La maggior parte dei siti WordPress violati non viene presa di mira da una persona: la trovano programmi automatici che girano giorno e notte alla ricerca di siti con un plugin vulnerabile, una password debole o un file lasciato in vista. Quando una vulnerabilità diventa pubblica, i primi attacchi arrivano spesso entro poche ore. La buona notizia è che le difese che contano davvero sono poche e alla portata di tutti.
Parti da qui: fai il controllo sicurezza WordPress del tuo sito. In mezzo minuto vedi versione, plugin con vulnerabilità note, informazioni esposte e protezioni mancanti, con la cosa da fare per ognuno.
1. Aggiorna WordPress, plugin e tema
È la difesa numero uno. Ogni aggiornamento di sicurezza chiude una porta che, da quel momento, tutti conoscono.
- Attiva gli aggiornamenti automatici di sicurezza di WordPress (sono attivi di serie: verifica che nessuno li abbia spenti).
- Aggiorna i plugin almeno una volta alla settimana, sempre dopo un backup. Per i plugin a pagamento (Elementor Pro, Slider Revolution, WPML…) controlla che la licenza sia attiva: senza licenza gli aggiornamenti non arrivano.
- Elimina i plugin e i temi che non usi: anche disattivati restano sul server e possono essere sfruttati.
- Diffida dei plugin “ritirati” da WordPress.org: non ricevono più correzioni. Il nostro controllo te lo segnala.
2. Proteggi gli accessi
- Password lunghe e diverse per ogni utente: creale con il Generatore di password.
- Attiva l’autenticazione a due fattori per gli amministratori (Wordfence, Solid Security e altri plugin la offrono gratis).
- Dai il ruolo di amministratore solo a chi serve davvero; per chi scrive articoli basta “Autore” o “Editore”.
- Nascondi l’elenco degli utenti (
/wp-json/wp/v2/users) e disattiva XML-RPC se non usi app esterne o Jetpack: sono i due canali più usati per indovinare le password.
3. Non lasciare nulla in vista
- Il registro degli errori
debug.lognon deve essere pubblico: in produzione tieniWP_DEBUGspento. - Le cartelle non devono essere navigabili: aggiungi
Options -Indexesal file .htaccess. - Niente copie di
wp-config.php, archivi di backup o file di prova nella cartella del sito: chi li trova legge la password del database.
4. Attiva le protezioni del server
- Il sito deve funzionare solo in HTTPS, con il passaggio automatico da http:// e un certificato valido: verificalo con il Controllo SSL.
- Aggiungi le intestazioni di sicurezza (HSTS, protezione dal clickjacking e le altre): nel risultato trovi le righe pronte per .htaccess.
- Usa una versione di PHP ancora supportata (8.2 o successiva): le versioni vecchie non ricevono più correzioni di sicurezza.
5. Prepara il piano B
- Backup automatici giornalieri, conservati fuori dal server del sito, e prova almeno una volta a ripristinarne uno.
- Fatti avvisare se il sito va giù o cambia aspetto: con Sentinella lo controlliamo ogni 5 minuti.
Come capire se il sito è già stato violato
- Google mostra l’avviso “Questo sito potrebbe essere stato compromesso” o i risultati di ricerca contengono pagine in lingue strane, farmaci o casinò.
- Chi arriva da Google o dal telefono viene rimandato a un altro sito, mentre tu, collegato, non vedi niente di strano.
- Compaiono utenti amministratori che non conosci, o il fornitore di hosting ti segnala invio di spam o file sospetti.
In questi casi non basta aggiornare: bisogna trovare e togliere i file infetti, chiudere la porta da cui sono entrati e chiedere a Google di rivedere il sito. È un lavoro che facciamo spesso: richiedi assistenza a Web Prato.
Controllo automatico ogni settimana
Con i piani Pro e Agenzia ripetiamo il controllo di sicurezza dei tuoi siti ogni martedì e ti avvisiamo, via email e su Telegram, appena compare una vulnerabilità nuova in un plugin che usi.
