Lean Bunker Security – WordPress Plugin

🔒 1. HARDENING DI BASE E DISABILITAZIONE DI FUNZIONI NON ESSENZIALI

✅ Disabilitazione REST API per utenti anonimi

• Funzione: maybe_restrict_rest_api()
• Cosa fa: Blocca tutti gli endpoint REST API se l'utente non è autenticato.
• Opzionale: Attivabile/disattivabile via opzione disable_rest_api_anonymous.
• Compatibilità: Mantiene gli endpoint per amministratori o utenti loggati (se configurato).
• Estensione: maybe_remove_rest_users() rimuove l’endpoint /wp-json/wp/v2/users per evitare enumerazione utenti.

✅ Disabilitazione Gutenberg e dipendenze

• Funzioni:
  • optimize_gutenberg()
  • advanced_gutenberg_optimization()
  • disable_block_recovery()
• Cosa fanno:
  • Rimuovono completamente l’editor a blocchi (Block Editor).
  • Disattivano script, stili, recovery mode e dipendenze JS/CSS correlate.
  • Evitano il caricamento di wp-block-library, wp-edit-post, ecc.
• Risultato: Nessun bloat frontend/backend legato a Gutenberg.

✅ Disabilitazione Heartbeat API

• Funzione: disable_heartbeat()
• Cosa fa: Disabilita del tutto l’API Heartbeat (wp_ajax_nopriv_heartbeat, wp_ajax_heartbeat).
• Motivo: Riduce richieste AJAX inutili, carico del server e potenziali vettori di attacco.

✅ Pulizia pannello di amministrazione

• Funzioni:
  • maybe_clean_dashboard()
  • optimize_admin_interface()
  • simplify_post_columns()
• Cosa fanno:
  • Rimuovono widget inutili dalla dashboard.
  • Nascondono colonne superflue (es. “Autore”, “Commenti”) nell’elenco articoli/pagine.
  • Ottimizzano l’interfaccia per utenti tecnici o minimalisti.

✅ Disabilitazione editor temi/plugin (in backend)

• Funzione: maybe_disable_theme_editor()
• Cosa fa: Rimuove l’editor di codice integrato in WordPress (theme-editor.php, plugin-editor.php), bloccando modifiche accidentali o malevole via web.

🛡️ 2. FIREWALL E PROTEZIONE DA INPUT PERICOLOSI

✅ Firewall per query dannose (WAF runtime)

• Funzione: firewall_query_protection()
• Cosa fa: Scansiona tutti gli input ($_GET, $_POST, $_COOKIE, $_REQUEST) in cerca di pattern sospetti.
• Pattern bloccati:
  • SQL Injection (UNION SELECT, information_schema, load_file, into outfile)
  • XSS (<script>, javascript:, onload=, onerror=)
  • Remote File Inclusion (../, ././, /etc/passwd)
  • Esecuzione codice (eval(), system(), exec(), shell_exec(), assert())
  • Accesso a file sensibili (wp-config.php, .sql, adminer, phpmyadmin)
  • Tentativi di enumeration o accesso non autorizzato
• Comportamento: Se rilevato un pattern → HTTP 403 + terminazione (wp_die()).

✅ Rilevamento brute-force e rate limiting (se implementato)

• Funzioni helper (definite globalmente):
  • lean_bunker_increment_counter() → limita tentativi per IP.
  • lean_bunker_block_ip() / lean_bunker_is_ip_blocked() → blocco temporaneo IP (15 min).
• Utilizzo: Può essere collegato a login, XML-RPC, o altri endpoint critici.

🔐 3. PROTEZIONE DEI FILE ESPOSTI

✅ Blocco esecuzione in directory sensibili

• Sebbene non modifichi .htaccess, il plugin:
  • Impedisce l’accesso diretto a file critici tramite controlli runtime (es. in mu-plugins o via hook).
  • Può integrare regole di protezione per:
    • /wp-content/uploads/
    • /wp-content/debug.log
    • /wp-config.php (se esposto per errore di configurazione server)

🔍 Nota: la protezione completa dei file richiede anche regole server-side; il plugin offre un layer aggiuntivo.

🌐 4. SECURITY HEADERS (CSP, HSTS, COOP, COEP, CORP)

Dalla versione 1.0.9 safe alcune opzioni sono state rimosse per permettere l'uso anche a utenti meno esperti

✅ Implementazione granulare di header di sicurezza

• Funzione: (tipicamente in enhance_security() o modulo separato)
• Header supportati:
  • Content-Security-Policy (CSP):
    • Configurabile via campo testuale in admin.
    • Sanificato con lean_bunker_sanitize_csp_policy() per evitare XSS nella policy.
  • Strict-Transport-Security (HSTS):
    • Forza HTTPS dopo il primo accesso.
  • Cross-Origin-Opener-Policy (COOP):
    • same-origin → isola il contesto di esecuzione.
  • Cross-Origin-Embedder-Policy (COEP):
    • require-corp → blocca risorse cross-origin non esplicitamente autorizzate.
  • Cross-Origin-Resource-Policy (CORP):
    • same-origin → impedisce il caricamento di risorse da altri siti.
• Flessibilità: Ogni header è attivabile/disattivabile singolarmente.

🧩 5. GESTIONE CENTRALIZZATA DELLE OPZIONI

✅ Architettura singleton con persistenza

• Classe principale (Lean_Bunker_Plugin o WP_Lean_Bunker) usa singleton pattern.
• Opzioni salvate in wp_options con chiave lean_bunker_settings.
• Ogni feature ha una chiave booleana (es. disable_rest_api_anonymous, block_dangerous_queries).

✅ Interfaccia amministratore

• Funzione: add_admin_page()
• Cosa offre:
  • Pannello dedicato in WP Admin.
  • Checkbox per ogni funzione.
  • Possibilità di salvare/aggiornare le impostazioni.
  • (In versioni future) pulsante per applicare/rimuovere regole .htaccess (se integrato).

🧪 6. COMPATIBILITÀ E BEST PRACTICES

• Nessun uso di short tag PHP (<?=): solo <?php echo ....
• Sanificazione rigorosa: sanitize_text_field(), wp_unslash(), wp_strip_all_tags().
• Compatibilità multisito: supporto a get_current_blog_id() e network-wide activation.
• Internazionalizzazione: Text Domain: lean-bunker per traduzioni future.
• Licenza GPL-3.0+: conforme agli standard WordPress.org.

📦 7. MODULARITÀ E FUTURA ESTENSIBILITÀ

• Il codice è strutturato per permettere l’aggiunta di moduli separati, es.:
  • lean-bunker-disable-feeds
  • lean-bunker-disable-comments
  • lean-bunker-security-headers
• Il plugin principale agisce da core, mentre funzionalità specifiche possono essere estratte in plugin autonomi o mu-plugins.