Vi ricordiamo i premi:

• il titolo di sito del mese, con visibilità sul nostro sito in homepage e nell’apposita sezione
• un banner 125×125 nella sidebar del sito
• una copia digitale dell’ebook di Laura Gargiulo “Consigli di webdesign base“
• 20 credits di www.istockphoto.com

Wp è nato come tutti sanno come cms per creare blog ma, soprattutto dopo gli aggiornamenti degli ultimi anni, gli sviluppatori hanno apportato delle modifiche che consentono di utilizzarlo per creare siti aziendali, portfolio, ecommerce, insomma per tutti i tipi di siti.

La cosa essenziale quando si imposta un sito “non blog” con wordpress è di togliere quell’aspetto di articoli singoli + le pagine che fanno da contenitore come le categorie e la home. Infine è essenziale creare diverse pagine diciamo “statiche” e di relegare l’eventuale blog ad una sezione ben definita.

Quindi entrando nell’home avremo del contenuto personalizzato, inserito da noi, come testo, immagini e quant’altro e non la solita lista degli ultimi post.

Passiamo subito alla pratica che in questo caso è molto più semplice della teoria.

Creiamo per adesso 2 pagine e le chiamiamo una Home e l’altra Blog. Possiamo inserire del testo come esempio.

L’operazione cruciale da fare è questa:

• andare su Impostazioni -> Lettura
• impostare come prima pagina quella appena creata con nome Home
• impostare come “raccoglitore” di tutti i post l’altra pagina creata con nome di Blog.

Praticamente il lavoro è fatto!

Infatti se andiamo nell’homepage del nostro sito ci troveremo di fronte alla pagina Home, con il contenuto che abbiamo inserito.
Mentre la serie degli ultimi post sarà visibile andando su Blog.

Bene da qui possiamo continuare a realizzare il nostro sito con wp, e quindi creare le altre pagine, ecc.
Un’altra cosa su cui prestare attenzione è che se non vogliamo commenti e trackback sulle pagine statiche (di solito è così) dobbiamo disattivare i commenti dall’editor della pagina in oggetto.

Ovviamente se proprio non vogliamo tenere nessuna sezione come blog basterà andare a togliere la pagina Blog oppure non renderla visibile nel menu del sito.

Quindi per impostare una home personalizzata in wp basta creare una pagina apposita e selezionarla come homepage.
Non occorre quindi andare a duplicare il file index.php contenuto nella cartella del tema in uso e non serve andare a creare fisicamente nuovi file andando a modificare il codice sorgente di wp.

Bene abbiamo visto quant’è semplice impostare un sito con wp e creare la nostra home personalizzata, insieme alle altre pagine. Per gestirle al meglio e per avere il massimo controllo del nostro sito statico dobbiamo utilizzare anche i menu personalizzati.

Quanti se lo sono chiesti per curiosità o perché pensavano seriamente di vendere un dominio o un progetto editoriale?

Negli ultimi tempi come sapete mi sono industriata molto su questo argomento, e ho scoperto un mondo, di cui vi renderò partecipi.

Ci sono molti strumenti più o meno automatici online che valutano un dominio, basta googlare per trovarne a bizzeffe. La cosa che più vi sorprenderà è che potrete facilmente saltare da un valore iniquo di 30$ finanche a 100.000$. Niente di tutto ciò, come sempre la verità sta nel mezzo.

Il passaggio successivo è stato quello quindi di iscrivermi a qualche forum del settore in cui si disquisisce sul valore di un dominio+sito in base al numero di utenti, di iscritti facebook, etc…anche qui un altro buco nell’acqua. Sarà forse l’italianità, il non realizzare le vere potenzialità di un sito, o il fatto che poi tanto esperti gli utenti del forum non lo erano, mi sono state riferite delle cifre che mi hanno scoraggiata a lungo.

Finché non ho deciso di rivolgermi a degli esperti, che hanno anche un marketplace serio di acquisto/vendita/parking di domini: Sedo. Con soli 50€ infatti, puoi richiedere un servizio professionale di valutazione del solo dominio. Un consulente, che già conoscevo tra l’altro perché ho collaborato con loro tempo fa, mi ha persino telefonata per spiegarmi i parametri in base ai quali compiono queste valutazioni, e scoprendo che il solo dominio italianwebdesign.it vale 1.500€, utenti iscritti o no. Un discreto valore no?

Tornando a parlare di un ipotetico sito Xxx.it, a questo va aggiunto ovviamente tutto il lavoro svolto negli anni, gli utenti sui vari social, che pure hanno un valore, nonché gli sponsor paganti e tante altre piccole cose. Queste invece mi sono state valutate da un collega esperto del settore che a fronte di un altro piccolo investimento mi ha fatto un’analisi altrettanto puntigliosa sui punti forza del sito e sulle potenzialità future (valore aggiunto). Questo valore in teoria andrebbe moltiplicato per 2 o 3 volte (se non di più) per compensare i guadagni mancati dei seguenti due o tre anni, supponendo che il sito si sostenga da solo.

Detto fatto, una volta compiute queste analisi, supponendo la vendita del sito Xxx.it, bisogna sempre scontrarsi con la realtà. Difficilmente un privato acquisterà un sito per il valore complessivo del dominio  + sito + valore potenziale aggiungendo poi anche le tasse. Solo una grande azienda, che non sia però già impegnata in progetti editoriali simili, potrebbe rilevare la vostra attività per il valore desiderato. Ipotizziamo 1000 euro di dominio + (1.500 x 2 ) = 3.000 euro di valore effettivo + potenzialità di 5.000 euro in più all’anno con la giusta spinta. Avremmo un totale di ben 9.000 euro, alla quale aggiungiamo le tasse a seconda della rispettiva fatturazione. Ne vien fuori almeno una fattura da 12.000 euro+iva. E quale privato ha questa cifra da spendere?

Detto ciò, ciascuno deve valutare se il progetto è talmente importante e personale da non poterlo lasciare andare, se invece le necessità economiche permettono di accontentarsi della metà del valore senza rimpianti, o se avete intrapreso la strada della compravendita domini in modo serio, valutare a quel punto che ogni cifra superiore a tot è tanto di guadagnato. Ma il semplice dominio, soprattutto se non è molto popolare in una comunità, ha bisogno di un marketplace per essere venduto. Anche qui Sedo ha la sua offerta, ma ipotizzate di metterci sempre domini con un valore superiore ai 1000 euro, poichè 250 se ne vanno solo per il cambio intestatario e considerate poi la percentuale per Sedo.

Detto ciò, buona compravendita a tutti!

Cosa fanno sui nostri siti?

Spesso questi attacchi permettono ai malfattori di avere il pieno accesso al nostro server (o piano hosting).

Solitamente le operazioni che svolgono sono:

• Inserimento pagina html “Guarda che bravo” -  è la cosa meno pericolosa, in pratica questi inseriscono una pagina (spesso la index.html) con scritto cose del tipo “Sito hackerato da nome-deficiente” questo serve loro per dichiarare di aver hackerato il sito. Ci sono delle specie di classifiche online (indonesiandefacer.org oppure rankmyhack.com) dov’è possibile gareggiare bucando più siti possibile. Se il vostro finisce qui… meglio darsi una mossa a riparare il problema! In questo caso a volte basta cancellare la pagina html e cambiare tutte le password, ma una controllatina è d’obbligo.
• Inserimento editor php per il controllo server – qui la cosa si fa seria perché ci sono degli script che se inseriti permettono danno il pieno accesso al nostro hosting. Lascio  a voi immaginare cosa possono fare e lascio a voi immaginare il tempo per verificare tutti i file.
• Invio email  - molto grave infatti possono utilizzare le email per fare spam e bloccarvi il servizio hosting.
• Codice malware – anche questo è molto grave: il vostro sito diventa esso stesso un diffusore di virus (mai visto google che blocca i “siti dannosi per il vostro pc”? )
• Pagine pishing – beh qui si va sul pesante. Unito all’invio dell’email vi può anche creare problemi legali. Se trovate delle pagine che ricalcano quelle di banche o che comunque richiedono dati sensibili è meglio che fate una denuncia contro ignoti (sempre che non le abbiate messe voi !;-) )

Meglio evitare WordPress

Essendo WordPress un progetto open source è ancora più “teoricamente” vulnerabile. Infatti tutto il codice di wp è di dominio pubblico. Tutti possiamo leggerlo, capirlo e, trovare le falle!
Se poi aggiungiamo temi e plugin programmati male, le probabilità di intrusione aumentano.
Ma allora WordPress è da evitare? WordPress non è sicuro??

Certo che no! Solamente da sviluppatori di siti dobbiamo prestare attenzione ad alcuni particolari e lavorare con criterio. E’ meglio spendere qualche soldo in più in sicurezza (in termini di tempo lavorativo). Perché, come molti sanno, dopo che il sito è stato attaccato e bucato, le rogne sono molte e fanno perdere molto tempo (=denaro).
Quindi la regola del “prevenire è meglio che curare” in questo caso è valida più che mai.

Generalmente bisogna avere wordpress, temi e tutti i plugin sempre aggiornati, usare password abbastanza lunghe (e conservarle in posti sicuri), un po’ di buon senso e… i giusti plugin!

Le regole base per la sicurezza WP

Vediamo quali sono le regole per mantenere sicuro un sito realizzato con WordPress (ma che andrebbero bene anche per il resto di cms).

• cancellare l’utente admin – esatto cancellatelo, o non dategli pieni poteri. Per amministrare il sito utilizzate un altro user. Questo perché se il backend di wp è attaccato con un brute force (e se l’utente amministratore è admin) hanno già più possibilità di entrare, infatti partono già sapendo uno dei due dati necessari al login.
• usare password lunghe – questa è un assioma per tutti gli informatici ma che il 99% non segue. Usate password lunghe almeno dieci caratteri e composte da tutti i tipi di caratteri (potete aiutarvi con questo tool). Io uso cose del genere trA=rad@Za?529+2 maniaco?
• il prefisso _wp non va bene – stessa cosa come per l’utente admin, è meglio modificare il prefisso delle tabelle che utilizza WordPress. In un attacco sql injection infatti la maggior parte delle istruzioni è indirizzata alle tabelle standard di wp. Basta che durante l’installazione scrivete 3 o 4 lettere inventate. Se wp è già installato dopo vedremo come modificare il prefisso.
• occhio ai temi – usare temi conosciuti e aggiornati è d’obbligo. Meglio  anche spendere qualcosa  per comprare un buon tema. Occhio ai temi che scaricate illegalmente, per prima cosa non si fa, secondo potrebbero aver modificato il codice aggiungendo script malevoli.
• update – dovete sempre aggiornare wordpress, plugin e temi. Questo perchè in alcuni di essi vengon scoperti dei bug che potenzialmente possono essere usati dai nostri amici. Esempio: quest’estate c’è stato un putiferio per via di una falla trovata in uno script che ridimensiona le immagini (vi dice niente timthumb.php? ). Quindi restate aggiornati anche voi, sempre in allerta!

Superfluo dire di salvarsi le password su un posto sicuro.
Qui il campo è vario e lascio a voi la scelta della soluzione migliore (software o vecchio e caro documento di testo).
Anche il nostro computer deve essere un posto sicuro, soprattutto se all’interno abbiamo dati delicati anche di clienti.
Faccio solo un esempio: filezilla salva in chiaro le password dell’ftp. Quindi un malware installato può leggerle  e inviarle ai nostri amici.

I plugin che mettono in sicurezza WordPress

Passiamo ora a vedere quali sono i plugin migliori per rendere sicuro WordPress.
Ce ne sono vari dalle varie funzionalità. Uno dei più completi e versatili è senza subbio Better WP Security.
Esso fa un check generale al sito e individua tutti i possibili problemi, permettendoci di correggerli.

Dopo averlo installato, e dopo avervi chiesto se volete fare il backup, siamo di fronte a questa schermata.

Qui abbiamo varie voci che segnalano i possibili problemi. Possiamo fare molte cose, tra le più importanti:

• modificare l’user admin
• cambiare il prefisso della tabella del database
• aggiungere a .htaccess moltissimi controlli che bloccano gli accessi indesiderati.
• attivare un controllo sul login (per evitare brute force)
• blocco preventivo di ip che richiedono troppe volte pagine inesistenti
• blocco delle url lunghe (che spesso sono usate per gli attacchi)
• rendere i file .htaccess e wp-confing.php non scrivibili
• togliere informazioni importanti del nostro sito che possono essere usate per l’attacco (esempio  la versione di wp in uso)

Poi ci sono altre features che a mio avviso sono meno importanti ma che comunque possono servire:

• possibilità di attivare il backend solo in certi orari e in certi giorni
• obbligare gli nuovi utenti ad usare password sicure
• togliere gli avvisi di aggiornamento dal backend (a chi non è amministratore)
• disattivare il file editor del backend

Attenzione: questo plugin ha anche la possibilità di nascondere l’admin. A me ha dato dei problemi e personalmente preferisco utilizzare un altro plugin che vedremo dopo.

Un altro plugin potente, ma meno completo, è BulletProof Security . Principalmente modifica  il file .htaccess aggiungendo molte regole che blindano wp rendendolo immune a molti attacchi.

Poi permette anche di creare un .htaccess per la cartella dell’admin wp-admin.
Infine è possibile anche eseguire backup del sito.

Attenzione perché alcuni controlli sul .htaccess bloccano l’utilizzo di script ad esempio che creano thumbnail. Quindi ogni volta ch modifichiamo il file .htaccess tramite questi plugin, verifichiamo sempre se il sito funziona in tutte le sue funzionalità.

Ora voglio parlarvi di Lockdown WordPress Admin e di come questo semplice plugin permetta di nascondere l’admin. Di base infatti per raggiungere il backend basta andare su /wp-admin.
Con questo plugin questa pagina porterà a un bel 404.

Ovviamente noi prima dobbiamo aver impostato un’altra pagina dove effettuare l’accesso. Un alians che possiamo scegliere in libertà tipo /amministrazione o /backend. Io preferisco sempre delle lettere a caso. Questo plugin funziona sempre tramite .htaccess quindi se per caso (come me) perdete l’alias di accesso, basta cancellare la regola oppure anche tutto il file .htaccess per rimettere in funzione la solita pagina di login.

Per ultimo presento File Monitor Plus, un plugin che verifica ogni giorno tutti i file che vengono modificati, cancellati o aggiunti. Quindi è un check aggiuntivo per il nostro sito wp. Un’email vi avvisa di tutti i file modificati per cui se qualcuno manomette wp ce ne accorgiamo subito.
Possiamo ovviamente impostare di non verificare file come le immagini.

E’ un controllo aggiuntivo ma in alcuni casi è molto utile.

Bene abbiamo visto le pratiche più comuni e semplici che è bene tenere a mente quando si creano siti con wp, insieme ai plugin che mettono in cassaforte il nostro sito.

E tu, hai già pensato alla sicurezza di WordPress? Hai mai subito attacchi?

Image Credit: Arvind Balaraman (FreeDigitalPhotos.net)

Vuoi partecipare anche tu il prossimo mese? Scopri come candidarti!

Ricordiamo che il premiato di oggi vince:

• il titolo di sito del mese, con visibilità sul nostro sito in homepage e nell’apposita sezione
• un banner 125×125 nella sidebar del sito
• una copia digitale del mio ebook “Consigli di webdesign base“
• 20 credits di www.istockphoto.com

e tu? Hai il coraggio di metterti in gioco?

iStockphoto non poteva mancare l’appuntamento con Webfest, ed organizzerà 2 workshop con tema il Brand aziendale e la vendita di immagini.

La manifestazione è nata con l’intento di radunare coloro che considerano il Web molto più di una tecnologia da usare, ponendo al centro del dibattito proprio il lavoro e la vita di chi si occupa del ‘Mestiere del Web’.
Il perché ce lo spiega Nicola Ghezzi, Director, International Marketing, Italia e Spagna, Getty Images: “iStockphoto si colloca in prima linea in questo contesto perché condivide la filosofia del festival che le molteplici forme del Web sono accomunate dalla creatività, dai sogni e dalla passione delle persone che lo popolano e lo sviluppano”.

Proprio questi sono i valori che iStockphoto porterà con sé a Pescara, proponendo due workshop tematici. Il primo rivolto alle aziende, mentre il secondo agli appassionati di fotografia, musica e video:

“Bene, bravo, brand” il 10 maggio 2012, ore 15:00 in cui Nicola Ghezzi illustrerà le tendenze recenti nel visual branding e l’importanza dell’uso delle immagini su Internet nella promozione del proprio brand, supportato da una case history relativa ad un’importante agenzia pubblicitaria;
“Da grande farò il contributor“ l’11 maggio 2012, ore 12:00 in cui due top contributor italiani racconteranno la loro esperienza di iStocker e come sono riusciti a trasformare la loro passione in una fonte di guadagno.

Ma le occasioni di immergersi nel mondo iStockphoto non finiscono qui; nella tre giorni pescarese, infatti, troverà spazio anche una mostra tutta dedicata alle immagini dall’esclusiva collezione Vetta, la raccolta dedicata ai migliori contenuti iStockphoto. Dal termine italiano indicante la cima, i file di questa collezione sono il frutto del lavoro di contributor altamente selezionati da editor esperti: ogni lavoro viene attentamente controllato in termini di direzione artistica, esecuzione del concetto e individualità del risultato.

Vi ricordiamo i premi:

• il titolo di sito del mese, con visibilità sul nostro sito in homepage e nell’apposita sezione
• un banner 125×125 nella sidebar del sito
• una copia digitale del mio ebook “Consigli di webdesign base“
• 20 credits di www.istockphoto.com

L’azienda si chiama Metrorail Studio, ospita professionisti giovani e intraprendenti. Si occupa della realizzazione e gestione di progetti personali, in particolare portali con grande traffico di utenti.

Preferiamo un contratto come dipendente, ma accettiamo anche collaborazioni freelance.

Per chi fosse interessato inviare un e-mail con oggetto “Web Designer Senior” all’indirizzo amiratidesign@gmail.com . Mi raccomando, specificare il portfolio dei propri lavori.

A prova dell’estrazione ecco lo screen di random.org, complimenti ancora!

Il libro entra nel dettaglio sul nostro modo di mangiare, di dormire, di lavorare, e personalmente mi ha chiarito la testa da alcuni falsi miti e dato suggerimenti pratici che stanno funzionando.

1. dormire sempre a sufficienza. se non lo si è potuto fare, lavoro permettendo e capo permettendo, prevedere un riposino pomeridiano (e noi freelance si sa, possiamo farlo)
2. non mangiare pesante a pranzo, ma integrare con molti carboidrati che hanno un lungo rilascio durante la giornata. fare possibilmente una merenda a metà mattina e metà pomeriggio per non arrivare stremati e senza energie a pranzo o cena
3. il multitasking non esiste. è un falso mito creato dalla tecnologia. ma appunto, un computer può esserlo, non noi, che per passare da un lavoro ad un altro perdiamo preziosi minuti di tempo perché la concentrazione cala inevitabilmente. pertanto: una cosa alla volta! magari distribuite la giornata in più tasking ma evitare di fare più cose contemporaneamente: inevitabilmente riuscirete a malapena a finirne una, con conseguente frustrazione ed errori negli altri tasking attivati
4. fate pause anche frequenti, modulando il lavoro in periodi che vanno dalla mezz’ora ai 90 minuti (periodo entro il quale è testato che riusciamo a mantenere la concentrazione). oltre, fate una pausa. noterete di essere più produttivi in quella mezz’ora che in 8 ore di lavoro continuativo. provare per credere.
5. eliminate tutte le notifiche di ricezione di email possibili, ma dedicate alla posta solo alcuni momenti della giornata. non muore nessuno se rispondete dopo qualche ora, è solo un falso impulso creato nel nostro cervello.

Sto lavorando così da poco tempo a questa parte. L’impressione è di essere più produttiva, quando sto davanti al computer produco e non cazzeggio, pratica che non mi viene neanche più tanto spontanea se non negli orari di calo fisiologico (prima e dopo pranzo, la sera….)

Il libro spiega nello specifico tutti i curiosi studi ed esperimenti che hanno portato alle teorie di cui io ho fatto un breve sunto, ma è un libro che bisogna leggere, assolutamente.