WordPress alimenta oltre il 40% dei siti web nel mondo. Questa diffusione è anche la sua debolezza: gli attaccanti automatizzano scansioni di massa cercando installazioni non aggiornate o mal configurate. La buona notizia è che la maggior parte delle violazioni sfrutta errori banali, evitabili con poche pratiche solide.
1. Tieni aggiornato tutto: core, temi e plugin
La causa numero uno dei siti compromessi sono plugin e temi obsoleti. Ogni componente non aggiornato è una porta lasciata aperta. Attiva gli aggiornamenti automatici per il core e per i plugin che ritieni affidabili, e controlla il sito almeno una volta a settimana.
- Rimuovi i plugin e i temi che non usi: meno codice installato, meno superficie d'attacco.
- Installa solo plugin da fonti affidabili e con aggiornamenti recenti.
- Diffida dei temi "nulled" (craccati): spesso contengono codice malevolo.
2. Password forti e autenticazione a due fattori
Gli attacchi di forza bruta provano migliaia di combinazioni sulla pagina di login. Difenditi su due fronti: password lunghe e uniche (usa un gestore di password) e autenticazione a due fattori (2FA) per tutti gli account amministratore.
Aggiungi anche un limite ai tentativi di accesso e, se possibile, cambia l'URL di login predefinito per ridurre il rumore degli attacchi automatici.
3. Riduci i privilegi degli utenti
Non serve che tutti siano amministratori. Assegna il ruolo minimo necessario: un redattore che scrive articoli non ha bisogno dei permessi per installare plugin. Se un account viene compromesso, il danno sarà limitato.
4. Backup automatici e testati
Il backup è la tua rete di sicurezza: se il peggio accade, ti permette di ripristinare il sito in pochi minuti. Ma un backup che non hai mai provato a ripristinare non è un backup affidabile.
- Pianifica backup automatici giornalieri o settimanali in base alla frequenza degli aggiornamenti.
- Conserva le copie fuori dal server del sito (cloud o storage separato).
- Prova periodicamente un ripristino su un ambiente di test.
5. Metti in sicurezza il server e i file
La sicurezza non finisce dentro WordPress. Controlla i permessi dei file (mai 777), disabilita l'esecuzione di PHP nella cartella degli upload, proteggi wp-config.php e forza l'HTTPS su tutto il sito con un certificato valido.
6. Aggiungi un firewall applicativo (WAF)
Un Web Application Firewall filtra il traffico malevolo prima che raggiunga WordPress, bloccando tentativi di SQL injection, cross-site scripting e scansioni automatiche. È uno dei modi più efficaci per ridurre gli attacchi con poco sforzo.
7. Monitora e reagisci
Attiva la registrazione degli accessi e le notifiche per le modifiche ai file critici. Sapere quando qualcosa cambia ti permette di intervenire prima che un piccolo problema diventi una violazione seria.
In sintesi
La sicurezza di WordPress non è un singolo interruttore, ma un insieme di abitudini: aggiornare, limitare gli accessi, fare backup, monitorare. Se vuoi una fotografia precisa dello stato del tuo sito, un audit di sicurezza individua le vulnerabilità concrete e ti consegna un piano di intervento con le priorità. È esattamente il punto di partenza del nostro Check Sito Web.