Capn3m0 WebSecurity

E’ impossibile che voi non abbiate mai notato la stringa “Annunci Google” che appare ormai su qualsiasi sito internet che si conosca. Se vedete quella scritta significa che il proprietario del sito o dei contenuti ha deciso di monetizzare il suo sito web inserendo i banner AdSense.

AdSense è un programma “Pay-to-Click” cioè paga a Click, quindi ogni qualvolta un visitatore clicca su uno degli annunci AdSense presenti nel tuo sito, tu riceverai un compenso che varia da pochi centesimi a 30/40 euro (in casi eccezionali). E’ chiaro che i potenziali guadagni crescono con l’aumentare sia dei click che ricevi sia delle visite al tuo sito.

Mi spiego meglio: un sito con 1000 visite mensili è molto meno redditizio rispetto ad un sito che riceve qualche decina di migliaia di visite mensili, a parità di CPC (Costo per Click=quanto vi paga Google per ogni click che ricevete) il sito avrà guadagni più alti proprio perché se più gente visita il tuo sito hai più probabilità che gli utenti clicchino sui banner.

Di seguito qualche sigla che dovrete imparare ad ogni costo se volete analizzare per bene i vostri guadagni grazie alla piattaforma AdSense.

CTR = E’ il rapporto tra i click che ricevi e le visite della pagina. (Clicks/Page Views). Esempio:

se hai ricevuto due clic su 250 visualizzazioni pagina, il tuo CTR è di 0,8% (2/250)

CPC = Abbiamo già detto che è quanto vi paga Google per ogni click che ricevete. Il guadagno varia a seconda del prodotto sponsorizzato: alcuni sono disposti a pagare di più perché c’è più concorrenza, altri di meno.

RPM = (Entrate stimate/Numero di visualizzazioni pagina)*1000 . Questa formula ci trova il guadagno stimato per 1000 visualizzazioni della pagina. Se hai ottenuto entrate stimate pari a € 0,15 con 25 impressioni sulla pagina, l’eCPM della pagina sarà pari a (€ 0,15/25) * 1000, ovvero € 6,00.

Come guadagnare di più?

Esistono numerosi modi per guadagnare di più (anche di molto) con la piattaforma fornita da Google. Il primo che vi posso consigliare è quello di ottimizzare il layout del banner nel modo più redditizio possibile: senza bordi, il colore dello sfondo del banner deve essere uguale a quello della pagina, colore dell’url e del test possibilmente nero o colore abbastanza acceso.

Cambiare le keywords (cioè le parole chiave) di un sito o di un articolo: alcune parole chiave sono molto pagate rispetto ad altre, mi spiego meglio: se parlate di assicurazioni, mutui, soldi online, banche (essendoci più concorrenza tra gli advertisers) ad ogni click riceverete un compenso più alto se, per esempio, parlate di calcio.

Nei prossimi articoli approfondirò questi ultimi temi: layout dei banner per ottimizzare i guadagni e le keywords più pagate dagli inserzionisti.

Buon Guadagno

Google segue Twitter e attiva la geo censura sul servizio di blog: Blogger.

Come accaduto qualche giorno fa con Twitter anche il colosso di Mountain View ha attivato da circa un mese un sistema di censura geolocalizzato. I Paesi che ne faranno richiesta potranno indicare quali contenuti non sono “in linea” con le leggi vigenti in quella Nazione -  che tradurrei con “non sono in linea con la politica di chi comanda” – e Google provvederà a rendere irraggiungibili le pagine che li contengono.

Attualmente è già attivo per l’Australia e l’India ma entro breve verrà esteso a tutto il Mondo. Nonostante ultimamente ci vengano ricordate di continuo le nuove norme sulla privacy, l’attivazione della geo censura non ha avuto lo stesso risalto e grazie al sito TechDows che ha scovato questo post scopriamo che è stata attivata dal 9 gennaio 2012, 25 giorni fa!

La geo censura consiste nel redirettare le richieste al dominio blogspot.com verso i domini locali compatibilmente con le richieste di rimozione in ottemperanza alle leggi locali:

Migrating to localized domains will allow us to continue promoting free expression and responsible publishing while providing greater flexibility in complying with valid removal requests pursuant to local law.

 Il controllo della provenienze viene fatto sull’Ip e la stessa Google ha indicato che basta inserire il suffisso “/ncr” (No Country Redirection) alla fine dell’url per evitare la geo censura.

Se non dovesse bastare trovare un Proxy per aggirare il sistema, per fortuna, è ancora una cosa molto semplice.

Da ciò che emerge dalle notizie riportate se il blog è stato associato ad un dominio personalizzato la censura viene bypassata.

La notizia che anche Google si è sottomesso ai voleri dei potenti impauriti dai social network ha diviso la comunità informatica (e non). Ritengo che l’applicazione della censura è stata una scelta obbligata perché restano pur sempre un’azienda che deve fare business e non può permettersi di finire lei stessa censurata.

La mia fiducia verso BigG è tanta e vedo vari segnali che mi fanno pensare che sapranno trarre enormi profitti dalla “finta” censura. La definisco finta perché, come si legge, se da una parte hanno obbedito alle richieste di chi richiede l’applicazione di un filtro ai social network, dall’altra hanno già indicato e fornito i metodi per aggirarli.

Se a questo sommiamo che associando un dominio al servizio Blogger si bypassa totalmente questo filtro mi aspetto a breve un servizio di registrazione domini by Google.

Voi cosa ne pensate?

Recentemente sono state individuate alcune vulnerabilità tra le pagine dei Servizi di Google e FaceBook. Sono falle di tipo Open Redirect che permettono di effettuare un redirect senza necessità di manipolare stringhe o eseguire azioni particolari.

Open, infatti, sta ad indicare che il sito affetto da tale falla non effettua alcun controllo sull’input ed esegue il codice per cui è programmato sempre e comunque. Il vantaggio di poter sfruttare vulnerabilità come questa è quello di poter utilizzare url di domini di cui la gente non mette in dubbio la provenienza (Google appunto) per farli cliccare e redirettarli a siti di phishing o similari.

Immaginate l’utente medio che riceve un’email clone di Google che gli indica di cliccare  un  url del dominio “google.com” ed inserire i suoi dati per via di un qualche motivo plausibile. Quanti penserebbero che quell’url nasconda una minaccia?

In questo caso l’url affetto da tale vulnerabilità è appartenente al Servizio Google Accounts ed è il seguente:

https://accounts.google.com/o/oauth2/auth?redirect_uri=http://www.sitomalevolo.com

Allo stato attuale la falla è già stata risolta e provando un redirect verso capn3m0.org si ottiene un errore di “Bad Request”:

https://accounts.google.com/o/oauth2/auth?redirect_uri=www.capn3m0.org

Questa vulnerabilità è stata individuata da Ucha Gobejishvili aka longrifle0x che vanta solo nell’ultima settimana una serie di XSS in siti degni di nota: Google, Apple, Sony Ericcsson.

Sempre longrifle0x ha individuato una vulnerabilità XSS alla pagina delle Google App for Business. Per verificare la vulnerabilità è necessario andare all’url:

https://www.google.com/a/cpanel/premier/new3?hl=en

ed inserire nel campo “Domain” questo codice:

<IFRAME SRC=”javascript:alert(‘XSS’);”></IFRAME>

Qui il suo “curriculum”!

La seconda vulnerabilità, individuata da ZeRtOx del gruppo Devitel, riguarda FaceBook ed è sempre di tipo Open Redirect. Il codice è il seguente:

http://www.facebook.com/l.php?h=5AQH8ROsPAQEOTSTw7sgoW1LhviRUBr6iFCcj4C8YmUcC8A&u=www.sitomalevolo.com

e attualmente è ancora presente come dimostra il link che rediretta a capn3m0.org:

http://www.facebook.com/l.php?h=5AQH8ROsPAQEOTSTw7sgoW1LhviRUBr6iFCcj4C8YmUcC8A&u=www.capn3m0.org

Infine segnalo una terza vulnerabilità Open Redirect sempre per i Servizi di Google: Ad Services. I banner di Adsense sono associati ad un url fatto nel seguente modo:

http://www.googleadservices.com/pagead/aclk?
sa=L
&ai=BCN0tjMAhT9ijEq2Q0QXP1tm2BKGTn-sB4e7Th0fAjbcB8IQOEAEYASCZ0NoLOABQg7et0Pn_____AWD98vyD3BCgAYfM69oDsgEPd3d3LmNhcG4zbTAub3JnugEKMzM2eDI4MF9hc8gBBNoBUWh0dHA6Ly93d3cuY2FwbjNtMC5vcmcvZmlsZXNoYXJpbmctcG9zdC1tZWdhdXBsb2FkLWNoaXVzaS1maWxlc29uaWMtdXBsb2FkZWQuaHRtbIACAbgCGMgC4afaFKgDAfUDAAAgwPUDAAAAEIgGAaAGBA
&num=1
&cid=5GhoQFqmzEdFESSc_Vjf5Gxi
&sig=AOD64_2aoaqhlTxnKAENG806XtTTXpAjFw
&client=ca-pub-XXXXXXXXXXXXXXXX
&adurl=http://www.sitomalevolo.com

I parametri che riceve in input devono essere tutti corretti ad eccezione del campo adurl che invece viene valorizzato con il link verso cui vogliamo che rediretti.

Come potete immaginare trovare un link con tutti i dati corretti è molto semplice. Basta navigare tra i siti che mostrano banner di Google AdSense e copiarsi il link.

Quest’ultima falla l’ho trovata ispirato dalle due precedenti mentre scrivevo l’articolo. Se conoscete chi ne ha parlato prima di me segnalatemelo che provvederò a mettere l’autore.

WordPress lento? Per lavoro e per esperienze personali con i miei siti ogni tanto riscontro alcune latenze con i siti sviluppati in WordPress.

Quelli che andrò ad illustrare di seguito sono alcuni utili plugins per WordPress che consentono di monitorare e di migliorare le performance del proprio Cms. Per effettuare le verifiche e monitorare i risultati ottenuti ho utilizzato 3 strumenti:

- Google Page Speed

- Yahoo Slow (YSlow)Fi

- Fiddler 2

Strumenti

Google Page Speed

Si tratta di un tool sviluppato dai Google Labs che permette di testare il sito sotto vari punti di vista per ottenere un Report che ci indica i punti in cui può essere ottimizzato per ottenere performance migliori.

Yahoo Slow

Come PageSpeed questo tool è invece sviluppato da Yahoo e permette di ottenere una valutazione del proprio sito. Oltre ciò fornisce alcuni mini-report che consentono di vedere di quanti oggetti è composto il nostro sito, quali sono più pesanti in termini di dimensioni e una stima percentuale del vantaggio che avremmo attivando la gestione del caching (Mod_Expire).

Fiddler 2

E’ un utilissimo strumento che permette di vedere in tempo reale tutto lo scambio di Header HTTP tra Client e Server per vedere nel dettaglio quale Request causa lentezza o punta a risorse non valide che allungano i tempi di risposta.

Linee Guida

Leggendo in Rete varie guide e tutorial su SEO e ottimizzazioni delle performance si può dire che le linee guida generali di base da attuare per ottimizzare il proprio sito agli occhi dei motori di ricerca siano le seguenti:

• Ridurre il peso dei file css e js utilizzando il minify e spostando il loro caricamento alla fine della pagina (footer)
• Ridurre il peso delle immagini ottimizzandole per il Web utilizzando funzionalità quali Smush.it di Yahoo
• Utilizzare il caching degli oggetti (css,js,pdf,etc..) per ridurre al minimo i caricamenti richiesti al Server (Mod_Expire)
• Ridurre le richieste HTTP
• Attivare la Compressione lato Server (mod_deflate,gzip,zlib)

I fattori da tenere in considerazione sarebbero molti di più ma, come detto, questa vuole essere una linea guida di base. In futuro vedremo come migliorare nel dettaglio ogni singolo dettaglio del sito.

Plugin WordPress

W3 Total Cache

W3 Total Cache è uno degli strumenti più utili e completi poiché si tratta di un all-in-one che permette di gestire vari aspetti: il caching, la riduzione dei css e js, la compressione lato Server. Il plugin si suddivide in varie aree ognuna per configurare i dettagli di alcune ottimizzazioni:

• Page Cache, per configurare il caching della pagine
• Minify, per attivare la riduzione del peso dei css e dei js. Permette di combinare più elementi in un unico file riducendo quindi le chiamate Http. Invece che chiamare vari singoli Js e Css viene incluso tutto un unico file
• Database Cache, per configurare il caching delle risposte del Database
• Object Cache, per configurare il caching degli oggetti
• Browser Cache, per abilitare l’expire e la durata della cache lato browser, utile per risparmiare nelle richieste Http
• User Agent Groups, per gestire configurazioni diverse a seconda della provenienza. Utile per attivare temi ad hoc per i visitatori da device mobile
• Referrer Groups, per gestire configurazioni diverse a seconda del sito di provenienza

P.S. – In alcuni Hosting può capitare che subito dopo l’attivazione appaia un errore “500 Internal Server Error”. In quel caso andranno rimosse alcune righe del file “.htaccess”. Se dovesse capitare contattatemi commentando questo articolo.

W3 Total Cache Home Page

Javascript To Footer

Javascript To Footer una volta attivato non necessita di configurazione e provvede solo ed esclusivamente a spostare il caricamento dei JavaScript alla fine della pagina. Questo è utile poiché i Javascript spesso richiedendo il caricamento della VirtualMachine che può rallentare il caricamento. Mettendoli alla fine della pagina si garantisce una veloce visualizzazione del sito.

Javascript To Footer Home Page

P3 Plugin Performance Profiler

P3 Plugin Performance Profiler è un plugin che non server ad ottimizzare ma solamente a monitorare. Una volta installato trovate la voce sotto il menu “Strumenti”. Potrete lanciare una scansione che emulera la visita al vostro sito da parte di un utente seguendo i primi link degli ultimi post. L’operazione può richiedere dei minuti ed una volta terminata ci comunicherà tramite dei comodi grafici quali plugin installati impattano maggiormente sulle performance. Spetterà poi a noi decidere se eliminarli, sostituirli con un plugin similare o tenerceli.

P3 Plugin Performance Profiler Home Page

User Google Libraries

User Google Libraries è un utile plugin che permette di sostituire il caricamento di alcuni Javascript di WordPress con i rispettivi cloni hostati sui Server Google. Questo consente al nostro server dove siamo hostati di risparmiare l’invio di alcuni file a cui provvederà Google in parallelo e inoltre ci sarà maggiore possibilità che tali file siano già nella cache del browser. Le librerie che saranno ospitate sui Server Google sono le seguenti:

• Dojo
• jQuery
• jQuery UI
• MooTools
• Prototype
• script.aculo.us
• swfobject

Use Google Libraries Home Page

Wp Smush.it

Wp Smush.it è un plugin che permette di ottimizzare le immagini dei nostri post tramite il tool Smush.it consentendo di risparmiare qualche kb per ogni immagine ottimizzandole per il Web. Questo vi permetterà di risparmiare banda e risorse e di apparire più “piacevoli” agli occhi di un motore di ricerca.

Conclusioni

Una volta installati e configurati tutti i plugin di WordPress indicati dovreste riscontrare i primi miglioramenti. Utilizzando i tool segnalati ad inizio articolo riuscirete ad alzare il punteggio del vostro sito ottenendone benefici anche dai Motori di Ricerca che considereranno il vostro sito in modo diverso.

Provate e postate i vostri commenti indicandoci i miglioramenti ottenuti o i problemi riscontrati!

Consiglio di leggere anche il precedente articolo riguardante il miglioramento della velocità di WordPress.

Tra gli innumerevoli progetti portati avanti da Google in occasione del terremoto in Giappone c’è stato Google Memories For The Future, una versione personalizzata di Google Street View in cui è possibile vedere le zone colpite dal terremoto sia prima che dopo questo terribile evento.

Da luglio a novembre le Google Car hanno mappato le aree interessate dal disastro permettendo di archiviare un numero di immagini tali da permettere una ricostruzione tridimensionale della zone. Per parlare di numeri i chilometri percorsi totali sono stati 44.000 e hanno attraversato 28 città.

Le zone “calde” più prossime alla centrale nucleare non sono ancora presenti per via delle radiazioni elevate. Sono invece presenti un gran numero di aree della zona di Onagawa, un’altra delle aree più colpite.

La situazione resta molto complicata e la ricostruzione in alcune aree va avanti, in altre deve ancora iniziare.

Questo progetto, a detta del numero uno di Street View, è stato realizzato per permettere di mantenere viva la memoria di quanto accaduto e per fornire quante più informazioni possibili agli studiosi dei disastri.

Per consultare Memories For The Future seguite il link seguente:

Goole Memories For The Future – Japan Before And After The Earthquake And Tsunami