Come fermare i bot dannosi: una guida per gli utenti di WordPress

La metà di tutto il traffico Internet non è attività umana, ma bot. Spambot, bot di ricerca, Twitterbot e bot DDoS sono solo alcuni tipi comuni di web robot. Sono ovunque nel mondo online e non tutti sono cattivi. Ma alcuni di loro sono cattivi e i robot cattivi possono essere più di un fastidio. Possono interrompere la funzionalità del tuo sito WordPress, rallentare il tuo flusso di lavoro e allontanare i tuoi utenti o clienti.

Quando è il momento di impedire ai bot dannosi di intromettersi nel tuo sito WordPress, alcuni approcci funzionano meglio di altri. Fortunatamente, WordPress ci offre diverse soluzioni pratiche per gestire i bot.

In questa guida, discuteremo di cosa sono i bot, perché alcuni sono buoni, come puoi bloccare quelli cattivi e come evitare che danneggino il tuo sito WordPress. Per bloccare i bot che i siti WordPress vulnerabili attirano, prenditi qualche minuto ora per leggere questa guida. Alla fine, avrai le risposte di cui hai bisogno per bloccare i bot dannosi in WordPress. Diamo un'occhiata.

Che cos'è un bot?

Come probabilmente hai già capito, il termine "bot" è l'abbreviazione di "robot". A volte, le persone si riferiscono ai bot di cui stiamo discutendo qui come "bot Internet" o "bot web". Per dirla semplicemente, un bot è un software che opera come agente utente indipendente per una persona o un programma di comando e controllo più ampio che dirige le azioni di molti bot.

Per buoni e cattivi motivi, le persone usano spesso i bot per simulare l'attività di veri esseri umani che navigano sul web e svolgono attività ripetitive. I robot sono un po' più veloci delle persone nell'eseguire compiti banali, quindi le persone usano i robot per fare molte cose semplici in modo rapido e su larga scala. In generale, il 40-50% di tutto il traffico Internet è costituito da bot che interagiscono con le pagine Web, comunicano direttamente con le persone, cercano contenuti specifici o eseguono altre attività di base.

Spesso non trai vantaggio da queste attività guidate dai bot. Non li vuoi e non ti sono di aiuto. Sono uno spreco di server e risorse energetiche. Peggio ancora, alcuni sono dannosi e quei robot rappresentano una minaccia costante.

Come funzionano esattamente i bot?

Nella maggior parte dei casi, un bot opera su una rete. Quando i bot comunicano tra loro, utilizzeranno servizi diversi come IRC (Internet Relay Chat) o persino sistemi di messaggistica diretta nelle piattaforme di social media.

Seguendo diversi set di algoritmi che definiscono le attività programmate dai loro progettisti, i bot possono fare qualsiasi cosa, dal parlare con le persone allo scraping di contenuti di siti Web da Internet. I robot più sofisticati tentano di imitare il vero comportamento umano, come Google Duplex.

Gestione dei bot

Le persone e le organizzazioni che utilizzano i bot in genere utilizzano software di gestione dei bot che fa parte di una piattaforma di sicurezza delle app Web. I gestori di bot consentono ai bot buoni di funzionare correttamente mentre bloccano i bot cattivi che possono causare danni.

Quando il gestore del bot rileva un bot sospetto o noto, lo reindirizza lontano dal sito web che sta proteggendo. Funziona come un firewall per applicazioni web.

Alcune delle funzionalità più basilari del software di gestione dei bot includono CAPTCHA (per rilevare gli esseri umani rispetto ai bot) e la limitazione della velocità IP, che limita il numero di richieste che possono provenire da un indirizzo IP.

Come parte delle sue funzionalità, iThemes Security rileva e blocca il traffico dei bot utilizzando CAPTCHA e altri metodi.

Otto tipi comuni di bot

Esistono molti tipi diversi di bot, ognuno con i propri compiti e programmi unici.

Alcuni dei bot più comuni includono:

1. I chatbot simulano conversazioni umane e interagiscono con te come potrebbe fare un'altra persona. Uno dei primi chatbot è antecedente al web mondiale: Eliza. Eliza è un programma che si comporta come una psicoterapeuta rogersiana che risponde a domande con più domande.
   • I chatbot basati su regole interagiscono con le persone fornendo loro prompt predefiniti tra cui scegliere. I chatbot intellettualmente indipendenti utilizzano l'apprendimento automatico per apprendere e comprendere l'input umano e rispondere a parole chiave note.
   • I chatbot AI (intelligenza artificiale) combinano le caratteristiche dei bot intellettualmente indipendenti e dei bot basati su regole. Questi sofisticati robot di intelligenza artificiale utilizzano l'elaborazione del linguaggio naturale, la corrispondenza dei modelli e gli strumenti di generazione del linguaggio naturale per replicare l'interazione umana in modi molto realistici.
2. Gli shopbot scansionano Internet per conto di un utente. Il compito di uno Shopbot è individuare il costo più basso per qualsiasi prodotto, articolo o servizio che un utente sta cercando. I bot come OpenSesame osservano i modelli di navigazione del sito Web degli utenti e personalizzano il sito per ciascun utente.
3. I social bot operano su Facebook, Twitter e altre piattaforme di social media.
4. I Knowbot raccolgono informazioni specifiche su soggetti definiti dalla persona che li controlla.
5. Crawler e spider AKA web crawler o web spider sono i bot più comuni in cui potresti imbatterti. I motori di ricerca li utilizzano per mappare e indicizzare la struttura e il contenuto dei siti web.
6. I crawler di web scraping raccolgono dati ed estraggono altri contenuti che qualcuno li ha programmati per trovarli.
7. I robot transazionali completano le transazioni per conto di un essere umano che le controlla.
8. I bot di monitoraggio monitorano lo stato generale di una rete o di un sito web.

I bot in ciascuna di queste categorie servono a scopi legittimi, come testare, monitorare e proteggere i sistemi. Naturalmente, ogni categoria può includere anche bot dannosi.

Buoni robot

Un bot del servizio clienti può essere disponibile 24 ore al giorno, sette giorni alla settimana. Per rispondere a domande comuni e fornire assistenza di base, questo è un buon modo per usarci un bot. Aiuta a liberare il personale del servizio clienti in modo che possa concentrarsi su questioni più complesse che richiedono l'interazione umana.

Probabilmente hai avuto alcune conversazioni con i robot del servizio clienti, noti anche come agenti virtuali o rappresentanti virtuali. Oltre due decenni fa, "Andrette" e "Shallow Red" sono stati pionieri tra i robot del servizio clienti. Erano nella prima generazione di bot in grado di rispondere a domande dettagliate su un prodotto o servizio.

Oggi, molti servizi che probabilmente conosci utilizzano i bot:

• App di messaggistica istantanea come WhatsApp, Slack e Facebook Messenger.
• App di notizie come The New York Times .
• App di condivisione di corse come Lyft.
• Assistenti alla programmazione che utilizzano l'intelligenza artificiale, come Clara e Trevor.

Questi esempi non iniziano nemmeno a scalfire la superficie delle numerose applicazioni che i bot hanno nella tecnologia e negli affari. Sfortunatamente, ci sono altrettanti ruoli illegittimi che i bot svolgono nel crimine informatico.

Bot cattivi

Mentre ci sono bot che servono a scopi molto positivi per persone e aziende, ci sono anche bot dannosi che supportano l'hacking e il crimine informatico. Questi bot dannosi sono molto diversi dagli utili chatbot. Per prima cosa, i chatbot non vagano liberamente per il web in cerca di guai. I robot cattivi lo fanno.

Alcuni dei più comuni bot dannosi o "cattivi" includono:

• I bot DDoS o DoS lavorano insieme in una "botnet" o "sciame" per sovraccaricare le risorse di un server mirato, portando a un Denial-of-Service (DoS) per gli utenti legittimi. La maggior parte delle botnet è distribuita su molte reti e dispositivi, quindi il loro vettore di attacco è meglio definito come "Distributed Denial of Service".
• Gli spambot iniettano contenuti commerciali indesiderati in siti mirati con l'intento di indirizzare i visitatori verso un altro sito web.
• Gli hackerbot attaccano l'infrastruttura di un sito Web e distribuiscono malware.

Alcuni altri tipi di bot dannosi includono raccoglitori di e-mail, web crawler dannosi, cracker di password a forza bruta e bot di riempimento di credenziali o password.

I vantaggi e gli svantaggi dei robot

Come con altre aree della tecnologia, l'utilizzo dei bot può offrire alcuni vantaggi positivi per le persone con obiettivi aziendali legittimi:

• Eseguono attività ripetitive più velocemente di quanto possano fare le persone e senza utilizzare le persone!
• I bot fanno risparmiare tempo umano per le interazioni dirette tra cliente e cliente da persona a persona.
• Sono disponibili a tutte le ore del giorno e della notte.
• Puoi raggiungere molte persone molto rapidamente con i bot.
• La UX (user experience) del servizio clienti migliora drasticamente con i bot.
• Le aziende possono utilizzare l'automazione dei processi robotici (RPA) per semplificare i flussi di lavoro.

D'altra parte,

• I bot basati su regole sono limitati ai compiti e alle capacità della loro programmazione. Impallidiscono rispetto alla fluidità e all'intelligenza dei chatbot basati sull'intelligenza artificiale.
• Anche i chatbot AI spesso "fraintendono" le intenzioni degli utenti e frustrano le persone.
• I criminali utilizzano costantemente i bot per spam e frodi.
• I bot possono essere dannosi se sono programmati per fare del male.
• È difficile convincere le persone a "fidarsi" dei robot, quindi hanno un uso limitato laddove è richiesta un'esperienza relazionale piuttosto che meramente transazionale.

Come faccio a bloccare i bot dannosi in WordPress?

È importante imparare a fermare il traffico bot dannoso che WordPress non può fermare da solo. I bot dannosi rappresentano minacce reali e provocano danni sostanziali ogni giorno. Il tuo sito WordPress è uno dei loro obiettivi e dovresti bloccarli.

I bot dannosi consumano molte risorse del server. Ciò è particolarmente vero se colpiscono continuamente la tua pagina wp-login o altre aree del tuo sito, cercando un modo per entrare.

Bloccandoli, non dovrai affrontare lo stress del server. Potrai risparmiare sui costi di hosting e sulla larghezza di banda. Ciò velocizzerà il tuo sito e preverrà gli attacchi DDoS.

Ecco come iniziare a tenere lontani i bot dannosi:

1. Ottieni il plug-in gratuito iThemes Security

La prima cosa da fare è ottenere il plug-in gratuito iThemes Security. iThemes Security è un plug-in di sicurezza di WordPress che aggiunge ulteriore sicurezza al tuo sito WordPress.

Utilizzando il plug-in iThemes Security, ottieni un registro di sicurezza di WordPress in tempo reale che raccoglie gli eventi di sicurezza sul tuo sito Web, inclusa l'attività dei bot.

Scarica subito iThemes Security

L'utilizzo di un plug-in come iThemes Security per generare i log di sicurezza di WordPress è utile a molti livelli. I registri di sicurezza hanno diversi vantaggi nella strategia generale di sicurezza del sito web.

I registri ti consentono di:

1. Identità e arresto di comportamenti dannosi.
2. Individua attività che possono avvisarti di una violazione della sicurezza.
3. Valutare quanto danno è stato fatto in caso di violazione.
4. Aiutarti nella riparazione di un sito compromesso.

Se il tuo sito viene violato, vorrai le migliori informazioni per supportare una rapida indagine e recupero. Quelle informazioni sono il tuo registro di accesso al server.

2. Ottieni iThemes Security Pro e scegli un CAPTCHA per la registrazione dell'utente, la reimpostazione della password, l'accesso e i commenti

I siti WordPress sono costantemente presi di mira dai bot che tentano di entrare nei moduli di accesso con password rubate o indovinate, inviarti spam da moduli e commenti spam o effettuare scraping e rubare i tuoi contenuti.

Scegli tra molti diversi fornitori di CAPTCHA

Il tornello noCAPTCHA di Cloudflare, hCaptcha di Intuition Machines e reCAPTCHA di Google sono tutte opzioni che hai in iThemes Security Pro per tenere i bot dannosi bloccati fuori dal tuo sito web. Ciascuno di questi CAPTCHA identificherà i tuoi visitatori legittimi e consentirà loro di accedere, effettuare acquisti, visualizzare pagine o creare account. Tutti questi servizi CAPTCHA utilizzano tecniche avanzate di analisi dei rischi per distinguere gli esseri umani dai robot, a volte senza nemmeno sfidare gli esseri umani a dimostrare che non sono un bot. (Il tornello funziona generalmente in modo abbastanza invisibile.)

Per iniziare a utilizzare il servizio CAPTCHA di tua scelta, abilita la funzione CAPTCHA nella pagina Funzionalità › Blocchi in Sicurezza › Impostazioni .

Le tue chiavi CAPTCHA

Il passaggio successivo è selezionare il tipo di CAPTCHA che desideri utilizzare e generare le tue chiavi per esso: dovrai creare un account gratuito con il provider CAPTCHA scelto per ottenere le tue chiavi.

La convenienza di noCAPTCHA

La cosa fantastica di Turnstile di Cloudflare e Invisible reCAPTCHA di Google è che di solito possono rilevare il traffico di bot sul tuo sito web senza alcuna interazione da parte dell'utente. Invece di mostrare una sfida CAPTCHA visibile, monitorano il comportamento dell'agente del browser per determinare se si tratta di un essere umano o di un bot completamente dietro le quinte.

Ora abilita il CAPTCHA scelto nelle schermate di registrazione utente, reimpostazione della password, accesso e commenti di WordPress.

Infine, imposta il numero di CAPTCHA non riusciti necessari per attivare un blocco con la soglia di errore di blocco quando viene utilizzato un test CAPTCHA manuale. È molto probabile che i bot che sondano la schermata di accesso e altri moduli falliscano ripetutamente i test, quindi bloccarli automaticamente è un buon modo per rafforzare la tua lista di blocco.

Dopo l'attivazione, il badge della piattaforma CAPTCHA viene visualizzato nell'angolo in basso a destra di ogni pagina su cui è attivo, per informarti che sei protetto dai bot dannosi.

3. Identifica e blocca automaticamente i bot dannosi con la protezione Brute Force locale di iThemes Security

Entrambe le edizioni Free e Pro di iThemes Security possono vietare automaticamente i bot dannosi e gli utenti che falliscono ripetutamente i tentativi di accesso o utilizzano il nome utente "Admin". Questo è il comportamento tipico dei bot che effettuano tentativi di accesso a forza bruta. Per iniziare a utilizzare la funzione Protezione forza bruta locale , abilitala nella pagina principale della pagina delle impostazioni di iThemes Security Pro. È possibile modificare le impostazioni che determinano la modalità di gestione di questi bot nella schermata Configura › Blocchi › Forza bruta locale .

Riducendo il numero di tentativi di accesso consentiti agli utenti del tuo sito, bloccherai immediatamente gli utenti e i bot che hanno ripetutamente inserito criteri di accesso non validi nella pagina wp-login .

La funzione iThemes Security Pro Local Brute Force Protection tiene traccia dei tentativi di accesso non validi effettuati da un host o indirizzo IP e un nome utente. Una volta che un IP o un nome utente ha effettuato troppi tentativi di accesso non validi consecutivi, verrà bloccato e gli verrà impedito di effettuare ulteriori tentativi per un determinato periodo di tempo.

4. Identifica e blocca automaticamente i bot dannosi con la protezione della forza bruta della rete di iThemes Security

Un modo molto efficace per proteggere il tuo sito da bot dannosi è quello di aderire alla rete di utenti di iThemes che condividono le loro liste di blocco. I bot dannosi bloccati dal tuo sito saranno condivisi e bloccati da altri nella rete e trarrai vantaggio anche dalla ricezione delle loro liste di blocco. Devi solo aderire e non sono necessarie ulteriori azioni da parte tua.

5. Identificare e bloccare manualmente elenchi di bot dannosi

La tua dashboard di iThemes Security ti offre una visualizzazione immediata di importanti informazioni aggiornate, incluso il numero di attacchi di forza bruta tentati e il numero di bot e utenti che sono stati bloccati. Questa è una visualizzazione visiva delle informazioni raccolte nel registro conservato da iThemes Security.

Acquisisci familiarità con i tuoi registri di sicurezza

Prenditi qualche minuto per osservare il registro di sicurezza in Sicurezza › Registri . Probabilmente vedrai molti blocchi (errati tentativi di accesso) e rilevati tentativi di accesso a forza bruta.

iThemes Security cerca richieste sospette o dannose che si distinguono. I bot che colpiscono ripetutamente il tuo sito non sembrano normali richieste del browser gestite dall'uomo. Tendono ad essere ripetitivi. Se un IP sta effettuando un numero di richieste superiore alla media o le richieste vengono ripetute regolarmente dallo stesso IP (come ogni ora in punto), è molto probabile che si tratti di un bot. Puoi cercare su Google i loro nomi host e cercare i loro IP per saperne di più su di loro e confermare se sono benigni o dannosi.

Aumenta il tempo di blocco e bandisci i recidivi

Molti degli IP host bloccati e vietati appariranno ripetutamente. Potresti volerli vietare per periodi di tempo più lunghi nelle impostazioni di blocco e soglia di divieto.

Ban permanentemente grandi elenchi di IP non validi

Puoi anche bannare permanentemente molti IP con il widget Utenti bannati sulla dashboard di iThemes Security. Fai solo attenzione: un elenco molto lungo può rallentare il tuo server.

Ban permanentemente grandi elenchi di agenti utente dannosi

Il blocco di agenti utente dannosi è un modo efficace per inserire nella lista nera i bot noti. Questa è anche una parte delle funzionalità di divieto degli utenti di iThemes Security.

Novità con iThemes Security: blocco dei bot con zero attriti e migliore privacy — Guarda la replica del webinar:

Bloccare i bot dannosi in WordPress renderà la tua vita più facile

Se sei stato proprietario di un sito WordPress per un certo periodo di tempo, quasi sicuramente hai avuto a che fare con bot dannosi che attaccano il tuo sito. In questo eBook troverai alcuni semplici consigli per prepararti a un futuro più sicuro. Scopri come bloccare i bot dannosi e altre tecniche di sicurezza per rendere il tuo sito web un obiettivo più difficile.

Il miglior plugin di sicurezza per WordPress per proteggere e proteggere WordPress

WordPress attualmente alimenta oltre il 40% di tutti i siti Web, quindi è diventato un facile bersaglio per gli hacker con intenti dannosi. Il plug-in iThemes Security Pro elimina le congetture dalla sicurezza di WordPress per semplificare la sicurezza e la protezione del tuo sito Web WordPress. È come avere un esperto di sicurezza a tempo pieno nello staff che monitora e protegge costantemente il tuo sito WordPress per te.

Ottieni iThemes Security Pro

Dan Knauss

Dan Knauss è il Technical Content Generalist di StellarWP. È scrittore, insegnante e libero professionista che lavora nell'open source dalla fine degli anni '90 e con WordPress dal 2004.