Codice e blocco
Il sito continua a chiedermi la password dell’anteprima. Perché?
Dall’8 ottobre l’anteprima è una pagina d’accesso, non più la finestra del browser, e l’accesso vale 7 giorni. Se dopo «Entra» la pagina dice che il browser non ha tenuto l’accesso, il browser blocca i cookie o è quello di un’app: apri il sito in Chrome, Safari, Firefox o Edge. Se la password è stata cambiata, chiedi quella nuova. Dall’ufficio si può entrare senza password con gli indirizzi fidati.
Perché il sito è «bloccato»? Non posso cambiare niente?
Bloccato vuol dire che i file del codice (WordPress, plugin, temi) sono in sola lettura anche per WordPress: un malware che entra da un plugin vulnerabile non può riscriverli. Contenuti, pagine e impostazioni si cambiano normalmente, e gli upload restano scrivibili. Per lavorare sul codice: Manutenzione → Sblocca il codice, poi Blocca il codice.
Ho sbloccato un sito e l’ho lasciato così: cosa succede?
Niente di automatico, ma dopo 24 ore la pagina Siti mostra un avviso e i controlli lo segnalano. Bloccalo appena hai finito: finché è sbloccato il sito è esposto come un WordPress qualunque.
Bloccando, la scheda dice «approvi anche N file cambiati». Cosa vuol dire?
Che rispetto all’ultima impronta ci sono file nuovi o modificati, e bloccando diventano il nuovo riferimento. Se li hai cambiati tu va bene; se non sai cosa sono, guardali prima con il visore (link nel controllo di integrità).
Plugin e temi
Un plugin non si aggiorna. Perché?
Guarda il riepilogo del lavoro: la riga «Plugin non aggiornati» elenca chi non ce l’ha fatta, il log sopra dice il motivo. Il caso più comune è un plugin a pagamento, che non prende gli aggiornamenti da wordpress.org: nella sezione Plugin è segnato «a pagamento» e si aggiorna caricando lo zip del fornitore.
Dove trovo lo zip di un plugin a pagamento?
Nell’account del fornitore, con la licenza. Se il plugin è arrivato con un tema (capita con Slider Revolution e i temi di ThemeForest), lo zip aggiornato sta nel pacchetto aggiornato del tema.
Perché un plugin trovato su wordpress.org non si può installare?
Perché l’ultima versione ha vulnerabilità note senza correzione, o chiede un PHP o un WordPress più recente di quello del sito. È una regola, non un difetto: nemmeno da shell si installa. Scegli un’alternativa.
Ho eliminato un plugin per errore.
I file non sono persi: sono in /root/rimossi/<dominio>/. Da shell: site.sh unlock, rimetti la cartella in wp-content/plugins, site.sh lock, poi Attiva. Le impostazioni che la disinstallazione ha cancellato sono nella copia «prima dell’eliminazione»: si recuperano ripristinando solo il database, meglio su un altro dominio.
Ho installato un tema ma il sito non è cambiato.
Installare non attiva: vai in Temi e premi Attiva sulla sua riga (chiede conferma, perché cambia l’aspetto di tutto il sito).
Allarmi
È arrivato un allarme: da dove comincio?
Dalla pagina Sicurezza, che mette insieme tutti i siti, poi dal controllo di integrità del sito. Gli allarmi dicono sempre cosa hanno visto; molti hanno anche il pulsante per accettarli, se sono cose vostre. Se non lo sono, si rimedia: vedi Rimedi.
«PHP negli upload»: è grave?
Quasi sempre sì: nelle cartelle degli upload non dovrebbe esserci codice, e nginx comunque non lo esegue. L’unica eccezione riconosciuta sono i modelli compilati di WPML, che il controllo distingue da solo e conta in una nota. Lo stesso vale per «PHP in una cartella scrivibile» (cache, dati di Wordfence e simili): lì i file di Wordfence sono riconosciuti. Un PHP che non riconoscete si toglie con Quarantena, nella tabella dei file cambiati: esce dal sito ma resta recuperabile.
Ho messo in quarantena un file che serviva.
Scheda del sito → Rimedi: nella tabella della quarantena, Rimetti sulla sua riga. Torna dov’era, con i permessi del resto del sito.
Allarme sul server: un utente, una chiave o una porta nuova.
Se l’avete aggiunto voi, Sicurezza → Server → Accetta come nuovo riferimento. Se nessuno lo riconosce, è un’intrusione: non accettate e seguite la guida. Vedi I controlli del server.
Posso vedere com’era il codice di un sito la settimana scorsa?
Sì: ogni approvazione è una versione nella storia git del sito. Scheda → Manutenzione → Codice del sito → Versioni: cosa è cambiato a ogni approvazione, con le righe di ogni file; nel visore, la storia di un solo file. Vedi Le versioni del codice.
Una modifica al tema ha rotto il sito: posso tornare a com’era?
Sì, se il codice di prima era stato approvato. Nel visore apri il file, sezione Versioni, e premi Ripristina sulla versione buona; per tutto il codice, Torna a questa versione nella pagina della versione. Quello di adesso va in quarantena, contenuti e database restano.
Ho tolto una chiave o un file di sudo: perché c’è una nota?
Il riferimento li ricorda ancora. Togliere riduce i permessi, quindi è una nota e non un allarme: accettando il nuovo riferimento sparisce.
«Script nuovi o cambiati nei contenuti»?
In un articolo, in un’opzione o in una pagina di Elementor è comparso uno script che prima non c’era. Può essere un codice di tracciamento aggiunto da voi, oppure un’iniezione. Guardalo nell’editor di WordPress; se è vostro, accettalo come nuovo riferimento.
Accessi
La pagina di accesso di WordPress dice «Amministrazione chiusa».
Per quel sito l’amministrazione è chiusa di proposito. Aprila dalla dashboard (Manutenzione → Amministrazione di WordPress → Apri, per 1, 2, 4 o 8 ore): poi si richiude da sola.
Dove trovo le password dei siti?
La dashboard le mostra una volta sola, quando le crea: vanno subito nel password manager. Se si perdono, se ne genera una nuova (Accessi → Nuova password). Sul server restano, solo per root, in /root/sites/<dominio>/.
Il tunnel SSH resta aperto ma le pagine non arrivano.
Succede con le reti mobili, che chiudono le connessioni ferme. Usa il ciclo che riapre il tunnel da solo, in Accedere alla dashboard.
Perché non vedo il pulsante che vede un collega?
Probabilmente sei lettore: vedi tutto e puoi lanciare le verifiche, ma non modificare. Il ruolo lo cambia un amministratore. Se sei amministratore con riserva, vedi solo i pulsanti delle categorie che un amministratore ti ha assegnato (come funziona).
PHP
Un plugin non funziona con l’ultima versione di PHP.
Ogni sito può usare una versione diversa: scheda → PHP → Cambia versione, tra quelle installate e ancora mantenute. Se con la nuova versione il sito dà errore, torna da sola quella di prima. Vedi Cambiare la versione di PHP di un sito.
Nell’elenco manca la versione che mi serve.
Le versioni si installano da shell con site.sh php-install, solo quelle che ricevono ancora correzioni di sicurezza. Una versione fuori supporto non si installa: il plugin va aggiornato o sostituito.
Spazio
Quanto spazio occupa un sito, e cosa pesa di più?
Scheda del sito → Spazio: file del sito, upload, plugin, tema attivo e database, con la quota di ciascuno; in «I più pesanti» i plugin, le cartelle e le tabelle più grandi. La misura si rifà ogni notte; Misura adesso la rifà subito.
Il totale non coincide con la somma delle dimensioni dei file.
È lo spazio occupato su disco, come lo conta du: ogni file occupa blocchi interi, quindi tanti file piccoli pesano più della somma delle loro dimensioni. I collegamenti non si seguono e il database si conta a parte.
Nel grafico c’è una fascia grigia: il sito era vuoto?
No: è un giorno senza misura, per esempio perché il controllo della notte non è passato. Uno zero vero è una barretta sottile sulla linea di base, e nella tabella dei dati c’è «0»; un giorno senza misura ha «—». Vedi I grafici: come leggerli.
Quando si riempie il disco?
Lo stima la frase sopra «Disco e spazio dei siti», in Stato del server: la crescita degli ultimi 30 giorni e la data in cui, a quel passo, il disco arriverebbe all’85%. Servono almeno 7 giorni di misure.
Backup
Quanto è recente l’ultimo backup?
Lo dice lo Stato del server. Il notturno parte alle 03:15; se l’ultimo riuscito ha più di 36 ore diventa un problema, in rosso, e il controllo notturno lo segnala.
Posso cancellare un sito o una copia dalla dashboard?
No, di proposito: nessuna cancellazione definitiva dal pannello. Se serve, la fa una persona da shell, sapendo cosa sta facendo. Plugin e temi si eliminano, ma i loro file restano in una cartella di root.
Perché le ore sono diverse da quelle del mio orologio?
La dashboard mostra tutte le date in UTC: in Italia sono un’ora indietro d’inverno e due d’estate.