TralegraffeGuard
TralegraffeGuard è il livello proprietario Tralegraffe per la difesa applicativa di pagine, aree amministrative e API PHP. Interviene prima della logica applicativa, filtra il traffico anomalo e mantiene stato e log fuori dalla root pubblica, senza dipendenze esterne.
Ogni pagina può avere limiti dedicati. Il sistema valuta il numero di richieste in una finestra temporale mobile, così il blocco è più preciso rispetto a un contatore rigido.
Oltre ai singoli endpoint, viene tracciato anche il volume complessivo delle richieste per IP, utile per intercettare scansioni e flood distribuiti tra URL diversi.
Dopo più violazioni consecutive, TralegraffeGuard applica ban temporanei con decadimento delle infrazioni, limitando i picchi ostili senza penalizzare il traffico legittimo.
Il sistema valida metodi ammessi, lunghezza della URI, dimensione dello user agent e aggiunge header di sicurezza per ridurre superficie d’attacco e abuso.
Blocca query string anomale, troppo estese o con pattern tipici da injection, XSS e path traversal prima che raggiungano la logica della pagina.
Gestisce reti fidate anche per subnet e non solo per IP singoli, così il deploy dietro reverse proxy o LAN controllate resta più preciso e meno fragile.
Stato e log operativi vengono conservati fuori dalla document root con permessi restrittivi. Le installazioni esistenti migrano automaticamente i file legacy senza interrompere il servizio.
I blocchi restituiscono stato HTTP, Retry-After e header di rate limit. I client JSON e le richieste AJAX ricevono una risposta strutturata, mentre il browser riceve una pagina leggibile.
Gli eventi di sicurezza sono registrati in formato JSON Lines con lock esclusivo, permessi 0600 e rotazione automatica, così diagnosi e auditing restano gestibili.
Lock concorrenti, garbage collection, limiti al numero di IP ed endpoint tracciati e comportamento fail-open evitano che il sistema di difesa diventi un punto di interruzione.
Come funziona
- mantiene uno stato locale con cronologia delle richieste per IP e per endpoint;
- applica insieme un limite specifico per endpoint e un limite globale per IP;
- supporta whitelist e proxy fidati, per infrastrutture interne o reverse proxy controllati;
- accetta whitelist e trusted proxies anche in formato CIDR per reti fidate più ampie;
- esegue garbage collection periodica per contenere lo stato in memoria e su disco;
- risponde con 429 e Retry-After quando il traffico supera i limiti;
- negozia automaticamente risposte HTML o JSON in base al tipo di client;
- aggiunge filtro su query string sospette, oversize o troppo dense di parametri;
- invia CSP, HSTS su HTTPS, COOP, CORP e altri header di sicurezza;
- adotta una strategia fail-open se il file di stato non è disponibile, evitando falsi positivi su utenti reali.
Perché è proprietario
TralegraffeGuard nasce per questo stack: pagine PHP rapide, metriche privacy-first, infrastruttura autonoma e controllo diretto delle politiche di accesso. Non è un semplice plugin generico: è un componente scritto per il modello operativo Tralegraffe.
Dove è usato
TralegraffeGuard protegge le principali superfici del sito: pagine pubbliche, dashboard, aree amministrative, API, webhook, autenticazione WebAuthn, download, esportazioni e servizi per sensori. Profili dedicati consentono di assegnare soglie diverse ai flussi pubblici, amministrativi e machine-to-machine.
Affinamenti recenti
- supporto a whitelist e trusted proxies basati su subnet CIDR;
- blocco di query string sospette con logging dedicato;
- limiti aggiuntivi su dimensione e densità dei parametri di query;
- header moderni come CSP, HSTS, COOP e CORP per ridurre ulteriormente la superficie esposta;
- supporto al metodo OPTIONS per API e richieste preflight;
- stato, credenziali operative e log spostati in storage privato con migrazione automatica;
- rotazione del log, permessi restrittivi e protezione Apache dei file legacy;
- middleware idempotente, utilizzabile anche in pagine composte da più moduli protetti.