Con ModSecurity WAF attivi un Web Application Firewall a livello di sito: analizza le richieste HTTP e segnala o blocca attività sospette (SQL injection, XSS, scanner, ecc.).
A differenza di Blocco IP, Bot e autenticazione di base, le modifiche al WAF richiedono qualche minuto per essere applicate sul sito. L'operazione avviene in background: finché è in corso i controlli della scheda restano disabilitati.
La pagina WAF ha tre tab interni (come Sicurezza):
| Tab | Contenuto |
|---|---|
| WAF | Attiva/disattiva, modalità e set regole |
| Eccezioni path | Path URI esclusi dal controllo |
| IP whitelist | IP/CIDR esclusi dal controllo |
Nel tab WAF, con il firewall già attivo sul server, il menu Azioni include anche Visualizza log WAF (apre la scheda Log filtrata sul servizio WAF).
In ogni tab, Salva in fondo applica tutte le impostazioni WAF. L'operazione può richiedere qualche minuto. Il pulsante è attivo solo se ci sono modifiche non salvate; accanto compare «Nessuna modifica» o «Modifiche non salvate».
I tab Eccezioni path e IP whitelist restano disabilitati finché il WAF non è attivo sul server. Dopo aver acceso il toggle, compare l’avviso «Salva per abilitare…» fino al primo salvataggio riuscito.
| Modalità | Comportamento |
|---|---|
| Detection (solo log) | Le richieste sospette vengono registrate nel log audit, ma non bloccate. Consigliata per i primi giorni su siti WordPress/CMS. |
| Blocking (blocco attivo) | Le richieste che violano le regole ricevono una risposta di errore (tipicamente 403). |
| Off | Il motore ModSecurity è disattivato per il sito (equivalente a WAF spento). |
Puoi escludere path URI dal controllo WAF (es. /wp-admin/, /api/webhook/). Ogni path deve iniziare con / e puoi aggiungere una nota opzionale per ricordarne lo scopo. Nel tab Eccezioni path, usa il menu Azioni → Aggiungi eccezione path (o Annulla se stai già inserendo).
Usa le eccezioni con cautela: un path troppo ampio (es. /) disabilita di fatto la protezione su gran parte del sito.
Gli indirizzi in whitelist non passano dal controllo ModSecurity. Accetti gli stessi valori del Blocco IP: IPv4/IPv6 singoli o in notazione CIDR (es. 10.0.0.0/8). Nel tab IP whitelist, usa il menu Azioni per aggiungere un indirizzo.
Nella scheda Log del sito, seleziona il servizio WAF per consultare gli eventi registrati. Serve a verificare falsi positivi prima di passare da Detection a Blocking.
Mentre un'applicazione WAF è in corso, i controlli della scheda restano disabilitati.
Nota: se il dominio è protetto (o non attivo) le modifiche sono disabilitate. Disattiva la protezione dal lucchetto in alto dell'header per procedere.