WordPress alimenta una grande quota dei siti del mondo, e questa popolarità lo rende un obiettivo attraente per gli attaccanti. La buona notizia è che la maggior parte degli attacchi riusciti non deriva da debolezze tecniche avanzate, ma da plugin non aggiornati, password deboli e siti senza backup. In altre parole, un sito che applica regolarmente le misure di base è già protetto dalla maggior parte degli attacchi.
In questo articolo descriviamo prima le misure di base che non richiedono alcun plugin, poi spieghiamo cosa fanno i plugin di sicurezza e come sceglierne uno. Poiché le funzioni dei plugin cambiano da una versione all'altra, consulta la documentazione aggiornata di ciascun prodotto per i dettagli.
Prima le misure di base
Un plugin di sicurezza non sostituisce una base mancante. Completa prima questi passaggi:
- Non ritardare gli aggiornamenti. Le vulnerabilità di sicurezza nel core di WordPress, nei temi e nei plugin si chiudono con gli aggiornamenti. Elimina i plugin e i temi che non usi.
- Usa password robuste e uniche. Usa un gestore di password; non lasciare il nome utente amministratore «admin».
- Attiva la verifica in due passaggi. Almeno per gli account amministratore e editor.
- Fai backup e prova a ripristinarli. Un backup è l'ultima risorsa che ti salverà dopo un attacco.
- Usa HTTPS. Su un sito senza certificato SSL, i dati di accesso viaggiano in chiaro.
- Limita i permessi degli utenti. Non dare il ruolo di amministratore a tutti; segui il principio del privilegio minimo.
- Installa plugin e temi da fonti affidabili. I pacchetti senza licenza o di provenienza incerta comportano un alto rischio di backdoor.
Cosa fanno i plugin di sicurezza?
I plugin di sicurezza offrono in genere alcune di quattro funzioni: un firewall (WAF), la scansione malware, la protezione del login e il monitoraggio delle modifiche. Non tutti i plugin sono ugualmente forti in tutti questi ambiti, quindi devi prima chiarire cosa ti serve.
- Firewall: blocca le richieste malevole prima che raggiungano il sito o prima che venga eseguito il codice di WordPress.
- Scansione: cerca nei file codice sospetto e file del core modificati.
- Protezione del login: limita gli attacchi a forza bruta e aggiunge la verifica in due passaggi.
- Monitoraggio: registra chi ha modificato quale impostazione e quando.
Confronto tra i plugin di sicurezza più diffusi
| Soluzione | Approccio | Punto di forza | Punto da controllare |
|---|---|---|---|
| Wordfence | Firewall e scanner che funzionano dentro il sito | Versione gratuita ampia, scansione malware | Usa risorse del server; può rallentare su hosting deboli |
| Sucuri | Firewall e servizio di pulizia basati sul cloud | Filtra il traffico prima che raggiunga il sito, supporto alla pulizia dopo un attacco | Le funzioni avanzate dipendono da un piano a pagamento |
| Solid Security (già iThemes Security) | Focalizzato sul rafforzamento e sulla protezione del login | Verifica in due passaggi, rafforzamento delle impostazioni, limiti di accesso | La scansione potrebbe non essere ampia come quella di altri |
| CleanTalk | Protezione dallo spam basata sul cloud | Blocca le registrazioni false nei moduli e nei commenti, senza bisogno di captcha | Focalizzato sullo spam, non sulla sicurezza generale; integra gli altri livelli |
Invece di cercare un «unico plugin giusto» in questa tabella, ragiona per combinazioni: uno per firewall e scansione, un altro per la protezione dallo spam. Non far girare più di un plugin firewall sullo stesso sito; crea conflitti.
Non trascurare la protezione da spam e registrazioni false
Il traffico dei bot non produce solo spam; appesantisce il database tramite moduli di registrazione, campi dei commenti e moduli di contatto, sovraccarica il server e a volte distribuisce link malevoli. Soluzioni basate sul cloud come CleanTalk filtrano questo traffico senza disturbare i visitatori. Questo livello è particolarmente prezioso su siti WooCommerce e siti con area riservata ai membri, perché lì i tentativi di creazione di account falsi sono comuni.
Backup: l'ultimo anello della sicurezza
Anche il sito meglio protetto può un giorno subire danni. Un errore di aggiornamento, un guasto del server, un plugin difettoso o un attacco: in tutti questi casi il rimedio è tornare a un backup pulito. I backup non vanno conservati sul server dove vive il sito, ma in un luogo separato (archivio cloud, un altro server). Plugin come WPvivid Backup Bundle offrono backup programmati, invio a un archivio esterno e ripristino con un clic. Importante quanto fare il backup è verificare una volta al mese che funzioni, ripristinandolo su un sito di prova.
Quale plugin scegliere? Una breve guida
Se gestisci un singolo blog e il budget è limitato, un plugin di sicurezza gratuito sul sito, una soluzione di backup solida e la protezione dallo spam sono di solito un trio sufficiente. Se gestisci un sito e-commerce che è un bersaglio costante, ha senso aggiungere anche un firewall basato sul cloud, perché il traffico malevolo viene filtrato prima di raggiungere il server. Se sei un'agenzia che ospita siti di clienti, la gestione centralizzata e i report di sicurezza periodici diventano più importanti per te delle funzioni del plugin.
In ogni caso, dopo aver installato il plugin, controlla i log per una settimana. Allentare una regola che genera falsi allarmi è meglio che perdere minacce reali; ma devi anche verificare che un sistema che non segnala mai nulla funzioni davvero. Per questo puoi fare un tentativo di accesso controllato e verificare se viene registrato.
Gestire più siti
Se sei un'agenzia che gestisce siti di clienti, o una persona con più progetti, accedere a ogni sito separatamente per gli aggiornamenti richiede tempo e aumenta il rischio di errori. Strumenti di gestione centralizzata come MainWP Pro ti permettono di monitorare aggiornamenti, backup e stato di tutti i siti da un unico pannello. Dal punto di vista della sicurezza, questo riduce i ritardi negli aggiornamenti.
Pulire il database e i dati inutili
Tabelle lasciate da plugin abbandonati, vecchie bozze e commenti di spam non influiscono solo sulle prestazioni; ampliano anche la superficie di attacco. Strumenti come Advanced Database Cleaner Pro aiutano a ripulire in sicurezza questi residui. Fai sempre un backup prima di pulire.
Non dimenticare il tuo computer
Se il computer che usi per gestire il sito viene infettato, i tuoi dati di accesso possono essere rubati. Usa un software di protezione aggiornato sui dispositivi che utilizzi come amministratore; soluzioni complete come Kaspersky Premium Total Security aggiungono un livello di protezione contro phishing e malware. Non accedere al pannello di amministrazione su reti Wi-Fi pubbliche.
Rafforzamento a livello di server e file
Oltre ai plugin, alcune impostazioni rafforzano notevolmente il sito. Puoi applicarle dal pannello di hosting o insieme all'amministratore del tuo server:
- Versione PHP attuale: le versioni PHP fuori supporto non ricevono più correzioni di sicurezza. Passa all'ultima versione supportata dal pannello di hosting, verificando la compatibilità con i tuoi plugin.
- Disattivare l'editor dei file: disabilitare l'editor dei file di temi e plugin nel pannello di amministrazione rende più difficile a un account amministratore compromesso scrivere codice direttamente.
- Permessi dei file: non concedere permessi di scrittura più ampi del necessario per file e cartelle; tieni il file di configurazione (wp-config) non accessibile.
- Cartella degli upload: blocca l'esecuzione di file PHP nella cartella in cui vengono conservati i caricamenti degli utenti.
- XML-RPC: se non lo usi, disattivalo; viene spesso sfruttato negli attacchi a forza bruta.
- Prefisso del database ed enumerazione degli utenti: attiva le impostazioni che impediscono di elencare i nomi utente dall'esterno.
Alcune di queste impostazioni possono essere applicate con un clic dai plugin di sicurezza; comunque, assicurati che gli strumenti di sicurezza del tuo provider di hosting non entrino in conflitto con essi.
Routine mensile di sicurezza
La sicurezza non è un lavoro una tantum da fare e lasciare lì; è un'abitudine piccola ma regolare. Riserva un'ora al mese per passare in rassegna questo elenco: l'elenco degli account amministratore ed editor è aggiornato? I plugin inutilizzati sono stati eliminati? I backup vengono effettivamente creati? C'è un aumento insolito nei report dei tentativi di accesso? La data di scadenza del certificato SSL si avvicina? Ci sono avvisi di sicurezza in Search Console? Quando questi controlli sono legati a una routine con un piccolo promemoria nel calendario, i problemi vengono notati prima che crescano.
Come capire di essere stato attaccato?
- Nei risultati di ricerca compaiono pagine o titoli che non riconosci.
- Sul sito compaiono reindirizzamenti o pop-up inattesi.
- Compaiono account amministratore che non riconosci.
- Il provider di hosting invia un avviso per uso eccessivo di risorse o malware.
- Il sito rallenta all'apertura e il browser mostra un avviso di sicurezza.
In questo caso, metti prima il sito in modalità di manutenzione, cambia le password, torna a un backup pulito e non riaprire il sito prima di aver chiuso la vulnerabilità. Se non riesci a risolvere da solo, consulta un esperto di sicurezza.
Per le esigenze di plugin e temi, puoi guardare la categoria Plugin e temi WordPress; su LisansX la consegna è digitale e le versioni con licenza ricevono aggiornamenti.
Domande frequenti
Un plugin di sicurezza gratuito basta?
Per un piccolo blog spesso è sufficiente. Per i siti che ospitano e-commerce, aree riservate ai membri o dati dei clienti, bisogna valutare i piani a pagamento per funzioni premium, supporto e regole del firewall.
Un plugin di sicurezza rallenta il sito?
I plugin che girano dentro il sito consumano risorse del server e possono farsi sentire su hosting deboli. Le soluzioni basate sul cloud tolgono questo carico dal server. Ripeti la misurazione della velocità dopo l'installazione.
Cambiare l'indirizzo di accesso di WordPress è utile?
Riduce i bot semplici, ma da solo non è una misura di sicurezza. Una password robusta, la verifica in due passaggi e i limiti di accesso sono molto più efficaci.
Ogni quanto devo fare i backup?
Per i siti con inserimenti di contenuti giornalieri, backup giornalieri, e per i siti che cambiano raramente, backup settimanali, sono un punto di partenza ragionevole. I negozi che ricevono ordini devono fare il backup del database più spesso.
