Gate443 — Documentazione

A chi si rivolge: l'amministratore di sistema del servizio da proteggere.

Indice#

1. Che cos'è Gate443
2. Registrazione e prova gratuita
3. Primo accesso e sicurezza del tuo account
4. Contratto e pagamenti
5. Account azienda
6. Servizi
7. Proteggere la tua applicazione: accetta solo Gate443
8. Utenti
9. Abbinamenti utente–servizio
10. Personalizzazione della pagina di accesso
11. Sicurezza (WAF) dei tuoi servizi
12. Log accessi e privacy
13. Dashboard
14. Cosa vedono i tuoi utenti
15. Procedure passo-passo
16. Problemi frequenti
17. Riferimento rapido

1. Che cos'è Gate443#

Gate443 è un gateway di accesso che si mette davanti alle tue applicazioni web (intranet, gestionali, portali) e le rende raggiungibili da Internet solo a persone identificate. L'applicazione non viene mai esposta direttamente: chi vuole entrare arriva su Gate443, dimostra chi è con un codice a sei cifre ricevuto via email e da quel momento naviga l'applicazione attraverso il gateway. Il login della tua applicazione, se c'è, resta com'è: Gate443 è un livello in più, non un rimpiazzo.

Quattro oggetti spiegano tutto il pannello:

Ogni servizio ha due indirizzi, sempre validi entrambi:

1. URL di default — https://app.gate443.it/<tua-azienda>/<servizio>
2. Dominio white-label (se il contratto lo comprende) — il servizio vive alla radice di un tuo dominio, ad esempio https://portale.tuaazienda.it/.

2. Registrazione e prova gratuita#

Puoi attivare Gate443 da solo, dal sito gate443.it:

1. Compila ragione sociale (per il contratto, non compare da nessuna parte), nome cliente breve (finisce negli indirizzi dei tuoi servizi: app.gate443.it/<nome-cliente>/<servizio>, e la pagina te lo mostra mentre scrivi), il tuo nome e la tua email aziendale; accetta le condizioni. Serve un'email con il dominio della tua azienda: le caselle gratuite (Gmail, Outlook, Libero…) e quelle temporanee non sono ammesse, e la prova è una per dominio: se qualcuno della tua azienda l'ha già attivata, chiedi a lui l'accesso oppure scrivici.
2. Ricevi via email un codice di sei cifre, valido 15 minuti: digitalo nella stessa pagina e scegli la password del pannello (almeno 10 caratteri).
3. Il pannello è pronto. L'email di benvenuto ti dice fino a quando è gratis.

Cosa comprende la prova: 1 servizio protetto, 1 dominio white-label, 1 cache statica, 50 utenti, il firewall dei tuoi servizi. È gratis per 7 giorni dalla registrazione (l'email di benvenuto e la pagina Contratto e pagamenti dicono fino a quando). Se arrivi dal link di un rivenditore, la prova dura un mese in più.

Cosa succede dopo. Alla fine dei giorni gratuiti si applica il listino per quella configurazione (29 € il servizio, 10 € il white-label, 5 € la cache; importi in euro, IVA inclusa per chi acquista dall'Italia), a partire dal mese in cui finisce la prova, per intero. Se hai inserito una carta (§4) quel mese viene addebitato il giorno dopo la fine della prova e poi ogni 1° del mese; se non l'hai inserita i servizi si fermano e basta, nessun addebito a sorpresa: li riattivi inserendo la carta, che incassa subito il mese scoperto. Finché non c'è una carta, la pagina di accesso e le email dei tuoi servizi portano un piccolo contrassegno «Prova gratuita Gate443».

Se arrivi da un rivenditore. Se hai aperto il sito da un link del tipo gate443.it/?ref=<codice>, il modulo lo segnala e il tuo account viene associato a quel rivenditore: per te cambia solo che la prova dura un mese in più, prezzo e servizio sono gli stessi. Il codice resta memorizzato nel browser, quindi vale anche se completi la registrazione più tardi dallo stesso dispositivo.

Ogni nuova registrazione arriva anche a chi gestisce la piattaforma: se hai bisogno di più servizi, utenti o di un'offerta su misura, scrivici e adeguiamo il contratto.

3. Primo accesso e sicurezza del tuo account#

Il pannello è su https://app.gate443.it/. Entri con email e password; poi il sistema chiede sempre un secondo fattore:

Il codice vale 5 minuti e ammette 5 tentativi. Se usi l'app ma non hai il telefono a portata di mano, «Non hai l'app? Ricevi un codice via email» invia comunque un codice sulla tua casella.

La voce Sicurezza account raccoglie tutto ciò che riguarda il tuo accesso:

• Cambio password — richiede la password attuale; la nuova deve avere almeno 8 caratteri ed essere diversa. Se la password iniziale te l'ha assegnata qualcun altro (per esempio chi ti ha creato l'accesso) è temporanea: al primo accesso il pannello ti porta direttamente qui e mostra un avviso in cima a ogni pagina finché non la sostituisci con una tua.
• App di autenticazione (OTP) — Abilita OTP mostra un QR code da inquadrare con Google Authenticator, Authy, 1Password o simili; confermi con il codice a 6 cifre generato. Da lì in poi il secondo fattore è l'app: più rapido e indipendente dalla posta. Il codice via email resta sempre disponibile come riserva.
• Passkey — Windows Hello, Touch ID o una chiave FIDO2: Aggiungi passkey e da quel momento entri senza password e senza codice. Puoi registrarne più di una (il portatile e il telefono) e rimuoverle singolarmente.

Consiglio: registra la passkey e tieni attiva l'app di autenticazione. La passkey è legata a un dispositivo; se quello si rompe, l'app è il modo per rientrare senza chiedere a nessuno.

La lingua del pannello si cambia dal menu utente in alto a destra (Italiano / English).

4. Contratto e pagamenti#

La pagina Contratto e pagamenti mostra il tuo abbonamento mese per mese: cosa comprende, il canone e l'esito del pagamento. Gli importi sono in euro e, per chi acquista dall'Italia, IVA inclusa. In cima, nell'ordine in cui vanno fatte, due cose:

1. Dati di fatturazione — ragione sociale, indirizzo completo, partita IVA o codice fiscale, codice destinatario SDI oppure PEC (per la fattura elettronica basta uno dei due), email di riferimento amministrativo. Sono i dati del contratto e vanno compilati prima della carta: il pulsante resta disattivo finché mancano.
2. Carta — si inserisce su una pagina di Stripe, il nostro fornitore di pagamenti: Gate443 non vede e non conserva i dati della carta. Da quel momento l'addebito è automatico, il 1° di ogni mese, per il canone del mese.

I mesi. Ogni riga è un mese: configurazione acquistata, canone e stato del pagamento (in attesa, pagato, fallito). I giorni dall'attivazione al 1° del mese successivo sono sempre in omaggio.

Il tuo contratto. Il riquadro acquistati / usati / liberi dice, per servizi, domini white-label e cache, quanto puoi ancora creare o attivare. Contano solo i servizi attivi: uno disattivato non occupa il posto.

Se il 1° del mese l'addebito non riesce. Un addebito fallito (carta scaduta, fondi insufficienti, carta tolta), o un mese rimasto in attesa oltre i giorni di tolleranza (7 dal 1°), sospende i servizi del contratto: i tuoi utenti non entrano più, il pannello resta aperto e ti dice il perché. Per riattivarli:

1. se serve, aggiorna la carta (Aggiungi/Aggiorna la carta): appena la carta è salvata il sistema prova subito a incassare i mesi scoperti e, se riesce, i servizi si riaccendono nello stesso istante (il pannello te lo conferma; se l'addebito non riesce, ti dice perché);
2. altrimenti premi Paga ora e riattiva nell'avviso rosso in cima (lo stesso pulsante Paga compare in Servizi accanto a ogni servizio sospeso): Stripe incassa subito i mesi scoperti con la carta attuale e, se va a buon fine, i servizi si riaccendono subito. Senza carta salvata il pannello ti porta a inserirla.

Se paghi con bonifico, comunicacelo: registriamo il pagamento e i servizi si riattivano allo stesso modo.

Sospendere l'abbonamento. Il pulsante Sospendi abbonamento ferma gli addebiti dal mese prossimo; i servizi restano attivi fino alla fine del periodo già pagato, poi vengono sospesi. Riattiva abbonamento riprende gli addebiti (con la carta salvata, o chiedendotene una nuova).

Eliminare la carta. Toglie la carta da Stripe. Attenzione: dal 1° del mese successivo l'addebito non potrà avvenire e i servizi verranno sospesi, a meno che tu non ne inserisca una nuova prima.

Variazioni. Dal riquadro Modifica il contratto scegli tu servizi, utenti (a pacchetti di 50), white-label e cache; il canone è quello del listino e il pannello lo mostra prima di confermare.

• Upgrade (nessuna voce diminuisce): la nuova configurazione vale da subito — puoi creare il servizio in più immediatamente — e il nuovo canone parte dal mese prossimo. Da quel momento non puoi ridurre il contratto finché quel mese non risulta pagato: evita di salire, usare e riscendere senza pagare. Il pannello lo mostra con un avviso e il mese da attendere.
• Downgrade (almeno una voce diminuisce): tutto dal mese prossimo; non puoi scendere sotto ciò che stai usando (servizi attivi, white-label, cache, utenti): disattiva o rimuovi prima, poi riduci.
• Durante la prova gratuita il blocco del downgrade non si applica: puoi aumentare e ridurre liberamente, perché non c'è nulla da pagare.

I mesi in omaggio restano gratis anche con la nuova configurazione. Nulla è ricalcolato a ritroso. Per configurazioni fuori listino, scrivici.

5. Account azienda#

La pagina Account azienda riassume il tuo rapporto con Gate443: data di registrazione, decorrenza del contratto, date di accettazione dei termini di contratto e dell'informativa privacy (registrate alla registrazione dal sito; se mancano, il pulsante Accetta ora le registra), se e quando hai usufruito della prova gratuita, e quanti servizi, utenti e accessi ci sono.

Eliminare l'account. Il pulsante in fondo chiude per sempre l'account dell'azienda: l'abbonamento viene annullato subito (nessun addebito futuro), servizi e accessi vengono spenti e i tuoi utenti non entrano più. Serve la tua password per confermare. L'eliminazione è logica: i dati restano in archivio, nome azienda ed email non tornano disponibili e la prova gratuita non è ripetibile. Per riattivare in seguito, scrivici.

6. Servizi#

La pagina Servizi elenca le tue applicazioni protette. In cima, il riquadro delle quote; a quota esaurita il pulsante Nuovo servizio si disattiva.

Privato e pubblico. Il modulo etichetta i due tipi di indirizzo. L'URL di destinazione è privato: è dove vive davvero la tua applicazione, e a contattarlo deve essere solo Gate443 (§7). L'URL di accesso e l'URL white-label sono pubblici: sono quelli da distribuire agli utenti, che vi trovano la pagina di accesso e, dopo il codice, la tua applicazione.

Inoltro dell'Host e IP dell'origine#

Sono due campi legati fra loro, e sono la parte del modulo che si presta di più a essere fraintesa. Vale la pena leggerli insieme.

Che cosa fa l'inoltro dell'Host. Ogni richiesta HTTP porta con sé il nome che l'utente ha digitato, nell'intestazione Host. Senza inoltro, Gate443 presenta alla tua applicazione il nome che sta nell'URL di destinazione; con l'inoltro acceso le presenta il dominio personalizzato, cioè quello che l'utente vede nella barra degli indirizzi. Non cambia dove Gate443 si connette: cambia solo il nome che dichiara.

Serve perché quasi tutte le applicazioni costruiscono i propri link da quell'intestazione. Con l'inoltro acceso, i link che tornano al browser sono già quelli giusti; senza, l'applicazione può rimandare l'utente al proprio indirizzo interno.

Sul servizio generico il dominio resta modificabile, e non è un controsenso. La domanda è legittima: se inoltro l'Host, quel nome non dovrebbe essere per forza quello del server? Dipende da che cosa sa di sé l'applicazione.

• Le applicazioni che ricavano i propri indirizzi dalla richiesta — la maggior parte dei gestionali e dei framework — accettano qualsiasi nome tu scelga, e l'inoltro è proprio ciò che le fa funzionare sul dominio che hai deciso tu. Qui il dominio è, giustamente, libero.
• Le applicazioni con un indirizzo scritto nella propria configurazione — WordPress con siteurl è l'esempio tipico — accettano solo quel nome: se ne ricevono un altro rimandano al proprio. Per questo sul tipo WordPress il dominio è bloccato al nome dell'URL di destinazione.

L'unica condizione, sul generico, è che il tuo server accetti il nome che gli arriva. Se ospita più siti sulla stessa macchina e li distingue per nome, aggiungi il dominio personalizzato fra quelli che riconosce, oppure lascia l'inoltro spento.

A che serve l'IP dell'origine. Se il campo è vuoto, Gate443 si comporta come ha sempre fatto: risolve via DNS il nome che sta nell'URL di destinazione e si connette all'indirizzo che ne esce. Vuoto va benissimo in tre casi su quattro:

• l'URL di destinazione è già un IP (es. http://203.0.113.10): non c'è nulla da risolvere, e infatti il campo non compare;
• la destinazione è un nome tecnico o interno che continua a puntare al tuo server (quello dell'hosting, o un nome di rete privata);
• il dominio personalizzato è diverso dal nome di destinazione: il DNS di quest'ultimo non si è mosso e continua a portare al tuo server.

Resta un caso, ed è quello per cui il campo esiste: dominio personalizzato e nome di destinazione coincidono, cioè la configurazione WordPress. Finché non tocchi il DNS funziona tutto anche senza IP. Nel momento in cui punti quel nome a Gate443, il gateway che prova a risolverlo trova se stesso, e le richieste rientrano dalla porta d'ingresso invece di uscire verso il tuo server. L'IP dell'origine dice al gateway a quale indirizzo bussare; nome, HTTPS e certificato restano quelli dell'URL di destinazione, esattamente come fa una CDN.

⚠️ Il sintomo è sgradevole perché arriva più tardi dell'errore: il servizio si configura e si prova con successo, e smette di funzionare ore dopo, quando il DNS si propaga. Se la destinazione è un nome e sposterai il suo DNS su Gate443, compila l'IP dell'origine subito, insieme al resto.

📧 Dotati di un server SMTP dedicato per i servizi white-label. Senza, i codici partono dal server di Gate443 con mittente noreply@tuo-dominio: un dominio che spedisce dal server di un altro finisce facilmente nello spam, perché i record SPF e DKIM del tuo dominio non autorizzano quel server. Con il server dedicato — tipicamente quello che già spedisce per la tua azienda (Microsoft 365, Google Workspace o il tuo provider di posta), con una casella noreply@ creata apposta — mittente, SPF e DKIM sono tutti in mano tua e i codici arrivano in posta in arrivo. Per la porta 587 lascia disattiva la connessione cifrata (si usa STARTTLS); per la 465 attivala. Dopo aver salvato, usa Invia email di prova e controlla che il messaggio non finisca nello spam. Se non vuoi un server dedicato, pubblica nel DNS del tuo dominio un record SPF che includa il server di Gate443 e chiedici la chiave DKIM.

Note utili:

• Un dominio white-label appartiene a un solo servizio; se è già in uso il pannello lo dice.
• Salvare un servizio svuota la sua cache: è il modo più rapido per far vedere agli utenti gli asset nuovi dopo un aggiornamento della tua applicazione.
• Eliminare un servizio cancella anche i suoi abbinamenti. Se serve solo una pausa, disattivalo.
• Dopo il codice l'utente torna alla pagina che aveva chiesto (es. /wp-admin/), non alla radice del servizio.

7. Proteggere la tua applicazione: accetta solo Gate443#

Questo passaggio è quello che rende la protezione reale. Finché la tua applicazione risponde a chiunque, chi ne conosce l'indirizzo vero può scavalcare il cancello. La regola è: la tua applicazione accetta connessioni soltanto dall'indirizzo di Gate443 e rifiuta tutto il resto.

L'indirizzo di Gate443#

Le richieste verso la tua applicazione partono dal server di Gate443:

IP:   4.232.160.186
Nome: app.gate443.it   (risolve sempre all'IP in uso)

Dove il tuo web server o firewall accetta un nome DNS, preferisci app.gate443.it all'IP: se un giorno l'indirizzo cambiasse, non dovresti toccare nulla. In ogni caso un cambio ti viene comunicato in anticipo, con un periodo in cui vecchio e nuovo indirizzo restano validi insieme.

Cosa deve esporre la tua applicazione#

• L'URL di destinazione deve essere raggiungibile da 4.232.160.186, in HTTPS o HTTP. Un certificato interno o self-signed sull'origine va bene.
• Se l'applicazione usa WebSocket, funzionano: Gate443 li inoltra.
• Gate443 aggiunge a ogni richiesta inoltrata alcune intestazioni che la tua applicazione può leggere:

Esempi di configurazione#

Sostituisci interno.azienda.it con l'host della tua applicazione e 8080 con la porta su cui gira.

nginx

server {
    listen 443 ssl;
    server_name interno.azienda.it;

    location / {
        allow  4.232.160.186;   # Gate443
        deny   all;
        proxy_pass http://127.0.0.1:8080;
    }
}

Apache 2.4

<Location "/">
    Require ip 4.232.160.186
</Location>

IIS — web.config (richiede la funzionalità IP and Domain Restrictions, non installata per default)

<system.webServer>
  <security>
    <ipSecurity allowUnlisted="false">
      <add ipAddress="4.232.160.186" allowed="true" />
    </ipSecurity>
  </security>
</system.webServer>

Caddy

interno.azienda.it {
    @estranei not remote_ip 4.232.160.186
    respond @estranei 403
    reverse_proxy 127.0.0.1:8080
}

Firewall, se preferisci fermare le richieste prima ancora del web server:

# Linux, ufw
ufw default deny incoming
ufw allow from 4.232.160.186 to any port 443 proto tcp

# Windows, PowerShell
New-NetFirewallRule -DisplayName "Solo Gate443" -Direction Inbound `
  -LocalPort 443 -Protocol TCP -RemoteAddress 4.232.160.186 -Action Allow

Il filtro sul firewall è più solido (una richiesta rifiutata non raggiunge nemmeno l'applicazione); quello sul web server è più comodo se non gestisci tu la rete. In cloud (Azure, AWS, ecc.) la stessa regola si mette nel Network Security Group o nel Security Group dell'istanza.

Verifica#

1. Da un PC fuori dalla tua rete apri l'URL di destinazione direttamente: deve rispondere 403 o non rispondere affatto.
2. Apri l'URL di accesso Gate443 del servizio, entra con il codice: l'applicazione deve caricarsi normalmente.
3. Se il punto 2 fallisce con un errore di Gate443 («origine non raggiungibile»), la regola sta bloccando anche Gate443: ricontrolla l'indirizzo.

Se la tua applicazione gira nella stessa rete di altri servizi non protetti, ricorda che la regola vale per l'applicazione protetta: gli altri restano come sono.

Siti WordPress#

💶 Il white-label è obbligatorio, non un'opzione. WordPress genera link, redirect e cookie verso il proprio dominio: sull'URL di accesso predefinito app.gate443.it/<azienda>/<servizio> un sito non può funzionare. Un servizio WordPress costa quindi un servizio più un dominio white-label del contratto (§4); il pannello lo accende da solo e rifiuta di salvare un servizio WordPress senza dominio. L'indirizzo predefinito resta, ma rimanda al dominio.

Gate443 può stare davanti a un sito WordPress in due modi, scelti con il Tipo di servizio (§6):

• Sito intero: nessuna pagina è visibile senza il codice. Per intranet, staging, aree riservate. Niente webhook, crawler o servizi esterni verso il sito: finirebbero sulla pagina di accesso.
• Solo backoffice: il sito resta pubblico, ma wp-login.php, wp-admin (tranne admin-ajax.php, che il sito usa anche per i visitatori) e xmlrpc.php rispondono solo dopo il codice. Il traffico del sito passa comunque da Gate443, con WAF e cache.

Stesso indirizzo dentro e fuori. La configurazione è la stessa in entrambi i casi e ricalca quella di una CDN. Il punto da capire è che il dominio del sito non cambia: resta quello di sempre, e il tuo server smette di essere raggiungibile direttamente.

1. URL di destinazione = l'indirizzo del sito com'è oggi, per esempio https://www.tuosito.it. Scegli il tipo WordPress: Dominio personalizzato e Inoltra l'Host originale si accendono da soli e restano bloccati, e il dominio pubblico diventa www.tuosito.it, uguale alla destinazione e non modificabile. Conta come un white-label del contratto (§4), e da qui puoi configurare anche il server SMTP dedicato.
2. IP dell'origine = l'IP del tuo server, quello a cui il DNS di www.tuosito.it punta oggi. Serve perché al passo 3 quel nome smetterà di portare al tuo server: Gate443 continuerà a chiamarlo www.tuosito.it, con HTTPS e certificato del nome, ma busserà a questo IP.
3. Il DNS di www.tuosito.it passa a Gate443 (§15.3). Il certificato HTTPS sul gateway è automatico. WordPress riceve www.tuosito.it, cioè il suo siteurl, e non ha bisogno di alcuna modifica: niente search-replace nel database, niente righe in wp-config.php, email con i link giusti.
4. Il tuo server rifiuta tutto ciò che non arriva da Gate443. È il passo che rende reale la protezione: senza, chi scopre l'IP del server entra da lì. Vedi gli esempi qui sotto e in §7.

Quindi, riassunto in una riga: il dominio va al gateway, il gateway bussa all'IP del server, il server accetta solo il gateway, e WordPress continua a credersi al proprio indirizzo.

Se preferisci scrivere l'URL di destinazione come IP (es. http://203.0.113.10), il dominio pubblico non può essere dedotto: lo scrivi a mano, e il campo IP dell'origine non serve.

Il plugin si scarica dall'elenco dei servizi, con l'icona dello zip accanto alla matita, dopo aver salvato il servizio.

Il plugin. Lo zip è già compilato con un token segreto e le regole del servizio. Caricalo da Plugin → Aggiungi nuovo → Carica plugin e attivalo; in alternativa copia gate443.php in wp-content/mu-plugins/ (sempre attivo, non disattivabile dal pannello di WordPress). Fa tre cose:

• riconosce le richieste di Gate443 dal token (intestazione X-Gate443-Token) e solo per quelle fida delle intestazioni X-Forwarded-*: WordPress vede host pubblico, https e IP reale del visitatore;
• rifiuta (403), o rimanda al dominio pubblico, chi raggiunge i percorsi protetti da un'altra strada: l'IP dell'origine, un vecchio nome DNS;
• annota nei log PHP ogni accesso al backoffice con l'utente Gate443.

Se rigeneri il token dal pannello, riscarica e reinstalla il plugin. WP-CLI e wp-cron.php non vengono mai bloccati.

Limiti del plugin, e la regola sul web server (VPS). Il plugin gira dentro PHP: non vede i file statici (wp-content/uploads, CSS, JS) e cade insieme al sito se questo viene compromesso da un'altra strada. Su hosting condiviso è la scelta giusta, perché non c'è altro. Su un VPS aggiungi la regola nel web server, che PHP non può toccare (l'IP è quello di §7):

nginx, solo backoffice:

location ~ ^/(wp-login\.php|xmlrpc\.php|wp-admin(?!/admin-ajax\.php)) {
    allow 4.232.160.186;
    deny  all;
    # ... la tua normale gestione PHP (fastcgi_pass / try_files)
}

nginx, sito intero: allow 4.232.160.186; deny all; direttamente nel blocco server, oppure nel firewall (porte 80/443 aperte solo a quell'IP).

Apache, .htaccess nella radice del sito:

<FilesMatch "^(wp-login|xmlrpc)\.php$">
    Require ip 4.232.160.186
</FilesMatch>

e in wp-admin/.htaccess:

<Files "admin-ajax.php">
    Require all granted
</Files>
Require ip 4.232.160.186

Con la regola nel web server il plugin resta utile per host, https e IP reali.

Cose da sapere.

• Le Application Password di WordPress permettono di scrivere via /wp-json senza passare da wp-login.php. Disattivale, oppure aggiungi /wp-json ai percorsi protetti se il sito non lo usa per i visitatori.
• Un plugin di cache che serve HTML statico non interferisce. Un plugin di sicurezza con blocco per IP vedrebbe tutti i visitatori con l'IP di Gate443 finché il plugin Gate443 non è attivo: attivalo per primo.
• Se tra Gate443 e origine usi https con un certificato Let's Encrypt a verifica HTTP, la verifica passa dal gateway: il tipo sito intero esclude già /.well-known/acme-challenge/ dalla login. Con http interno il problema non si pone.

Verifica.

1. Dal telefono in rete mobile: https://www.tuosito.it/ mostra il sito (solo backoffice) o la pagina di accesso (sito intero); https://www.tuosito.it/wp-admin/ porta alla pagina di accesso.
2. Direttamente sull'IP dell'origine: http://<ip>/wp-login.php deve rispondere 403 (plugin o web server) o non rispondere (firewall).
3. Dopo il codice: login WordPress, salva un articolo, carica un'immagine. Nel sorgente della pagina nessun link deve contenere l'IP dell'origine.

8. Utenti#

È la pagina che userai di più. Per ogni persona: nome, cognome, email, stato.

• Creare un utente. Se l'email esiste già in Gate443 (perché quella persona lavora anche per un'altra azienda che usa il servizio), l'utente esistente viene aggiunto alla tua azienda e conserva gli accessi che ha altrove: un messaggio lo dice esplicitamente.
• Disattivare blocca immediatamente ogni accesso, conservando storico e abbinamenti. È l'operazione giusta per un'assenza temporanea.
• Rimuovere dall'azienda stacca l'utente e cancella i suoi abbinamenti qui. Il messaggio di conferma dice se la persona resta utente di altre aziende o se viene eliminata del tutto.

Ricerca e filtro per stato aiutano con gli elenchi lunghi. Il numero di utenti che puoi avere dipende dal contratto (50 compresi per servizio).

9. Abbinamenti utente–servizio#

Un utente vede un servizio solo se è abbinato. Nella pagina Abbinamenti scegli l'utente e spunti i servizi a cui deve accedere.

IP consentiti (facoltativi, per ogni servizio, separati da virgola, solo IPv4, fino a 50): se li indichi, quell'utente su quel servizio entra solo da quegli indirizzi. Il codice via email resta sempre richiesto: l'indirizzo dice da dove si può entrare, il codice dice chi sta entrando. Elenco vuoto = nessun vincolo. Serve per legare un accesso alla sede o alla rete aziendale (§15.2).

La catena deve essere tutta attiva. Se l'utente, il servizio o l'abbinamento è disattivato, l'accesso non avviene. Non ci sono eccezioni.

10. Personalizzazione della pagina di accesso#

Ogni servizio ha la sua pagina di accesso, che puoi brandizzare dalla pagina Personalizzazione: scegli il servizio dal menu e imposta colori (principale, secondario, sfondo), immagine di sfondo, logo, favicon, titolo, sottotitolo e i link a Privacy e Cookie Policy. L'anteprima si aggiorna mentre modifichi.

La pagina mostra il link di accesso del servizio: è l'indirizzo da dare ai tuoi utenti.

Il branding vale anche per l'email con il codice: adotta logo, colore e titolo impostati qui. Sui servizi con dominio white-label il mittente diventa una casella sul tuo dominio (noreply@portale.tuaazienda.it): perché quelle email arrivino a destinazione devi autorizzare il server di posta di Gate443 nei record SPF e DKIM del tuo dominio (ti indichiamo noi i valori). È la causa più frequente di «non ricevo il codice».

Limiti delle immagini: logo ~450 KB, favicon ~150 KB, sfondo ~1,8 MB.

11. Sicurezza (WAF) dei tuoi servizi#

Oltre alla protezione generale della piattaforma, in Sicurezza (WAF) hai le tue liste, che valgono solo sui tuoi servizi (pagina di accesso e navigazione, sia sull'URL di default sia sui domini white-label):

• IP in whitelist — entrano sempre. IP in blacklist — non entrano mai. Sono ammessi IPv4, IPv6 e reti in notazione CIDR (203.0.113.0/24), fino a 500 voci per lista.
• Nazioni in whitelist / blacklist — sigle ISO a due lettere (IT, CH, US), più la voce ALL = tutte le nazioni. Una sigla esplicita vince sempre su ALL: blacklist ALL + whitelist IT fa entrare solo dall'Italia. La geolocalizzazione è offline: nessun dato dei tuoi visitatori esce verso servizi esterni.

Ordine di valutazione: IP in whitelist → IP in blacklist → nazione in whitelist → nazione in blacklist → ALL. Lo stesso indirizzo o la stessa nazione non può stare in entrambe le liste.

Gli accessi bloccati dalle tue regole compaiono in fondo alla pagina, con IP, nazione, motivo e percorso.

Chi rientra in una tua regola di blocco vede un messaggio chiaro («Accesso non consentito da questo indirizzo o da questa nazione») e non arriva nemmeno alla pagina di accesso.

12. Log accessi e privacy#

Log accessi elenca chi è entrato, quando, da quale IP e verso quale servizio, con filtri per azione (Codice inviato, Accesso riuscito, Accesso fallito, Navigazione), date e indirizzo. Vedi i dati in chiaro: email e IP completi.

Sei tu a decidere la policy di conservazione, ed è una scelta da fare con il tuo referente privacy:

Chi gestisce la piattaforma vede i tuoi log solo con email e IP anonimizzati.

13. Dashboard#

Il colpo d'occhio sulla tua azienda: utenti totali e attivi, servizi, accessi degli ultimi 7 giorni, il riquadro Il tuo contratto (acquistati / usati / liberi), l'attività degli ultimi 14 giorni (accessi riusciti e codici inviati, per giorno) e i servizi più usati negli ultimi 30 giorni.

14. Cosa vedono i tuoi utenti#

Vale la pena saperlo, perché è ciò che dovrai spiegare a chi lavora con te.

1. L'utente apre il link del servizio (l'URL di default o il tuo dominio white-label) e vede la pagina di accesso con il tuo marchio.
2. Inserisce la propria email.
3. Riceve un codice a 6 cifre e lo digita nella stessa finestra. Il codice è monouso, vale 5 minuti ed è legato all'IP di partenza e alla finestra del browser: inoltrarlo a un collega o aprirlo su un altro dispositivo non funziona, ed è voluto. Se l'abbinamento limita gli indirizzi di rete e la richiesta parte da un IP non consentito, l'accesso viene rifiutato prima ancora dell'email.
4. Naviga l'applicazione attraverso Gate443, con la sessione valida un'ora e prolungata a ogni attività.

Cose da anticipare:

• Nell'email non c'è nessun link da cliccare, solo il codice: impedisce che un client di posta o un antispam «apra» l'accesso al posto suo.
• Se cambia rete durante la sessione (dal Wi-Fi alla connessione mobile, per esempio), la sessione decade e deve rifare l'accesso.
• Dopo 5 tentativi errati sullo stesso codice bisogna richiederne uno nuovo.
• Su app.gate443.it non esiste una pagina di accesso generica: ogni utente deve usare il link del proprio servizio. Fatti salvare il link fra i preferiti.
• Se un utente fa troppi tentativi in poco tempo, il sistema lo ferma per qualche minuto e glielo dice chiaramente, con i minuti da attendere.

15. Procedure passo-passo#

15.1 Mettere in linea il primo servizio#

1. Sicurezza account — cambia la password, attiva l'app di autenticazione.
2. Contratto e pagamenti — compila i dati di fatturazione e, se vuoi continuare dopo la prova, inserisci la carta.
3. Servizi → Nuovo servizio — nome e URL di destinazione della tua applicazione.
4. Sul tuo server — accetta solo 4.232.160.186 (§7) e verifica.
5. Utenti — inserisci le persone.
6. Abbinamenti — collega ogni utente ai servizi di sua competenza.
7. Personalizzazione — marchio sulla pagina di accesso e link da distribuire.
8. Log accessi — imposta conservazione e anonimizzazione.

15.2 Limitare l'accesso alla sede con IP fisso#

1. Fatti confermare dal tuo fornitore di rete l'IP pubblico statico della sede (non l'IP interno: quello con cui la sede si presenta su Internet).
2. Abbinamenti → utente → nel campo IP consentiti del servizio inserisci l'indirizzo; più indirizzi separati da virgola.
3. Salva e verifica: dalla sede l'utente riceve il codice come sempre; da qualsiasi altra rete l'accesso viene rifiutato. Con IP dinamico questa funzione non è adatta.

15.3 Pubblicare un servizio sul tuo dominio (white-label)#

1. Servizi → apri il servizio, attiva Dominio personalizzato e scrivi il dominio (es. portale.tuaazienda.it). Serve un white-label libero nel contratto.
2. Nel DNS del tuo dominio crea un record A verso 4.232.160.186, oppure un CNAME verso app.gate443.it.
3. Attendi la propagazione e la prima emissione del certificato (di solito 1–2 minuti): l'HTTPS è automatico.
4. Email: perché i codici partano da noreply@portale.tuaazienda.it senza finire nello spam, aggiungi il server di posta di Gate443 ai record SPF del dominio e configura DKIM con i valori che ti forniamo. Fallo prima di distribuire il link, non dopo la prima segnalazione.
5. Il vecchio indirizzo /<tua-azienda>/<servizio> continua a funzionare.

15.4 Una persona ha lasciato l'azienda#

• Assenza temporanea → disattiva l'utente.
• Uscita definitiva → Rimuovi dall'azienda; leggi il messaggio di conferma.

15.5 Un utente non riceve il codice#

1. Log accessi → filtra per quell'utente e cerca Codice inviato. Se c'è, il sistema ha spedito: il problema è a valle (spam, filtri, casella).
2. Se non c'è, verifica che utente, servizio e abbinamento siano tutti attivi e che, se l'abbinamento limita gli IP, l'utente sia in una rete consentita.
3. Se il servizio è white-label, controlla SPF/DKIM del tuo dominio: è la causa più frequente.
4. Se nulla torna, scrivici indicando email dell'utente e ora del tentativo.

15.6 Proteggere il backoffice di un sito WordPress#

1. Servizi → Nuovo servizio: nome, URL di destinazione = l'indirizzo del sito com'è oggi (es. https://www.tuosito.it), Tipo di servizio = WordPress — solo backoffice (o sito intero). Dominio personalizzato e inoltro dell'Host si accendono da soli, con il dominio pubblico uguale alla destinazione. IP dell'origine = l'IP del tuo server. Salva.
2. Sposta il record DNS di www.tuosito.it su Gate443 (§15.3).
3. Ancora nel servizio: Scarica il plugin, caricalo in WordPress e attivalo (o copialo in mu-plugins). Su VPS, aggiungi anche la regola nel web server (§7, Siti WordPress).
4. Utenti e abbinamenti per chi amministra il sito (§8, §9).
5. Verifica come in §7: il sito è visibile, wp-admin chiede il codice, l'IP dell'origine risponde 403.

16. Problemi frequenti#

17. Riferimento rapido#

Operazioni irreversibili: eliminare un servizio (con i suoi abbinamenti), rimuovere un utente che non ha altre aziende, svuotare gli eventi WAF. Quasi sempre esiste l'alternativa: disattivare.

Per tutto il resto: gate443.it · assistenza tramite MiriuM.