Security Headers per Joomla — plugin di sistema per gli header HTTP di sicurezza
Sicurezza · Plugin di sistema Joomla 5 & 6
Chiudi le segnalazioni di header mancanti senza toccare la configurazione del server.
Un plugin di sistema per proprietari e amministratori di siti Joomla che devono superare una scansione di sicurezza o rispondere a un penetration test sugli header di risposta HTTP mancanti — configurato interamente dall’amministrazione.
Licenza una tantum
EUR 179
- Build ufficiale GPL
- Download Key immediata via email
- Sul tuo sito — nessun servizio esterno
A chi serve
La scansione dice che mancano degli header. Questo li sistema.
Proprietari e amministratori di siti Joomla 5/6 che vogliono un hardening degli header sensato e regolabile senza modificare a mano i file del server — soprattutto chi deve superare una scansione di sicurezza o chiudere una segnalazione di un penetration test.
Poiché tutto si configura dentro Joomla, il tuo hardening vive in un unico posto invece di essere sparso nella configurazione del server, e lo regoli sito per sito in base al template, alla CDN e agli script che usi davvero.
Cosa segnala uno scanner — e cosa ottieni in cambio
- Strict-Transport-Security mancante → HSTS attivato
- Nessuna Content-Security-Policy → CSP, distribuita in sicurezza
- Cross-Origin-Resource-Policy mancante → CORP impostata
- Header
X-Powered-Byrivelatore → rimosso - File di installazione residui raggiungibili → bloccati a scelta
Cosa contiene
Gli header che contano, ognuno regolabile
HSTS
Indica ai browser di restare su HTTPS con Strict-Transport-Security, così le visite di ritorno non partono mai da una connessione non sicura.
Content-Security-Policy
Esegui la CSP in modalità applicata, oppure come Content-Security-Policy-Report-Only per un rilascio graduale e sicuro prima di attivarla.
Cross-Origin-Resource-Policy
Controlla come le tue risorse possono essere caricate tra origini diverse, così gli altri siti non possono richiamarle nei modi che non vuoi.
Rimuovi X-Powered-By
Elimina l’header X-Powered-By rivelatore così il tuo sito espone meno informazioni sullo stack che ha dietro.
Blocca i file residui
Blocca a scelta i comuni file residui post-installazione che possono restare dopo il setup ed essere raggiunti dall’esterno.
Controllo della compatibilità
Scegli gli header e le combinazioni che restano compatibili con il tuo template, la CDN e gli script di terze parti — niente imposto dall’alto.
Requisiti
Requisiti
- Joomla 5.x o 6.x
- PHP 8.1 o superiore
- Fornito come plugin di sistema
plg_system_secheaders - Download Key (con l’email della tua licenza) per gli aggiornamenti in un clic
Installazione in meno di un minuto
Cosa è incluso
Carica lo ZIP del plugin da Sistema → Installa → Estensioni (lascialo compresso), poi attivalo da Sistema → Gestisci → Plugin. Inserisci la tua Download Key nella schermata GMC Licenses e gli aggiornamenti iniziano ad arrivare dal gateway GMC / FuerteventuraTV.
Come funziona
Distribuisci in sicurezza, poi applica
Una Content-Security-Policy può rompere in silenzio il tuo template, gli asset della CDN o gli script di terze parti se la applichi troppo presto. Questo plugin è costruito attorno a un percorso più sicuro, così irrigidisci il lato browser senza mettere ko il front end di cui già ti fidi.
Prima in report-only
Attiva la policy come Content-Security-Policy-Report-Only. Niente viene bloccato — i visitatori reali non sono toccati.
Osserva cosa si romperebbe
Vedi cosa segnalerebbe il browser e copri il tuo template, la CDN e gli script di terze parti prima di impegnarti.
Passa alla modalità applicata
Passa alla modalità applicata quando tutto è coperto, e rivedi la policy man mano che il template e gli script cambiano nel tempo.
Se qualcosa smette di caricarsi dopo aver attivato un header, allenta la policy specifica che ha bloccato la risorsa invece di disattivare tutto, poi ritesta il frontend e il backend ed esegui uno scanner di header per confermare.
Perché comprare da GMC
Una licenza, senza vincoli
Chiave di licenza immediata
La tua Download Key arriva via email subito dopo l’acquisto — installi e attivi nello stesso minuto.
Aggiornamenti inclusi
Aggiornamenti con licenza in un clic dal server GMC / FuerteventuraTV finché la tua licenza è attiva — verificati circa ogni 24 ore.
Sul tuo sito
Tutto gira dentro il tuo Joomla. Nessun SaaS esterno, nessun dato che lascia il tuo sito per farlo funzionare.
GPL & supportato
Rilasciato sotto licenza GNU GPL. Licenza per un sito con supporto in inglese, italiano e spagnolo; chiedici dell’uso per agenzie o su volumi.
FAQ
Tutto incluso
42 funzionalità reali, raggruppate per area: tutta la profondità di ciò che fa Security Headers.
Header di risposta di sicurezza
- Blocco su HTTPS (HSTS) — dice ai browser di rifiutare l'HTTP in chiaro nelle visite successive, sventando gli attacchi di downgrade e di dirottamento dei cookie; interruttore on/off, attivo per impostazione predefinita.
- Durata HSTS configurabile — imposta
max-age(predefinito 1 anno); parti da un valore basso durante i test e alzalo in seguito, tutto dall'amministrazione. - Supporto al preload HSTS — attiva l'aggiunta della direttiva
preloadcosì il dominio può essere inviato alla lista di preload dei browser; il plugin alza automaticamentemax-ageal minimo richiesto di 1 anno, così non pubblichi mai un preload non conforme. - Copertura dei sottodomini — HSTS viene sempre emesso con
includeSubDomains, estendendo l'applicazione di HTTPS all'intero dominio. - Emissione HSTS solo su HTTPS — HSTS viene saltato sulle richieste in HTTP puro (dove i browser lo ignorano comunque), evitando header fuorvianti o inutili.
- Content-Security-Policy (CSP) — la difesa più forte contro XSS ed esfiltrazione di dati verso terze parti; limita da dove possono essere caricati script, stili, immagini, font e frame. Attivo per impostazione predefinita.
- Modalità solo-report o applicazione — pubblica la CSP come
Content-Security-Policy-Report-Only(registra le violazioni senza rompere nulla) oppure attiva un solo interruttore per passare all'applicazione una volta calibrata. - Policy CSP completamente modificabile — è fornita una policy predefinita pronta all'uso e compatibile con i template (copre Google/reCAPTCHA, Google Fonts, gli embed di YouTube, le immagini data/blob) e puoi rendere più rigida o più permissiva ogni direttiva in un'area di testo.
- Fallback CSP sicuro — se il campo della policy viene lasciato vuoto, viene emesso un valore predefinito rafforzato (
default-src 'self'; frame-ancestors 'none'; upgrade-insecure-requests) invece di niente. - Cross-Origin-Resource-Policy — impedisce ad altre origini di incorporare direttamente le tue immagini/JS/CSS; difesa in profondità contro gli attacchi side-channel in stile Spectre. Attivo per impostazione predefinita.
- Protezione dal MIME-sniffing (X-Content-Type-Options: nosniff) — obbliga i browser a rispettare il tipo di contenuto dichiarato, bloccando gli attacchi di confusione del content-type. Attivo per impostazione predefinita.
- Protezione dal clickjacking (X-Frame-Options: SAMEORIGIN) — impedisce che le tue pagine vengano inserite in frame su siti esterni, coprendo i browser più datati che ignorano
frame-ancestorsdella CSP. Attivo per impostazione predefinita. - Referrer-Policy — controlla quante informazioni sul referrer trapelano verso altri siti; predefinito
strict-origin-when-cross-origin, con valore completamente modificabile. Attivo per impostazione predefinita. - Permissions-Policy — blocca le funzionalità del browser (geolocalizzazione, fotocamera, microfono per impostazione predefinita) per le tue pagine e i frame incorporati; valore completamente modificabile. Attivo per impostazione predefinita.
- Interruttori on/off per singolo header — ogni header qui sopra ha il proprio interruttore, così puoi abilitare solo le combinazioni che restano compatibili con il tuo template, la CDN e gli script di terze parti.
- Sovrascrive gli header a monte più deboli — tutti gli header vengono inviati con il flag di override, così i valori del plugin prevalgono su qualsiasi header più debole impostato dal webserver o da un reverse proxy.
Riduzione della superficie d'attacco e del fingerprint
- Nascondi lo stack (rimuovi X-Powered-By) — elimina il fingerprint
X-Powered-By: PHP/x.y.z(eServer) che PHP-FPM emette, così il tuo sito rivela meno su ciò che gira dietro le quinte. Attivo per impostazione predefinita. - Blocca i percorsi residui post-installazione — restituisce un 404 senza corpo per i file che gli aggressori usano per identificare la tua versione di Joomla:
README.txt,htaccess.txt,web.config.txt,LICENSE.txt,administrator/manifests/*e i file di linguainstall.xml. Attivo per impostazione predefinita. - Protezione dal bypass tramite percorsi codificati — i percorsi bloccati vengono decodificati dall'URL prima del confronto, così trucchi come
%52EADME.txtnon possono aggirare il filtro. - Nessuna fuga di versione sul blocco — una richiesta bloccata viene interrotta prima che venga generato qualsiasi HTML del template, restituendo solo un
404 Not Foundin testo semplice, così non viene esposto nulla dell'installazione.
Rilascio sicuro e affidabilità
- Rilascio graduale della CSP by design — l'intero prodotto è costruito attorno al principio: prima solo-report, osserva cosa si romperebbe per i visitatori reali, poi applica — così rafforzi la sicurezza senza mettere fuori uso un front end di cui già ti fidi.
- Non rompe mai la pagina — tutta la logica degli header è protetta così un errore non può mai mandare giù il sito; i problemi vengono registrati in silenzio tramite il logging di Joomla e assorbiti.
- Protezione dall'header injection — i caratteri CR/LF vengono rimossi da ogni valore di header modificabile dall'operatore (CSP, Referrer-Policy, Permissions-Policy), chiudendo un vettore di response splitting.
- Si esegue presto su ogni richiesta — gli header vengono applicati all'inizializzazione della richiesta (e il blocco dei percorsi viene eseguito per primo di tutti), così la protezione è già attiva prima che venga inviato qualsiasi corpo.
Configurazione amministrativa e compatibilità
- Configura interamente dall'amministrazione di Joomla — niente SSH, niente modifiche a nginx/Apache/vhost/
.htaccess; è tutto interruttori e campi di testo sotto Estensioni → Plugin. - Installazione in un clic — un unico ZIP installabile con il manifest nella root; installa e attiva in meno di un minuto.
- Indipendente dal server — poiché gli header vengono emessi tramite la funzione
header()di PHP, funziona in modo identico dietro nginx, Apache, LiteSpeed o IIS. - Campi contestuali — i campi di valore (max-age, policy CSP, valori referrer/permissions) compaiono solo quando il relativo header è attivo, mantenendo la schermata pulita.
- Impostazioni predefinite sicure da subito — ogni header di protezione è attivo con valori predefiniti sensati, così il sito è rafforzato subito dopo l'installazione, ancor prima della messa a punto.
Licenza e aggiornamenti
- Aggiornamenti in un clic con licenza — una volta inserita la tua Download Key, l'estensione controlla il server di aggiornamento GMC / FuerteventuraTV circa ogni 24 h e propone le nuove versioni sotto Sistema → Aggiorna → Estensioni.
- Campo Download Key — un campo licenza dedicato (mascherato come password) verifica il diritto d'uso presso il gateway GMC Licenses; lascialo vuoto per funzionare senza alcun controllo di licenza.
- Non blocca mai il tuo sito (regola di tolleranza) — se il gateway di licenza è irraggiungibile o va in errore, il plugin ripiega sull'ultimo risultato valido noto e continua a funzionare; gli header di sicurezza vengono emessi indipendentemente dallo stato della licenza.
- Promemoria discreto, solo nel backend — uno stato senza licenza produce al massimo un singolo avviso nel backend; non infastidisce mai sul frontend, mai durante un'interruzione del gateway e non disattiva mai la protezione.
- Controlli efficienti — il diritto d'uso viene memorizzato in cache per 12 ore e salvato su disco così sopravvive a uno svuotamento della cache, riducendo al minimo le chiamate al gateway.
- Download con integrità verificata — il feed di aggiornamento pubblica gli hash SHA-256/SHA-384 e fissa la piattaforma supportata (Joomla 5.x/6.x, PHP 8.1+) così si installa solo la build corretta e non manomessa.
Fiducia e licenza
- Open source GPLv2 — rilasciato sotto la GNU General Public License v2 o successiva; il file completo
LICENSE.txtè incluso nel pacchetto. - Self-hosted, nessuna raccolta di dati — gli header vengono impostati localmente in PHP; l'unica chiamata esterna è il controllo di licenza opzionale al gateway del fornitore, e quella chiamata non vede mai il contenuto delle pagine né i dati dei visitatori.
- Nessuna dipendenza da terze parti — puro Joomla/PHP, niente Composer, niente npm, nessuna libreria inclusa — niente di aggiuntivo da verificare o da tenere aggiornato.
- L'acquisto copre un sito — build ufficiale, aggiornamenti in un clic con licenza e supporto per un singolo sito; licenze multiple/per agenzia disponibili su richiesta.
- Interfaccia bilingue — traduzioni complete dell'amministrazione in inglese (en-GB) e italiano (it-IT), incluse le stringhe di installazione.
Joomla e WordPress
- Prodotto Joomla nativo —
plg_system_secheadersè un pluginsystemche usa il moderno modello con provider DI ed event subscriber. Il repository include solo la build Joomla; il set di header, il blocco dei percorsi post-installazione, il flusso di CSP graduale e il gating GMC-Licenses sono tutti specifici di Joomla. HSTS deliberatamente non viene emesso se Joomla vede la richiesta come non-SSL (ad es. dietro un proxy che non inoltraX-Forwarded-Proto). - Limiti di ambito (limiti onesti) — il plugin non può impostare i flag Secure/SameSite dei cookie (da configurare nella Configurazione Globale di Joomla), non può rimuovere gli header a livello di proxy come
X-Powered-By: PleskLin(da attivare/disattivare in Plesk) e il suo blocco dei percorsi restituisce 404 ma non elimina i file residui dal disco (rimuovili tramite FTP/File Manager).
Domande prima di acquistare
-
Come lo installo?
Carica lo ZIP del plugin da Sistema → Installa → Estensioni → Carica pacchetto (lascialo compresso), poi attivalo da Sistema → Gestisci → Plugin. Richiede meno di un minuto.
-
Dove inserisco la Download Key?
Dopo l’acquisto ricevi una Download Key con l’email della tua licenza. Inseriscila nella schermata GMC Licenses sul tuo sito (Componenti → GMC Licenses, oppure nel campo licenza che il prodotto mostra al primo avvio). Quella chiave sblocca gli aggiornamenti con licenza in un clic dal server GMC / FuerteventuraTV — tienila al suo posto e gli aggiornamenti continuano ad arrivare finché la tua licenza è attiva.
-
Come arrivano gli aggiornamenti?
Automaticamente. Una volta installato, il plugin controlla da solo il server di aggiornamento GMC / FuerteventuraTV (circa ogni 24 ore) e propone la nuova versione sotto Sistema → Aggiorna → Estensioni, finché la tua licenza è attiva. Puoi anche riscaricare l’ultima build dal tuo account in qualsiasi momento.
-
Come distribuisco una Content-Security-Policy in sicurezza?
Parti in modalità report-only così niente viene bloccato, osserva cosa segnala il browser, poi passa alla policy applicata quando il tuo template, la CDN e gli script di terze parti sono coperti.
-
Qualcosa ha smesso di caricarsi dopo l’attivazione — cosa faccio?
Allenta la policy specifica che ha bloccato la risorsa invece di disattivare tutto, poi ritesta il frontend e il backend ed esegui uno scanner di header per confermare.
-
Cosa copre la licenza?
Il software è rilasciato sotto licenza GNU GPL. Il tuo acquisto ti dà la build ufficiale, gli aggiornamenti con licenza in un clic e il supporto per un sito. Ti serve su più siti o per progetti cliente? Scrivici per un accordo su volumi o per agenzie.
-
Come ottengo supporto o un rimborso?
Rispondi all’email di acquisto o scrivici su WhatsApp al +34 633 168 995 — questo numero compare anche nell’email della tua licenza. Indica il nome e la versione del prodotto, la tua versione di Joomla e PHP, e un URL pubblico o uno screenshot (con eventuali chiavi oscurate). Se il prodotto non funziona come descritto e non riusciamo a risolverlo, puoi richiedere un rimborso entro 14 giorni dall’acquisto. Rispondiamo in inglese, italiano e spagnolo.
