Download CMS gratuito: scaricalo in modo sicuro, evita il malware

L'infezione più grave che abbia mai ripulito non arrivava da un hacker. Arrivava da un file ZIP. Il proprietario di un piccolo negozio aveva scaricato un tema WordPress 'premium' da un sito che prometteva temi a pagamento gratuiti, e undici mesi dopo la pagina di checkout ha iniziato a skimmare i numeri delle carte di credito. Il CMS era pulito. L'involucro intorno al download non lo era. Un download CMS gratuito è davvero gratuito e davvero sicuro, ma solo se arriva dal posto giusto e se dedicate due minuti a verificarlo. Ecco come faccio entrambe le cose.

Da dove arriva davvero un download CMS gratuito sicuro

Ogni CMS gratuito e legittimo ha esattamente una casa canonica, e non è mai un sito con 'free downloads' nel nome. Il dominio ufficiale del progetto, su HTTPS, è l'unica regola. Tutto il resto, siti aggregatori, 'portali di download CMS', mirror sui forum, è un re-upload di provenienza sconosciuta con extra sconosciuti inseriti dentro.

• WordPress: solo wordpress.org. Non 'wp-free-downloads', non un link in un articolo, non un torrent.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, dalla pagina delle release o tramite Composer.
• Grav, Pico, Bludit, WonderCMS: il sito ufficiale del progetto o la pagina delle release su GitHub.
• Temi e plugin: la directory ufficiale sul sito del CMS, oppure lo store dello sviluppatore.
• Anche Composer, npm o i pacchetti della tua distribuzione vanno bene: scaricano dalle stesse fonti canoniche con i checksum allegati.

Un indizio di cui mi fido: i siti dei progetti reali sono un po' noiosi. Una pagina di download che urla con tre pulsanti 'DOWNLOAD NOW' lampeggianti sta pubblicizzando adware, e due di quei pulsanti appartengono a qualcun altro. Un'altra buona abitudine: digita tu il dominio o usa un segnalibro creato dopo averlo verificato una volta, invece di cliccare sul primo risultato di ricerca. Il malvertising, annunci a pagamento che imitano le pagine di download ufficiali, è un vero canale di distribuzione, e la pagina falsa spesso appare sopra quella vera nei risultati.

Build nulled: il lato oscuro dei download gratuiti

'Nulled' indica un tema, plugin o estensione CMS premium piratato a cui è stato rimosso il controllo di licenza. Qualcuno compra un plugin da $59, rimuove il codice di attivazione e lo distribuisce gratis. Fate la domanda ovvia: perché uno sconosciuto dovrebbe spendere soldi per regalarti qualcosa? Perché il payload è il prodotto. Il pacchetto aggiunge silenziosamente backlink nascosti per reti di spam SEO, una backdoor admin per dopo, o un iniettore che si attiva mesi dopo l'installazione, molto tempo dopo che avete smesso di associarlo a quel download.

Il negozio WooCommerce di un cliente ha usato un plugin slider nulled per quasi un anno senza problemi visibili. Poi lo skimmer per carte di credito si è attivato a scadenze regolari. La bonifica, analisi forense, reset forzati delle password, controversie con il gestore dei pagamenti, è costata circa quaranta volte il prezzo della licenza del plugin. Download gratuito, lezione costosa.

• Campanello d'allarme: siti che offrono temi o plugin premium '100% gratuiti, licenza GPL, controllo antivirus'.
• Campanello d'allarme: uno ZIP i cui nomi delle cartelle interne non corrispondono alla struttura ufficiale della release.
• Campanello d'allarme: un installer che chiede di disattivare l'antivirus 'per compatibilità'.
• Campanello d'allarme: qualsiasi cosa descritta come 'pre-attivata' o 'senza licenza necessaria'.
• Campanello d'allarme: link di download che passano per accorciatori di URL, file locker o pagine con countdown.

Cosa fanno davvero le infezioni con il vostro sito? Per lo più lo 'affittano'. Le reti di spam comprano link iniettati a migliaia per sostenere il ranking di farmaci e casinò. Gli operatori di botnet aggiungono il vostro server al loro pool per attacchi DDoS. Le bande di skimmer aspettano in particolare i negozi, perché le pagine di checkout sono dove vivono i numeri delle carte di credito. Il vostro piccolo blog di cinque pagine non è troppo poco per loro: è una merce con un prezzo di mercato di pochi dollari, e l'infezione è completamente automatizzata.

Cosa controllare prima di eseguire un download di CMS gratuito

Trenta secondi di verifiche prima di aprire qualsiasi ZIP vi risparmieranno weekend. La mia checklist pre-installazione, in ordine:

1. Il dominio corrisponde al sito ufficiale del progetto, lettera per lettera. Occhio a caratteri scambiati come 'wordprress'.
2. Il numero di versione che state ottenendo esiste nelle note di rilascio ufficiali o nel changelog del progetto.
3. Il progetto è attivo: commit, release o post sulla sicurezza negli ultimi dodici mesi.
4. Un checksum o una firma è pubblicato insieme al file, un hash SHA-256, una firma GPG, o entrambi.
5. L'archivio contiene un file di licenza che dice quello che vi aspettate: GPL, MIT o simili.
6. Nessuno nel forum ufficiale del progetto o nel tracker dei problemi sta avvertendo sulla release attuale.

Verificare i file scaricati

I checksum sembrano una cosa da nerd e richiedono dieci secondi. Su Windows, aprite un terminale nella cartella dei download e lanciate: certutil -hashfile filename.zip SHA256. Su macOS: shasum -a 256 filename.zip. Su Linux: sha256sum filename.zip. Confrontate l'output con l'hash sulla pagina di download ufficiale, carattere per carattere. Se corrisponde, il file è esattamente quello pubblicato dal progetto. Se non corrisponde, cancellatelo e riscaricatelo dalla fonte, non indagate oltre, non 'provatelo comunque'.

Altri due controlli veloci. Primo, caricate lo ZIP su uno scanner multi-engine come VirusTotal prima di aprirlo. Secondo, date un'occhiata all'elenco dei file: un core CMS dovrebbe essere PHP, template e asset. File.exe casuali, blob base64 offuscati inseriti nelle cartelle dei temi, o file con nomi tipo 'license-keygen.php' sono il segnale per andare via.

Installare su hosting reale senza rompere nulla

La maggior parte delle installazioni rovinate fallisce per dettagli noiosi, non per malware. Controllate la versione PHP richiesta dal CMS rispetto a quella effettivamente in esecuzione sul vostro hosting, gli host adorano di default usare qualcosa di antico. Create un database nuovo con un suo utente e una password robusta, e non riutilizzate mai lo stesso utente del database su più siti: una violazione in uno li possiede tutti. Cambiate il prefisso delle tabelle del database dal valore di default durante l'installazione, scegliete un nome admin che non sia 'admin', e conservate le credenziali in un password manager, non su un post-it.

Dopo che l'installer termina: eliminate la cartella di installazione se ne lascia una, impostate le cartelle a 755 e i file a 644, e verificate che il sito si carichi su HTTPS prima di toccare qualsiasi altra cosa. Se il CMS lo permette, spostate il file di configurazione sopra la web root.

Una nota sugli installer one-click come Softaculous, che la maggior parte degli hosting condivisi include: sono una via di mezzo legittima. Recuperano le release dalle fonti ufficiali, gestiscono la creazione del database e impostano permessi ragionevoli, abbastanza per la maggior parte delle persone, e molto più sicuri di un portale di download casuale. Il compromesso è il controllo: otterrete le versioni che l'host ha pacchettizzato, a volte una o due release indietro. Per una prima installazione, prendetevi la comodità. Per qualsiasi cosa che genera ricavi, imparate prima o poi la procedura manuale, così saprete esattamente cosa c'è sul vostro server.

Dopo il download del CMS gratuito: la prima ora di configurazione

1. Aggiornate tutto immediatamente, il core potrebbe essere una versione minore indietro rispetto alla patch attuale.
2. Eliminate contenuti di default, post di esempio e temi e plugin inclusi non usati. Il codice morto è superficie d'attacco.
3. Impostate backup automatici dal primo giorno, su un posto diverso dallo stesso server.
4. Forzate HTTPS e reindirizzate ogni richiesta HTTP.
5. Attivate la protezione del login: autenticazione a due fattori dove offerta, rate limiting dove no.
6. Annotate la vostra procedura di ripristino, come ricostruireste questo sito da zero, finché è fresca.

E un trucco che vale la pena conoscere: se il motivo per cui volete un download di CMS gratuito è gestire un sito ripristinato dal Wayback Machine, potete saltare del tutto il download. I deploy di Restorix includono un CMS gratuito in un singolo file su /webarchive-cms.php, modifica dei contenuti, cerca-e-sostituisci e file manager, con safe mode attivo di default e una password admin generata casualmente per ogni sito. Nessun installer, nessun database, nulla scaricato da nessuna parte, il che aggira l'intero articolo. Il flusso di ripristino è nel tutorial.