Un plugin che parla con le AI, legge dati di analytics e conserva chiavi di accesso deve trattare la sicurezza come un requisito, non come una pagina di impostazioni. Ecco ogni livello di difesa, dal licensing alla disinstallazione.
GEO Optimizer Pro non si limita a nascondere le chiavi in una pagina di impostazioni. Ogni richiesta esterna passa da un guard, ogni azione amministrativa da un nonce e da una capability, ogni licenza da un controllo fail-closed. Il comportamento è prevedibile anche quando qualcosa va storto.
Molti plugin, alla scadenza della licenza, continuano a erogare funzioni premium con un avviso nell'admin. GEO Optimizer Pro adotta il modello opposto: senza licenza valida, tutto ciò che è Pro viene disattivato in modo esplicito.
| Stato della licenza | Cosa succede | Cosa non succede |
|---|---|---|
| Valida | Moduli Pro, REST premium, cron e report attivi secondo la configurazione | Nessuna esposizione oltre i siti coperti |
| Scaduta o revocata | Moduli premium disattivati, endpoint REST riservati chiusi, cron premium sospesi | Il sito non va in errore e i contenuti pubblici restano online |
| Persa durante l'uso | Cleanup automatico di file statici e regole htaccess generate dal plugin | Nessun file orfano o regola di cache dimenticata |
| Non verificabile | Stato di licenza limitato e funzioni Pro non disponibili | Nessun fallback silenzioso a funzioni non autorizzate |
Report, Agency, API v2, webhook, RAG e automazioni avanzate controllano lo stato della licenza prima di inizializzare i propri servizi.
Gli endpoint riservati rispondono con un errore esplicito e i job premium non vengono accodati. Le funzioni gratuite continuano a funzionare.
llms.txt statici, file generati e regole htaccess vengono rimossi alla perdita della licenza, per non lasciare capacità residue.
Due superfici diverse, lo stesso rigore: ciò che conservi e ciò che stampi nella pagina. Le chiavi non devono essere leggibili, il JSON-LD non deve diventare un vettore di injection.
<, >, &, apici e virgolette codificati come sequenze Unicode// Input editoriale potenzialmente ostile
{
"@type": "Article",
"description": "Testo \u003Cscript\u003E
alert(1) \u003C/script\u003E"
}
// Output nel documento: nessun tag eseguibile
// Il JSON resta valido e leggibile dai crawler
// Secret store
{
"cipher": "aes-256-gcm",
"iv": "base64:...",
"tag": "base64:...",
"value": "base64:..."
}Embedding, vision, OAuth, webhook e import CSV possono generare richieste verso URL non fidati. Url_Guard applica una sequenza di controlli prima che la connessione parta.
Solo schemi http e https, host presente, nessuna credenziale incorporata nell'URL e nessun formato ambiguo.
L'host viene risolto e tutti gli indirizzi restituiti vengono controllati: loopback, reti private, link-local, multicast e riservate vengono rifiutati.
Gli host di metadata cloud e gli indirizzi come 169.254.169.254 non sono raggiungibili, anche se un attaccante li maschera dietro un dominio.
La connessione usa l'IP validato, non una seconda risoluzione. I redirect non vengono seguiti: nessuna catena può portare a una destinazione interna.
L'admin è protetto da capability e nonce. L'endpoint /ask è progettato per essere raggiungibile dai visitatori, ma con regole precise che impediscono abusi e chiamate cross-site.
Le azioni sensibili richiedono manage_options e un nonce valido. I ruoli inferiori non possono leggere segreti, cambiare licenza o esportare impostazioni, anche se conoscono l'URL dell'azione.
/ask: nonce e same-originIl widget di ricerca pubblica usa un nonce dedicato e accetta solo richieste provenienti dalla stessa origine. Il rate limit per IP completa la difesa senza chiedere login ai visitatori.
Dietro un reverse proxy o un CDN, l'IP del client viene letto solo dagli header inoltrati da proxy esplicitamente fidati. Un header X-Forwarded-For arbitrario non può falsificare il rate limit.
REMOTE_ADDRPrima di ogni chiamata AI, il costo stimato viene riservato in modo atomico. Se il budget è insufficiente, la chiamata non parte; se fallisce, la riserva viene rilasciata senza doppio addebito.
/ask è limitato per IP, le API per chiave con header di quota e risposta 429, i webhook hanno retry con backoff e la coda usa un lock per evitare job duplicati. Il limite non sostituisce nonce e capability: li accompagna.
La trasparenza non è un report separato: è una proprietà del sistema. Le azioni sensibili lasciano una traccia, i dati personali hanno una retention e l'utente può esercitare i propri diritti.
| Dato | Default | Controllo |
|---|---|---|
| Prompt e query | Non salvati | Opt-in + 1–3650 giorni |
| Hit dei bot | Aggregati | Cooldown 5 minuti per IP |
| Referral AI | Sanitizzati | Nessun dato personale nel referrer |
| Audit log | Attivo | Rotazione e cancellazione |
I valori sono predefiniti prudenti e modificabili dall'amministratore in base alla propria policy.
Il tab AI ACT raccoglie le informazioni operative che servono per descrivere e supervisionare l'uso dei sistemi AI nel sito, senza trasformare il plugin in un consulente legale.
Quali provider AI sono collegati, per quali funzioni (riassunti, embedding, vision, RAG) e con quali modelli configurati. Una mappa leggibile del trattamento.
Stato dei log, retention, revisione umana delle risposte e possibilità di disattivare una funzione AI senza spegnere l'intero plugin.
Prompt, query e immagini trattati con il minimo necessario. Le chiamate esterne sono visibili e il budget impedisce consumi fuori controllo.
Disinstallare un plugin non dovrebbe richiedere una pulizia manuale del database. GEO Optimizer Pro usa l'hook after_uninstall di Freemius e non aggiunge un file uninstall.php separato.
Se la licenza non è valida, il plugin non degrada in silenzio: disattiva i moduli premium, chiude gli endpoint REST riservati, sospende i cron premium e rimuove i file statici e le regole htaccess generate. Il sito resta online, ma nessuna funzione Pro resta attiva.
In un secret store cifrato con AES-256-GCM. I valori non vengono mai esportati, non finiscono nei log e vengono migrati automaticamente dal vecchio formato in chiaro alla prima esecuzione.
Valida ogni URL, risolve il DNS, rifiuta IP privati, loopback, link-local e host di metadata cloud, blocca i redirect e fissa l'IP risolto per la connessione reale, evitando il DNS rebinding.
GEO Optimizer Pro fornisce gli strumenti tecnici: exporter ed eraser per i dati personali, retention configurabile dei prompt, minimizzazione delle query e testo di policy generato. La conformità complessiva resta responsabilità del titolare del trattamento.
Solo se attivi esplicitamente il prompt logging, disattivato per impostazione predefinita. Quando è attivo, scegli una retention da 1 a 3650 giorni e puoi cancellare i dati in qualsiasi momento.
No. La pulizia passa da after_uninstall, non da un file uninstall.php: opzioni, tabelle, cron, transient, capability e file statici vengono rimossi anche in multisite. Le suite di test verificano che non restino residui.
30 giorni di prova gratis, 14 giorni money back e tutte le funzioni Pro incluse: licensing fail-closed, secret store cifrato, guard SSRF, audit log, GDPR e AI ACT. Prova l'hardening sul tuo sito.
30 giorni di prova gratuita · 14 giorni money back · tutte le funzioni Pro incluse