GMC Security Headers — Documentazione (Joomla)
Manuale operativo (Italiano): Scarica il PDF
GMC Security Headers blinda il tuo sito in pochi minuti: emette i moderni header di sicurezza del browser — HSTS, Content-Security-Policy, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy e Cross-Origin-Resource-Policy — da una semplice schermata di amministrazione, con interruttore per singolo header e valori modificabili, senza toccare i file del server.
Installazione
- Scarica lo
.zipinstallabile dall’email d’acquisto (non scompattarlo). - In Joomla vai su Sistema → Installa → Estensioni e carica il pacchetto.
- Abilita il plugin in Sistema → Gestisci → Plugin (cerca “Security Headers”) e aprilo per configurarlo.
Requisiti: Joomla 5.x o 6.x, PHP 8.1 o superiore.
Configurazione
Ogni header ha il suo interruttore e default sensati: abiliti solo ciò che è compatibile con il tuo template e gli script di terze parti. Parti con la CSP in modalità report-only: registra le violazioni senza rompere nulla; quando la policy è calibrata, passa alla modalità enforcing con un click. HSTS ha un max-age configurabile (parti basso in fase di test) e preload opzionale. I valori di Referrer-Policy e Permissions-Policy sono campi di testo completamente modificabili.
Aggiornamenti e licenza
Dopo l’acquisto ricevi una Download Key con l’email di licenza. Inseriscila nelle impostazioni del plugin: sblocca gli aggiornamenti con licenza a un click dal server di aggiornamento GMC / FuerteventuraTV tramite il normale updater del CMS, finché la licenza è attiva. Il software è GPL; un sito per licenza — le edizioni Joomla e WordPress sono prodotti separati.
Supporto
Per assistenza rispondi all’email d’acquisto oppure scrivici su WhatsApp al +34 633 168 995. Includi nome e versione del prodotto, versione del CMS e di PHP, e un URL pubblico o uno screenshot. Rispondiamo in italiano, inglese e spagnolo. Rimborso entro 14 giorni se il prodotto non funziona come descritto e non riusciamo a risolvere.
Tutto incluso
42 funzionalità reali, raggruppate per area: tutta la profondità di ciò che fa Security Headers.
Header di risposta di sicurezza
- Blocco su HTTPS (HSTS) — dice ai browser di rifiutare l'HTTP in chiaro nelle visite successive, sventando gli attacchi di downgrade e di dirottamento dei cookie; interruttore on/off, attivo per impostazione predefinita.
- Durata HSTS configurabile — imposta
max-age(predefinito 1 anno); parti da un valore basso durante i test e alzalo in seguito, tutto dall'amministrazione. - Supporto al preload HSTS — attiva l'aggiunta della direttiva
preloadcosì il dominio può essere inviato alla lista di preload dei browser; il plugin alza automaticamentemax-ageal minimo richiesto di 1 anno, così non pubblichi mai un preload non conforme. - Copertura dei sottodomini — HSTS viene sempre emesso con
includeSubDomains, estendendo l'applicazione di HTTPS all'intero dominio. - Emissione HSTS solo su HTTPS — HSTS viene saltato sulle richieste in HTTP puro (dove i browser lo ignorano comunque), evitando header fuorvianti o inutili.
- Content-Security-Policy (CSP) — la difesa più forte contro XSS ed esfiltrazione di dati verso terze parti; limita da dove possono essere caricati script, stili, immagini, font e frame. Attivo per impostazione predefinita.
- Modalità solo-report o applicazione — pubblica la CSP come
Content-Security-Policy-Report-Only(registra le violazioni senza rompere nulla) oppure attiva un solo interruttore per passare all'applicazione una volta calibrata. - Policy CSP completamente modificabile — è fornita una policy predefinita pronta all'uso e compatibile con i template (copre Google/reCAPTCHA, Google Fonts, gli embed di YouTube, le immagini data/blob) e puoi rendere più rigida o più permissiva ogni direttiva in un'area di testo.
- Fallback CSP sicuro — se il campo della policy viene lasciato vuoto, viene emesso un valore predefinito rafforzato (
default-src 'self'; frame-ancestors 'none'; upgrade-insecure-requests) invece di niente. - Cross-Origin-Resource-Policy — impedisce ad altre origini di incorporare direttamente le tue immagini/JS/CSS; difesa in profondità contro gli attacchi side-channel in stile Spectre. Attivo per impostazione predefinita.
- Protezione dal MIME-sniffing (X-Content-Type-Options: nosniff) — obbliga i browser a rispettare il tipo di contenuto dichiarato, bloccando gli attacchi di confusione del content-type. Attivo per impostazione predefinita.
- Protezione dal clickjacking (X-Frame-Options: SAMEORIGIN) — impedisce che le tue pagine vengano inserite in frame su siti esterni, coprendo i browser più datati che ignorano
frame-ancestorsdella CSP. Attivo per impostazione predefinita. - Referrer-Policy — controlla quante informazioni sul referrer trapelano verso altri siti; predefinito
strict-origin-when-cross-origin, con valore completamente modificabile. Attivo per impostazione predefinita. - Permissions-Policy — blocca le funzionalità del browser (geolocalizzazione, fotocamera, microfono per impostazione predefinita) per le tue pagine e i frame incorporati; valore completamente modificabile. Attivo per impostazione predefinita.
- Interruttori on/off per singolo header — ogni header qui sopra ha il proprio interruttore, così puoi abilitare solo le combinazioni che restano compatibili con il tuo template, la CDN e gli script di terze parti.
- Sovrascrive gli header a monte più deboli — tutti gli header vengono inviati con il flag di override, così i valori del plugin prevalgono su qualsiasi header più debole impostato dal webserver o da un reverse proxy.
Riduzione della superficie d'attacco e del fingerprint
- Nascondi lo stack (rimuovi X-Powered-By) — elimina il fingerprint
X-Powered-By: PHP/x.y.z(eServer) che PHP-FPM emette, così il tuo sito rivela meno su ciò che gira dietro le quinte. Attivo per impostazione predefinita. - Blocca i percorsi residui post-installazione — restituisce un 404 senza corpo per i file che gli aggressori usano per identificare la tua versione di Joomla:
README.txt,htaccess.txt,web.config.txt,LICENSE.txt,administrator/manifests/*e i file di linguainstall.xml. Attivo per impostazione predefinita. - Protezione dal bypass tramite percorsi codificati — i percorsi bloccati vengono decodificati dall'URL prima del confronto, così trucchi come
%52EADME.txtnon possono aggirare il filtro. - Nessuna fuga di versione sul blocco — una richiesta bloccata viene interrotta prima che venga generato qualsiasi HTML del template, restituendo solo un
404 Not Foundin testo semplice, così non viene esposto nulla dell'installazione.
Rilascio sicuro e affidabilità
- Rilascio graduale della CSP by design — l'intero prodotto è costruito attorno al principio: prima solo-report, osserva cosa si romperebbe per i visitatori reali, poi applica — così rafforzi la sicurezza senza mettere fuori uso un front end di cui già ti fidi.
- Non rompe mai la pagina — tutta la logica degli header è protetta così un errore non può mai mandare giù il sito; i problemi vengono registrati in silenzio tramite il logging di Joomla e assorbiti.
- Protezione dall'header injection — i caratteri CR/LF vengono rimossi da ogni valore di header modificabile dall'operatore (CSP, Referrer-Policy, Permissions-Policy), chiudendo un vettore di response splitting.
- Si esegue presto su ogni richiesta — gli header vengono applicati all'inizializzazione della richiesta (e il blocco dei percorsi viene eseguito per primo di tutti), così la protezione è già attiva prima che venga inviato qualsiasi corpo.
Configurazione amministrativa e compatibilità
- Configura interamente dall'amministrazione di Joomla — niente SSH, niente modifiche a nginx/Apache/vhost/
.htaccess; è tutto interruttori e campi di testo sotto Estensioni → Plugin. - Installazione in un clic — un unico ZIP installabile con il manifest nella root; installa e attiva in meno di un minuto.
- Indipendente dal server — poiché gli header vengono emessi tramite la funzione
header()di PHP, funziona in modo identico dietro nginx, Apache, LiteSpeed o IIS. - Campi contestuali — i campi di valore (max-age, policy CSP, valori referrer/permissions) compaiono solo quando il relativo header è attivo, mantenendo la schermata pulita.
- Impostazioni predefinite sicure da subito — ogni header di protezione è attivo con valori predefiniti sensati, così il sito è rafforzato subito dopo l'installazione, ancor prima della messa a punto.
Licenza e aggiornamenti
- Aggiornamenti in un clic con licenza — una volta inserita la tua Download Key, l'estensione controlla il server di aggiornamento GMC / FuerteventuraTV circa ogni 24 h e propone le nuove versioni sotto Sistema → Aggiorna → Estensioni.
- Campo Download Key — un campo licenza dedicato (mascherato come password) verifica il diritto d'uso presso il gateway GMC Licenses; lascialo vuoto per funzionare senza alcun controllo di licenza.
- Non blocca mai il tuo sito (regola di tolleranza) — se il gateway di licenza è irraggiungibile o va in errore, il plugin ripiega sull'ultimo risultato valido noto e continua a funzionare; gli header di sicurezza vengono emessi indipendentemente dallo stato della licenza.
- Promemoria discreto, solo nel backend — uno stato senza licenza produce al massimo un singolo avviso nel backend; non infastidisce mai sul frontend, mai durante un'interruzione del gateway e non disattiva mai la protezione.
- Controlli efficienti — il diritto d'uso viene memorizzato in cache per 12 ore e salvato su disco così sopravvive a uno svuotamento della cache, riducendo al minimo le chiamate al gateway.
- Download con integrità verificata — il feed di aggiornamento pubblica gli hash SHA-256/SHA-384 e fissa la piattaforma supportata (Joomla 5.x/6.x, PHP 8.1+) così si installa solo la build corretta e non manomessa.
Fiducia e licenza
- Open source GPLv2 — rilasciato sotto la GNU General Public License v2 o successiva; il file completo
LICENSE.txtè incluso nel pacchetto. - Self-hosted, nessuna raccolta di dati — gli header vengono impostati localmente in PHP; l'unica chiamata esterna è il controllo di licenza opzionale al gateway del fornitore, e quella chiamata non vede mai il contenuto delle pagine né i dati dei visitatori.
- Nessuna dipendenza da terze parti — puro Joomla/PHP, niente Composer, niente npm, nessuna libreria inclusa — niente di aggiuntivo da verificare o da tenere aggiornato.
- L'acquisto copre un sito — build ufficiale, aggiornamenti in un clic con licenza e supporto per un singolo sito; licenze multiple/per agenzia disponibili su richiesta.
- Interfaccia bilingue — traduzioni complete dell'amministrazione in inglese (en-GB) e italiano (it-IT), incluse le stringhe di installazione.
Joomla e WordPress
- Prodotto Joomla nativo —
plg_system_secheadersè un pluginsystemche usa il moderno modello con provider DI ed event subscriber. Il repository include solo la build Joomla; il set di header, il blocco dei percorsi post-installazione, il flusso di CSP graduale e il gating GMC-Licenses sono tutti specifici di Joomla. HSTS deliberatamente non viene emesso se Joomla vede la richiesta come non-SSL (ad es. dietro un proxy che non inoltraX-Forwarded-Proto). - Limiti di ambito (limiti onesti) — il plugin non può impostare i flag Secure/SameSite dei cookie (da configurare nella Configurazione Globale di Joomla), non può rimuovere gli header a livello di proxy come
X-Powered-By: PleskLin(da attivare/disattivare in Plesk) e il suo blocco dei percorsi restituisce 404 ma non elimina i file residui dal disco (rimuovili tramite FTP/File Manager).
