save acces slaat aan.

[Birdy]

@Briolet Ik reageerde op Reactie #17 van @Babylonia, dus idd "Om een of andere reden een "false positive" door Safe Access."

[Briolet]

Dat je daar op reageerde zag ik wel. Daarom juist mijn opmerking dat reactie #4 daar niets mee te maken heeft.

De blokkering is er alleen op grond van IP nummer van die site en heeft niets met het certificaat van die site van doen. 

[Birdy]

Je snapt niet wat ik daarmee bedoelde, laat maar verder....

[stapper]

Ik dacht dat save acces 2 databases gebruikt?
Eentje van hun zelf en eentje van google?

Ik keek op een andere site... die zei certificaat niet ok....
Maar goed, rest zei van wel, dus dat geloof ik wel.

1 van die sites die dat ip ook gebruikt zal wel op een blacklist staan.
Maar als het mijn site was, dan wou ik dat niet zo houden.

[Babylonia]

Als het je eigen site is, merk je het vanzelf, en kun je de provider ervan op aanspreken.

Zelf heb ik ook een website bij een hostingprovider, waar velen anderen ook een site hebben.
Zolang ik voor mezelf geen problemen ervaar (ook controle via Safe Access), vind ik het al lang best.

[stapper]

Ik run er een stuk of 15... zitten allemaal bij one.com
Nooit geen problemen... goeie webhost.

[Briolet]

Je snapt niet wat ik daarmee bedoelde, laat maar verder....

Je suggereert in die opmerking dat het een false positive is, maar je gebruikt het pakket niet zodat je moeilijk kunt oordelen. Dat IP staat gewoon in een lijst van kwaadaardige IP nummers en is dus geen 'false positive". De volgende site heeft nog heel recent kwaadaardig verkeer vanaf dat IP gerapporteerd:

https://www.abuseipdb.com/check/185.104.28.39

In dit geval blijkbaar brute force aanvallen die vanaf dat IP uitgevoerd werden. De meest rapporterende instantie is "ipcop.net', die blijkbaar een honeypot site runt die aanvallen registreert. Maar ook meerdere andere instanties hebben de laatste week kwaadaardige activiteit vanaf dat IP opgemerkt. En gezien de duur van de kwaadaardige activiteit, blijkt dat de hoster ook niet snel ingrijpt bij misbruik.

[Birdy]

Je suggereert in die opmerking dat het een false positive is, maar je gebruikt het pakket niet zodat je moeilijk kunt oordelen.

Nee hoor, ik suggereerde dat niet.

Ik reageerde hierop:

Ben er inmiddels achter.   Om een of andere reden een "false positive" door Safe Access.
Door Safe Access uit te schakelen, heb ik geen foutmelding.  De site gebruikt een geldig Let's Encrypt certificate.

Ik suggereerde heel wat anders in Reactie #4 en komt aardig in de buurt van wat @Babylonia meldt.

[Babylonia]

Dat Joomla domein op zichzelf hoeft niet verkeerd te zijn,
maar kwaadaardige activiteiten door mogelijk een handjevol gebruikers die van dezelfde web-server / IP-adres gebruik maken wel.
Daarmee komt het IP-adres in zo'n database terecht, waarbij gebruikers met goede bedoelingen daarin mee worden getrokken.

[stapper]

Ik snap echt niet dat die gasten van Joomla daar zo op reageren...
Blijkbaar ben JIJ de enige die er last van heeft...draadje gesloten.

Durf te wedden dat het ze leden kost... en nieuwkomers helemaal, als die save acces hebben, klikken ze echt niet door, maar kiezen een concurrent.

Die fysiotherapeut die dat geduvel ook had zag dat tenminste in... liet gelijk ingrijpen.
Elke gemiste klant is er 1 te veel...

[Briolet]

Even aanhaken met een geheel nieuw geval.

Vannacht om 2:58 uur kreeg ik de volgende waarschuwing:

De verbinding van GEDEELDEDATA met pxlme[.]me is geblokkeerd om veiligheidsredenen(Phishing).

Op zich is dit geen phishing site, maar een url shortener. Zulk soort sites zijn wel populair bij phishers omdat ze hun eigen domeinnaam kunnen verbergen. Blijkbaar doet pxlme te weinig tegen phishers zodat ze nu zelf op een blacklist staan.

Ik was wel nieuwsgierig naar de oorzaak van de waarschuwing. Zoekende ontdekte ik dat er op dat tijdstip idd een phishingmailtje binnen gekomen was met deze domeinnaam als link in de tekst. De router stuurde de waarschuwingsmail al terwijl mailscanner de phishingmail nog aan het controleren was.

Bij die controle van de mail tekst (wat spamassassin doet) moet hij ook het IP behorende bij de domeinnaam opgevraagd hebben. Bij Mailscanner leidde dat niet tot alarmbellen. Ook de spamscore bleef net onder de 2.  (Ik heb de drempel op 3 staan)  Maar, alleen het opvragen ven een IP deed wel de alarmbellen van Safe Access afgaan. In dit geval terecht.