Security Guard

Limiti i tentativi di password nel login di GLPI e fermi la forza bruta

Security Guard protegge GLPI dagli attacchi di forza bruta sul login web, sull'API REST, sull'API v2, su CalDAV e sul recupero della password. Conta le password errate e, quando una regola supera il limite, blocca temporaneamente i nuovi tentativi (HTTP 429) dell'utente, dell'IP o della combinazione dei due. È gratuito e funziona su GLPI 10, GLPI 11 e GLPI 12.

Free

Vedi i piani Scarica da GitHub

Funzionalità

Ogni regola ha la propria finestra, il limite di errori e la durata del blocco, e può valere solo per determinate reti o paesi. Le eccezioni per utente, gruppo, profilo, rete o paese, con un periodo di validità, non vengono mai bloccate. Il Pannello mostra i tentativi delle ultime 24 ore e i 10 IP, utenti e paesi con più errori nella settimana; la scheda Test simula un tentativo senza salvare nulla.

Dietro un reverse proxy o Cloudflare, l'IP reale dell'utente viene letto solo attraverso i proxy che dichiari, e la scheda "IP di questa richiesta" mostra il risultato prima di attivare la protezione. La protezione è disattivata di default e le regole di esempio inattive. Il nome utente non viene mai salvato in chiaro: solo un HMAC per correlare e una maschera a schermo. Ogni regola sceglie su quali canali contare: nel recupero della password conta ogni richiesta, per IP o per e-mail; su CalDAV solo le password errate diventano eventi. Il codice MFA di GLPI 11 e 12 compare negli eventi e mantiene il limite di GLPI; l'SSO resta escluso.

Blocco temporaneo (HTTP 429) per utente, IP o utente+IP, con finestra, limite di errori e durata definiti in ogni regola

Protegge il login web, l'API REST, l'API v2 di GLPI 11 e 12, CalDAV e il recupero della password, e ogni regola sceglie i canali su cui contare

Eccezioni per utente, gruppo, profilo, rete (CIDR) o paese, con periodo di validità, che non vengono mai bloccate

GeoIP con la base MaxMind GeoLite2 Country, che Lei scarica gratuitamente e carica: regole ed eccezioni per paese

Pannello con i tentativi delle ultime 24 ore per esito e la top 10 di IP, utenti e paesi per errori in 7 giorni

Sblocco e blocco manuali, con lo storico completo dei blocchi e un permesso distinto per ogni azione

IP reale dietro un reverse proxy o Cloudflare, con un pulsante che aggiunge gli intervalli ufficiali della CDN

Utente conservato solo come HMAC e mostrato con una maschera, con conservazione degli eventi configurabile

Simulatori di risoluzione dell'IP e di tentativo di login che non salvano nulla

Come funziona

Passo 1

Configuri i proxy attendibili

Indichi la rete del reverse proxy davanti a GLPI e, se usa Cloudflare, aggiunga gli intervalli della CDN con un clic. Nel riquadro "IP di questa richiesta" verifichi che l'IP risolto sia quello dell'utente.

Passo 2

Attivi una regola

Il modulo include due regole di esempio inattive: Utente + IP (5 errori in 15 minuti bloccano per 15 minuti) e IP (30 errori in 15 minuti bloccano per 30 minuti). Attiva quella adatta, scegli i canali (login web, API, CalDAV, recupero della password) e aggiungi le eccezioni necessarie, come la rete di un sistema integrato tramite API.

Passo 3

Accenda la protezione e segua i risultati

La protezione arriva disattivata: la attivi nella scheda Impostazioni. Da quel momento il Pannello e la scheda Eventi mostrano i tentativi classificati, e chi ha il permesso può revocare un blocco prima della scadenza.

Guardalo in azione

Un tour rapido di ciò che il plugin fa nella pratica.

Demo video in arrivo.

Galleria di immagini

Controlli anche le vulnerabilità di GLPI

Proteggere il login è solo una parte del lavoro. CVE Scan indica se la Sua versione di GLPI ha CVE note e cosa sistemare sul server, con un punteggio da 0 a 100.

Scopra CVE Scan

Inizi a utilizzare Security Guard

Consulti i piani disponibili o legga l'articolo completo su questo modulo.

Vedi i piani Legga l'articolo completo Scarica da GitHub