Scarica

Aggiornare alla 1.7.0

Il plugin 1.7.0 è una versione di sicurezza con modifiche incompatibili. L’aggiornamento richiede un minuto; i passaggi successivi, ruotare la chiave e rilasciare di nuovo i token, sono quelli che tengono al sicuro il sito. Falli in quest’ordine.

In questa pagina

Perché la rotazione è obbligatoria. Le versioni precedenti permettevano a un token amministratore in sola lettura di leggere wp-config.php, che contiene la chiave di firma. Chi ha quella chiave può creare un token con tutti i permessi. Una chiave nuova rende inutili tutti i token vecchi.

Prima di iniziare

  • Se hai una copia di staging, aggiorna prima quella e prova i tuoi prompt abituali.
  • Fai un backup, con gli strumenti del tuo hosting o con wp_backup_create.
  • Elenca tutti i posti che contengono un token di questo sito: Xaflo Desktop, Claude Code, Claude Desktop, ChatGPT Desktop, script.

I passaggi, in ordine

  1. Aggiorna il plugin

    Usa la normale schermata degli aggiornamenti di WordPress, oppure carica xaflo-wp-connect-1.7.0.zip dalla pagina Scarica sopra la versione vecchia. Il plugin resta attivo.

  2. Ruota la chiave di firma

    Apri Xaflo → Impostazioni e fai clic su Ruota chiave. Tutti i token esistenti smettono subito di funzionare, quindi i tuoi client AI risponderanno con un errore di autenticazione fino al passaggio 4.

  3. Crea i nuovi token

    In Xaflo → Token crea un token per ogni client, da amministratore. La schermata raggruppa gli scope e avvisa per ognuno di quelli pericolosi. Aggiungi fs:admin solo dove devono cambiare file fuori da uploads, e admin:login solo per l’accesso rapido di Xaflo Desktop. Vedi Permessi dei token.

  4. Sostituisci il token in ogni client

    In Xaflo Desktop: Siti → il sito → Sostituisci token. In Claude Code, Claude Desktop o ChatGPT Desktop incolla il nuovo token nella configurazione del sito, poi chiudi e riapri l’app. Su Windows aggiorna nello stesso momento Xaflo Desktop alla 2.0.2.

  5. Salva di nuovo la lista di IP

    Se ne usi una, apri Xaflo → Impostazioni e salvala di nuovo. Una lista salvata con la 1.6.0 non viene applicata fino ad allora; le Impostazioni mostrano se è applicata, salvata ma non applicata, o spenta.

  6. Controlla

    Chiedi all’assistente di eseguire wp_health_check. Sulla 1.7.0 riporta plugin_version e, con il server MCP 1.3.1 (in Xaflo Desktop 2.0.2), gli scope del token in uso. Xaflo → Registro di audit mostra ogni chiamata, rifiuti compresi.

Cosa cambia nel tuo lavoro

File

site:write ora cambia file solo dentro wp-content/uploads, e solo documenti, immagini, audio, video e archivi. Modificare file di temi o plugin, o qualsiasi altra cosa fuori da uploads, richiede anche fs:admin nel token, e lì ogni sovrascrittura, rinomina o eliminazione chiede conferma. Senza, ricevi xaflo_fs_outside_uploads.

Database

/db/query richiede un account amministratore. Le scritture richiedono che le tabelle users, usermeta, options e dei token siano InnoDB (altrimenti 409), e l’intera route viene rifiutata con le modalità SQL NO_BACKSLASH_ESCAPES o ANSI_QUOTES o con una connessione big5, cp932, gbk, gb18030 o sjis. Con params usa solo %s, %d e %f, e passa tutto il resto, come un modello LIKE, come valore.

Token creati da non amministratori

Ogni route con token ora controlla una capability di WordPress. Un token creato da un Editor continua a funzionare per i contenuti, ma le route di file, database, backup, manutenzione e simili lo rifiutano. Crea quei token da amministratore.

Conferme

Xaflo Desktop 2.0 e il server MCP 1.3 ti mostrano sempre cosa cambierà e aspettano il tuo sì. Desktop 1.x confermava alcune operazioni da solo: aggiornalo.

Qualcosa non funziona dopo l’aggiornamento? Risoluzione problemi dopo la 1.7.0. Ogni modifica è nel Changelog.