In breve: Un sito WordPress si protegge soprattutto con aggiornamenti regolari, pochi plugin affidabili, accessi con autenticazione a due fattori, permessi limitati, backup provati fuori dal server e un monitoraggio che avvisi quando qualcosa cambia. La guida ufficiale di WordPress sul hardening elenca le stesse aree.
WordPress alimenta una grande parte dei siti del mondo ed è per questo uno dei bersagli più frequenti degli attacchi automatici. Il motore è mantenuto con cura. I problemi arrivano quasi sempre da fuori: un plugin non aggiornato, un tema abbandonato, una password debole. Le misure che seguono vanno applicate più o meno in questo ordine.
1. Aggiorna tutto con metodo
WordPress, tema e plugin ricevono correzioni di sicurezza. Gli attacchi usano falle già note e già corrette. Aggiorna con regolarità e prima prova gli aggiornamenti su una copia del sito, soprattutto su un negozio. Vedi manutenzione di un sito WordPress.
2. Riduci i plugin
Ogni plugin è codice di terzi che gira sul tuo sito. Disattiva e cancella quello che non usi. Prima di installarne uno guarda quando è stato aggiornato l'ultima volta e quanto è diffuso. Evita plugin e temi scaricati da fonti non ufficiali: sono tra i canali più comuni per introdurre codice malevolo.
3. Proteggi gli accessi
- Password lunghe e uniche con un password manager.
- Autenticazione a due fattori per gli amministratori. Vedi password e autenticazione a due fattori.
- Limite ai tentativi di accesso falliti.
- Nessun utente chiamato «admin».
4. Dai pochi privilegi
Un collaboratore che scrive articoli non deve essere amministratore. Assegna il ruolo minimo che serve e controlla ogni tanto l'elenco degli utenti. Gli account dei fornitori vanno chiusi a fine lavoro.
5. Fai backup separati e provati
Una copia fuori dal server, frequente e con ripristino verificato. È la differenza tra un incidente e una settimana di fermo. Il metodo è in backup che servono davvero.
6. Usa HTTPS e intestazioni di sicurezza
Il certificato HTTPS cifra la connessione. Alcune intestazioni HTTP (per esempio quelle che limitano da dove si possono caricare script) riducono i danni di certi attacchi. Si impostano sul server o con un plugin e si controllano con strumenti pubblici.
7. Metti un filtro davanti al sito
Un servizio di protezione (firewall applicativo) blocca richieste dannose e traffico automatico prima che arrivino a WordPress. Può essere offerto dall'hosting o da servizi esterni. Non sostituisce gli aggiornamenti.
8. Chiudi ciò che non usi
- Disattiva la modifica dei file dall'area di amministrazione (la costante
DISALLOW_FILE_EDIT). - Se non usi l'interfaccia XML-RPC limita o disattiva l'accesso.
- Nascondi o proteggi le cartelle di backup e di lavoro dentro il sito.
- Controlla i permessi di file e cartelle sul server.
9. Controlla cosa cambia
Un monitoraggio che segnala modifiche ai file, nuovi utenti amministratori e picchi anomali permette di accorgersi in ore e non in settimane. Serve anche un avviso se il sito non risponde.
10. Prepara un piano per quando succede
- Chi decide e chi interviene.
- Dove sono i backup e come si ripristinano.
- Come si mette il sito in manutenzione e come si avvisano i clienti.
- Come si cercano e si chiudono le porte d'ingresso. Ripulire i file senza capire come sono entrati porta a una nuova infezione.
- Come si chiede a Google di rimuovere gli avvisi.
Sul negozio: attenzioni in più
- Non salvare dati di carta sul sito: affidati a un gestore di pagamento.
- Controlla i plugin di spedizione, pagamento e fatturazione: toccano i dati dei clienti.
- Prova il pagamento dopo ogni aggiornamento importante.
Approfondimenti: sito hackerato: cosa fare · recupero siti compromessi · presidio e manutenzione
Domande frequenti
Perché i siti WordPress vengono hackerati?
Le cause più frequenti sono plugin o temi non aggiornati con falle note, password deboli o riutilizzate, componenti abbandonati dagli sviluppatori e permessi troppo ampi. Il motore di WordPress è aggiornato di continuo: il rischio sta soprattutto nelle estensioni.
Quanti plugin si possono installare?
Non esiste un numero giusto. Conta la qualità: ognuno aumenta la superficie d'attacco e il lavoro di manutenzione. Tieni solo quelli che usi e che sono aggiornati con regolarità dagli autori.
Un plugin di sicurezza basta?
No. Aiuta ma non sostituisce aggiornamenti, backup e gestione degli accessi. Un plugin di sicurezza è un livello in più e non il primo.
Come si capisce che il sito è stato compromesso?
Segnali tipici sono pagine o link che non hai creato, reindirizzamenti verso altri siti, avvisi di Google nei risultati di ricerca, utenti amministratori sconosciuti, rallentamenti improvvisi e email inviate dal tuo dominio che non hai scritto.