Proteggere il proprio webserver e redirect tramite .htaccess
Andiamo ad analizzare delle tecniche essenziali per proteggere il nostro webserver da attacchi estranei così come i più comuni metodi di redirect utilizzando il file .htaccess. Va premesso che per poter utilizzare correttamente tutte le funzionalità seguenti dovete sempre assicurarvi che il vostro hoster ve ne dia la possibilità, non dimenticate quindi mai di chiedere prima di procurarvi un nuovo spazio web. Vi ricordo inoltre che per poter creare un file .htaccess dovrete disporre di un editor di testo non proprio “basilare” (ad esempio Notepad++) oppure dovrete salvare il file come file di testo, caricarlo sul vostro server e procedere con la rinomina direttamente usando il client FTP.
Questo articolo nasce come traduzione dell’articolo “17 Useful Htaccess Tricks and Tips” di kevin.
Generali
I seguenti htaccess ti permetteranno di svolgere semplici procedure di redirect ed ottimizzazione del webserver.
1. Impostare il fuso orario
Molte volte quando usi la funzione date o mktime in php, ti viene mostrato un messaggio simpatico riguardante il fuso orario. Questo è l’unico metodo per risolverlo: settare il fuso orario per il tuo server. Una lista dei fusi supportati può essere trovata qui.
SetEnv TZ Australia/Melbourne
2. Redirect 301 permanenti e SEO Friendly
Che cosa significa SEO Friendly? Attualmente alcuni motori di ricerca hanno la capacità di individuare un redirect 301 e di aggiornare i loro record esistenti
Redirect 301 http://www.queness.com/home http://www.queness.com/
3. Evitare la schermata di download
Solitamente quando cerchi di scaricare qualcosa da un web server, ti viene richiesto di decidere se aprire il file o salvarlo. Puoi impedire che ciò accada utilizzando il codice seguente nel tuo file .htaccess.
AddType application/octet-stream .pdf AddType application/octet-stream .zip AddType application/octet-stream .mov
4. Skippare il www
Una delle linee guida per un SEO è quella di fare in modo che ci sia un unico tipo di indirizzo che punti al proprio sito web. Di conseguenza occorrerà fare in modo che tutto il traffico proveniente tramite www venga ridirezionato all’indirizzo privo di www o viceversa.
RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_HOST} ^www.queness.com [NC]
RewriteRule ^(.*)$ http://queness.com/$1 [L,R=301]5. Pagina di errore personalizzata
Come creare una pagina persoonalizzata per ogni tipo di errore.
ErrorDocument 401 /error/401.php ErrorDocument 403 /error/403.php ErrorDocument 404 /error/404.php ErrorDocument 500 /error/500.php
6. Comprimere i files
Ottimizza i tempi di caricamento del tuo sito comprimendo i files in modo da ridurne le dimensioni.
# comprimere testo, html, javascript, css, xml: AddOutputFilterByType DEFLATE text/plain AddOutputFilterByType DEFLATE text/html AddOutputFilterByType DEFLATE text/xml AddOutputFilterByType DEFLATE text/css AddOutputFilterByType DEFLATE application/xml AddOutputFilterByType DEFLATE application/xhtml+xml AddOutputFilterByType DEFLATE application/rss+xml AddOutputFilterByType DEFLATE application/javascript AddOutputFilterByType DEFLATE application/x-javascript
7. Cache dei files
Fai memorizzare i files nella cache in modo da ottimizzare i tempi di caricamento.
<FilesMatch ".(flv|gif|jpg|jpeg|png|ico|swf|js|css|pdf)$"> Header set Cache-Control "max-age=2592000" </FilesMatch>
8. Disabilitare la cache per alcuni tipi di files
D’altra parte è possibile fare in modo che alcuni files che si aggiornano di frequente non vengano memorizzati.
# disabilita esplicitamepte la cache per scripts e altri files dinamici <FilesMatch ".(pl|php|cgi|spl|scgi|fcgi)$"> Header unset Cache-Control </FilesMatch>
Sicurezza
I seguenti codici htaccess ti permettono di aumentare il livello di sicurezza del tuo webserver. La protezione dagli hotlink (link diretti) è un buon sistema per evitare ad altra gente di utilizzare immagini memorizzate nel tuo server.
1. Protezione dagli hotlink tramite .htaccess
E’ odioso quando la gente ruba banda dal tuo sito utilizzando immagini che ospiti sul tuo server. Usando questa protezione impedirai che ciò accada.
RewriteBase /
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://(www.)?queness.com/.*$ [NC]
RewriteRule .(gif|jpg|swf|flv|png)$ /feed/ [R=302,L]2. Prevenire attacchi hacker
Se vuoi aumentare il livello di sicurezza del tuo sito, puoi utilizzare queste righe per prevenire alcune tecniche comuni di hacking individuando modelli di URL maligni.
RewriteEngine On
# proc/self/environ? no!
RewriteCond %{QUERY_STRING} proc/self/environ [OR]#Blocca ogni script che cerca di settare un valore mosConfig attraverso l'URL RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR] # Blocca ogni script base64_encode crap RewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR] #Blocca ogni script che contiene un tag <script> nell'URL RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR] # Blocca ogni script che cerca di settare una variabile globale PHP via URL RewriteCond %{QUERY_STRING} GLOBALS(=|[|\%[0-9A-Z]{0,2}) [OR] # Blocca ogni script che cerca di modificare una variabile a _REQUEST via URL RewriteCond %{QUERY_STRING} _REQUEST(=|[|\%[0-9A-Z]{0,2}) # Invia tutte le richieste bloccate alla pagina di errore 403! RewriteRule ^(.*)$ index.php [F,L]3. Bloccare l’accesso al file .htaccess
Il codice seguente impedisce l’accesso ad utenti esterni al tuo file .htaccess. Può essere utilizzato anche per altri tipi di files.
# proteggi htaccess file <Files .htaccess> order allow,deny deny from all </Files> # previeni la visualizzazione di un file specifico <Files secretfile.jpg> order allow,deny deny from all </Files> # tipi di files multipli <FilesMatch ".(htaccess|htpasswd|ini|phps|fla|psd|log|sh)$"> Order Allow,Deny Deny from all </FilesMatch>
4. Rinominare il file .htaccess
Può essere anche utile rinominare il file .htaccess per proteggersi.
AccessFileName htacc.ess
5. Disabilitare la visualizzazione dei contenuti delle cartelle
Impedisci o consenti al server di mostrare l’indice dei files presenti nelle cartelle del tuo server web.
# disabilita la visualizzazione della cartella Options All -Indexes # abilita la visualizzazione della cartella Options All +Indexes
6. Cambiare la pagina index di default
Puoi cambiare la pagina di apertura del sito da index.html, index.php ecc… con qualsiasi altro nome.
DirectoryIndex business.html
7. Blocca i visitatori provenienti da un preciso dominio
# blocca i visitatori provenienti dai domini indicati
<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{HTTP_REFERER} scumbag.com [NC,OR]
RewriteCond %{HTTP_REFERER} wormhole.com [NC,OR]
RewriteRule .* - [F]
</ifModule>8. Blocca le richieste basate su un preciso User Agent
Questo metodo può salvare una buona quantità di banda bloccando alcuni bot o spiders in modo che non passino sul tuo sito.
# blocca i visitatori indicati <IfModule mod_rewrite.c> SetEnvIfNoCase ^User-Agent$ .*(craftbot|download|extract|stripper|sucker|ninja|clshttp|webspider|leacher|collector|grabber|webpictures) HTTP_SAFE_BADBOT SetEnvIfNoCase ^User-Agent$ .*(libwww-perl|aesop_com_spiderman) HTTP_SAFE_BADBOT Deny from env=HTTP_SAFE_BADBOT </ifModule>
9. Proteggi le cartelle disabilitando l’esecuzione di script
# proteggi le cartelle disabilitando l'esecuzione di script AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi Options -ExecCGI
Copyright e utilizzo del seguente articolo
I sistemi e le tecniche dimostrate in questo tutorial non possono essere utilizzati senza l’attribuzione dei meriti all’autore originale. Non puoi quindi copiare l’intero tutorial (a meno che il permesso non sia accordato), in Inglese o in qualsiasi altra lingua.
Si ringrazia ancora Queness per il permesso accordato.
Thanks to Queness for the permission.
