KoaPanel
EN Provalo gratis
Tutte le sezioni del manuale

DocumentazioneRegole del sito

Regole del sito

Nella pagina del sito, scheda Regole, imposti quello che in cPanel si trova sotto Reindirizzamenti, Privacy cartelle, Blocco IP, Protezione hotlink, Pagine di errore e Tipi MIME. Le regole le applica nginx prima di tutto il resto, quindi valgono anche per WordPress, per le applicazioni di Installa app e per i siti con la Compatibilità Apache/.htaccess.

Ogni modifica viene controllata (nginx -t) prima di essere applicata: se qualcosa non va, il sito resta com'era e il pannello mostra l'errore. Le regole seguono il sito quando sposti l'account su un altro server.

Reindirizzamenti

Mandano chi apre un percorso del sito a un altro indirizzo.

  • Da: il percorso del sito, per esempio /vecchia-pagina. Scrivi / per l'intero sito.
  • A: un indirizzo completo (https://www.nuovo.it/pagina) o un altro percorso di questo sito (/nuova-pagina).
  • Permanente (301) quando la pagina si è spostata per sempre (i motori di ricerca aggiornano l'indirizzo); temporaneo (302) per una promozione o una manutenzione.
  • Anche le pagine sotto questo percorso: /vecchia/x va a <indirizzo>/x. Con / e questa opzione tutto il sito passa al nuovo dominio mantenendo i percorsi (il rinnovo del certificato HTTPS continua a funzionare).

I parametri dell'indirizzo (?id=3) vengono mantenuti. Il passaggio da HTTP a HTTPS lo fa già il pannello quando il certificato è attivo: non serve un reindirizzamento.

Cartelle protette da password

Il browser chiede nome utente e password prima di mostrare una cartella (autenticazione HTTP «basic»). Scrivi il percorso (/riservato, oppure / per tutto il sito, per esempio un sito in costruzione), un messaggio facoltativo e il primo utente. Puoi aggiungere altri utenti, cambiare una password o togliere la protezione.

  • Le password sono salvate cifrate (SHA-512) in un file fuori dal sito, leggibile solo da nginx: nessuno può rileggerle, nemmeno dal pannello.
  • La protezione vale per tutto quello che c'è nella cartella, pagine PHP comprese.
  • Usa sempre HTTPS: con HTTP la password viaggia in chiaro.

Blocco IP

Gli indirizzi bloccati ricevono un errore 403 su tutto il sito. Puoi bloccare un IP (203.0.113.7) o una rete (198.51.100.0/24, 2001:db8::/48), fino a 500 voci. Il blocco vale solo per questo sito: per chiudere un indirizzo su tutto il server (posta e SSH compresi) usa il firewall.

Accanto a ogni indirizzo puoi scrivere una nota (per esempio «script che scarica gli articoli»): il pannello la mostra con il giorno del blocco, così si sa perché l'indirizzo è lì. Puoi bloccare un indirizzo anche dalla scheda Log, in «Indirizzi più attivi».

Se il sito è dietro una CDN, attiva prima Il sito è dietro una CDN (sotto): altrimenti il server vede gli indirizzi della CDN e non quelli dei visitatori.

Limite di richieste per indirizzo

Ferma chi chiede troppe pagine: per esempio uno script che scarica tutti gli articoli vecchi (pagine fuori dalla cache, pesanti per il server) e cambia indirizzo ogni volta che lo blocchi. Il limite non deve conoscere gli indirizzi: vale per tutti.

  • Pagine al minuto per indirizzo (proposto 20): un lettore normale ne chiede meno di 10.
  • Margine per i picchi (proposto 40): pagine in più ammesse di colpo, per chi apre più schede insieme.
  • Oltre il limite il visitatore riceve l'errore 429; puoi mostrargli una pagina tua in «Pagine di errore».
  • Non contano mai immagini, CSS, JavaScript e font, né il server stesso. Con le opzioni proposte non vengono limitati nemmeno gli utenti collegati a WordPress e Google e Bing (riconosciuti dal nome del browser).
  • Indirizzi sempre ammessi: il tuo ufficio, un servizio di monitoraggio.

Nella scheda Log, in «Indirizzi più attivi», vedi quante richieste sono state fermate e da chi.

Il sito è dietro una CDN

Con una CDN (1PrimeCDN, Cloudflare o un'altra) le richieste arrivano al server dai nodi della CDN: senza questa impostazione blocco IP, limite di richieste, fail2ban e il limite dei login di WordPress vedrebbero solo gli indirizzi della CDN, e fermerebbero tutti i visitatori insieme. Scegli la CDN e il pannello legge l'indirizzo vero del visitatore dall'intestazione della CDN, solo per le richieste che arrivano dai suoi nodi (altrimenti chiunque potrebbe scriverla):

  • Cloudflare: intestazione CF-Connecting-IP; gli indirizzi dei nodi sono quelli pubblicati da Cloudflare, aggiornati ogni notte;
  • 1PrimeCDN: intestazione X-PrimeCDN-Client-IP; scrivi gli indirizzi dei nodi che ti dà 1PrimeCDN;
  • Altra CDN: scrivi l'intestazione (per esempio X-Real-IP) e gli indirizzi dei nodi.

Attivala prima di far passare il sito dalla CDN. Anche i log e le statistiche mostrano allora gli indirizzi veri.

Impedisce ad altri siti di mostrare le tue immagini e i tuoi video usando la tua banda. Il pannello propone le estensioni più comuni (jpg, png, gif, webp, svg, mp4...); puoi aggiungere altri siti ammessi (i loro sottodomini sono compresi) e un indirizzo da mostrare al posto del file bloccato. Con Ammetti chi apre il file direttamente (consigliato) restano visibili i file aperti scrivendo l'indirizzo, dalle app e dai lettori di posta, che non dicono da quale pagina arrivano.

Pagine di errore

Per ogni errore (404 pagina non trovata, 403 accesso negato, 503 servizio non disponibile...) scegli una pagina del sito da mostrare al posto di quella standard del server, per esempio /errori/404.html. Per gli errori dal 500 in su serve una pagina .html: PHP potrebbe essere proprio la causa dell'errore.

Valgono per gli errori generati dal server web (file inesistenti, accessi negati, applicazione che non risponde). WordPress e le altre applicazioni mostrano di solito le proprie pagine di errore, che restano quelle.

Tipi MIME

Dicono al browser come trattare i file con una certa estensione, per esempio .webmanifest → application/manifest+json. Serve di rado: il server conosce già i tipi più comuni. L'estensione .php non si può cambiare.