL/TLS.

I biscotti salati sono i migliori

In poche parole, i salt vengono utilizzati per eseguire l’hashing di informazioni sensibili, come i dettagli di accesso nel cookie. Pertanto, se il cookie viene rubato, la password sarà quasi impossibile da leggere.

È importante notare che i sali e le chiavi funzionano solo con le sessioni del browser WordPress predefinite. Se utilizzi sessioni PHP, cosa che per una serie di motivi non è consigliata, i dati non verranno sottoposti ad hashing utilizzando i salt di WordPress.

Abbiamo accennato in precedenza che questo non è un sistema perfetto. Se un cookie viene rubato, chiunque abbia il cookie può dirottare la sessione e interagire con il sito Web WordPress come se fossi tu. In effetti, dal punto di vista di WordPress, saresti tu.

I sali e le chiavi vengono generati automaticamente durante l’installazione di WordPress; tuttavia, possono essere modificati in qualsiasi momento. Discuteremo dove trovarli e come cambiarli.

Sali e chiavi di WordPress

Ogni salt ha una chiave corrispondente ed entrambe sono necessarie affinché possa avvenire l’hashing dei dati. In realtà, le chiavi vengono utilizzate per eseguire l’hashing dei dati e i salt aggiungono un secondo livello di hashing per garantire che i dati siano estremamente sicuri.

I salt sono stati introdotti in WordPress 3.0, mentre chiavi diverse sono state introdotte in diverse versioni di WordPress. Di seguito è riportato un elenco che evidenzia quando è stata introdotta ciascuna chiave e sale:

• WordPress 2.6: AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY
• WordPress 2.7: NONCE_KEY
• WordPress 3.0: AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT, NONCE_SALT

Ci sono quattro diverse coppie sale/chiave in totale. Ogni coppia svolge una funzione diversa rispetto all’altra. Diamo un’occhiata a ciascuna coppia un po’ più in dettaglio in modo da poter comprendere meglio cosa fanno effettivamente.

Le quattro coppie diverse

Ecco le quattro diverse coppie di chiavi e salt utilizzate da WordPress.

Autenticazione

Questa coppia chiave e sale viene utilizzata con LOGGED_IN_KEY e LOGGED_IN_SALT per autorizzarti ad apportare modifiche a WordPress (quando non utilizzi SSL).

Autenticazione sicura

Se accedi all’area di amministrazione di WordPress utilizzando SSL/TLS, questa coppia di chiave e sale verrà utilizzata per firmare il cookie di autorizzazione, che ti consente di apportare modifiche al sito web.

• SECURE_AUTH_KEY
• SERCURE_AUTH_SALT

Connesso

La chiave LOGGED_IN e il sale vengono utilizzati per creare e firmare un cookie per un utente che ha effettuato l’accesso.

• LOGGED_IN_KEY
• LOGGED_IN_SALT

Nonce

I nonce sono un aspetto molto interessante della sicurezza di WordPress. I nonce sono chiavi che vengono aggiunte all’URL di invio, proteggendo il sito Web da attacchi come gli attacchi CSFR (Cross-Site Request Forgeries).

Dove trovare i tuoi salt WordPress

Sali e chiavi vivono nel File wp-config.php di WordPress. Puoi accedere al file tramite SSH o FTP/SFTP, a seconda del tuo Fornitore di hosting WordPress. Alcuni provider possono persino offrire il proprio file manager backend personalizzato con accesso al file di configurazione.

Troverai il file wp-config.php nella directory principale del tuo sito Web WordPress. I sali e le chiavi sono generalmente definiti nella prima sezione del file wp-config.php, subito dopo le credenziali del database, a meno che tu spostato le credenziali del database dal file wp-config.php.

Quando aggiornare i sali e le chiavi di WordPress

In generale, non è mai necessario modificare i sali e le chiavi di WordPress. Se si è verificata una violazione della sicurezza, tuttavia, modificarli potrebbe essere un’ottima idea.

Puoi anche scegliere di modificarli come misura di sicurezza preventiva piuttosto che per una necessità particolare. Proprio come cambiare regolarmente la password, cambiare i sali e le chiavi può mantenerti un passo avanti rispetto agli autori malintenzionati.

Tieni presente che l’aggiornamento a nuovi salt e chiavi terminerà tutte le sessioni attive poiché ciò invaliderebbe tutti i cookie attivi. Gli utenti registrati verranno disconnessi. Gli utenti potranno accedere nuovamente con il proprio nome utente, password e 2FA senza problemi, quindi non c’è nulla di cui preoccuparsi ma qualcosa di cui dovresti essere consapevole.

Come utilizzare un generatore di sale WordPress

Puoi aggiornare i sali e le chiavi dei tuoi siti WordPress in due modi: manualmente o utilizzando un plugin.

Nella maggior parte dei casi, un plugin genererà e sostituirà i salt per te. Richiede solo l’accesso all’area di amministrazione di WordPress, rendendolo il più semplice dei due. Il metodo manuale è leggermente più pratico; tuttavia, anche una persona non così tecnica può riuscirci.

Tieni presente che se scegli di modificare i sali manualmente ma non l’hai mai fatto prima, utilizzare prima un ambiente di test potrebbe essere una buona idea. Ciò ti consentirà di acquisire sicurezza senza rischiare di danneggiare il tuo sito.

Utilizzando un plug-in

Il modo più semplice per modificare i sali di WordPress è utilizzare un plugin. IL Plug-in Saliera è forse il plugin più conosciuto per lo scambio delle chiavi salt di WordPress con funzionalità aggiuntive come le modifiche pianificate.

Per modificare i tasti Salt in qualsiasi momento, è sufficiente fare clic su Cambia adesso pulsante situato nella sezione Modifica immediata. Questo aggiornerà immediatamente tutti i sali. Tutti gli utenti che hanno effettuato l’accesso dovranno effettuare nuovamente l’accesso una volta aggiornati i salt.

Metodo manuale

Se non desideri utilizzare un plugin per aggiornare i sali, puoi farlo manualmente. Fortunatamente, WordPress.org offre un generatore di chiavi che genera stringhe casuali per ogni chiave salt e segreta nel file wp-config.php del sito. Per modificare manualmente i sali sul tuo sito Web WordPress:

1. Passare a Generatore di sali WordPress (fornito da WordPress)
2. Apri il file wp-config.php. (Puoi accedere al file tramite FTP/SFTP o SSH, quindi dovrai assicurarti di avere le informazioni di accesso corrette per accedere con successo. Come accennato in precedenza, il file è in testo normale, quindi sarai in grado di inserire i nuovi tasti utilizzando un semplice editor di testo come Blocco note o Vim).
3. Copia i salt generati dal generatore e sovrascrivi quelli nel file wp-config.

Conclusione

I salt di WordPress vengono utilizzati principalmente per eseguire l’hashing dei cookie del browser, che sono essenziali per consentire agli utenti di accedere a WordPress. Ciò li rende essenziali per la sicurezza complessiva del sito. La modifica dei sali può prevenire incidenti di sicurezza e aiutarti a garantire il ripristino da determinate violazioni, come quelle che si verificano attraverso a attacco cross-site scripting (XSS)..

Ricorda che Salts gioca solo un ruolo nel più ampio ecosistema di sicurezza di WordPress. Pertanto, rimane importante tenere d’occhio ciò che sta accadendo sui tuoi siti WordPress. Un modo per ottenere ciò è installare WP Activity Log, che tiene traccia e registra l’attività degli utenti e del sistema sui tuoi siti Web WordPress.

Il plug-in offre tantissime funzionalità aggiuntive per aiutarti a essere sempre aggiornato, comprese notifiche e-mail e SMS, un elegante modulo di sessione utente e molto altro.

Inizia con a Prova gratuita di 14 giorni del registro attività WP.

La posta Salt di WordPress: la guida completa per comprenderli, generarli e gestirli è apparso per primo Melapress.

*** Questo è un blog diffuso da Security Bloggers Network Melapress scritto da Gioele Barbara. Leggi il post originale su: https://melapress.com/wordpress-salts/