Sicurezza di WordPress e hardening: una checklist pratica

WordPress alimenta un numero enorme di siti, il che lo rende un bersaglio costante di attacchi automatizzati. La maggior parte di questi attacchi non è sofisticata. Cercano versioni vecchie dei plugin, indovinano password deboli o riutilizzano credenziali trapelate. Questa è una buona notizia: poche abitudini costanti ne fermano la maggior parte. Ecco una checklist che puoi completare in un pomeriggio.

Aggiornamenti, accessi e permessi

Plugin e temi obsoleti sono la via d'accesso più comune. Applica tempestivamente gli aggiornamenti al core di WordPress, ai plugin e ai temi, e rimuovi tutto ciò che non usi più. Valuta di abilitare gli aggiornamenti automatici per le versioni minori del core e per i plugin di cui ti fidi, testando prima su una copia di staging le modifiche più importanti. La nostra guida su come aggiornare WordPress in sicurezza spiega la routine.

Usa accessi robusti e univoci e l'autenticazione a due fattori

Usa un gestore di password e assegna a ogni account una password lunga e univoca. Aggiungi l'autenticazione a due fattori per amministratori ed editor. Non usare admin come nome utente e assicurati che il nome visualizzato negli articoli pubblici non coincida con il nome di login.

Limita l'accesso degli utenti

Dai alle persone il ruolo più basso che consenta loro di fare il proprio lavoro. Un redattore ha bisogno del ruolo Autore o Collaboratore, non di Amministratore. Rimuovi gli account di chi se n'è andato. Meno amministratori significa meno account da compromettere.

Pagina di login, HTTPS e configurazione

Limita i tentativi di accesso falliti e valuta di aggiungere una verifica o di restringere l'accesso a /wp-login.php per indirizzo IP dove è praticabile. Un web application firewall, come la protezione disponibile tramite Cloudflare, può bloccare molte richieste dannose prima che raggiungano WordPress. Consulta la nostra pagina sulla sicurezza per vedere come affrontiamo il tema a livello di hosting.

Usa HTTPS ovunque

Servi l'intero sito tramite HTTPS, compresa l'area di amministrazione. I certificati gratuiti Let's Encrypt sono inclusi nel nostro hosting; consulta la pagina SSL. In wp-config.php puoi forzare sessioni di amministrazione sicure:

define( 'FORCE_SSL_ADMIN', true );

Disattiva la modifica dei file dalla dashboard

WordPress permette agli amministratori di modificare i file di plugin e temi dalla dashboard. Se un attaccante entra, è uno strumento bell'e pronto. Disattivala:

define( 'DISALLOW_FILE_EDIT', true );

Imposta i permessi dei file corretti

I file dovrebbero in genere essere leggibili dal web server ma non scrivibili da tutti. Evita di impostare le cartelle con permessi completi per risolvere un problema di caricamento; cerca invece il vero problema di proprietà. Mantieni wp-config.php il più protetto possibile compatibilmente con la tua configurazione, e non lasciare mai backup o dump del database dentro la web root.

Backup, fonti e monitoraggio

La sicurezza riguarda il ripristino quanto la prevenzione. Conserva backup automatici lontano dal web server e prova a ripristinarli. Se qualcosa va storto, un backup pulito è la via più rapida per tornare operativi.

Installa software solo da fonti affidabili

Usa plugin e temi dalla directory ufficiale o dallo sviluppatore. Il software premium piratato è una fonte frequente di backdoor nascoste. Se una licenza è troppo costosa, cerca un'alternativa più leggera.

Tieni d'occhio i cambiamenti

Plugin di sicurezza o servizi di monitoraggio possono avvisarti di modifiche ai file, nuovi account amministratore e attività di accesso insolite. Gli avvisi servono solo se qualcuno li legge, quindi indirizzali a un indirizzo email che controlli.

Riduci ciò che è esposto

• Elimina temi e plugin inutilizzati, non limitarti a disattivarli.
• Disattiva XML-RPC se non lo usi, oppure limitalo.
• Nascondi i numeri di versione dove è facile, ma non affidarti all'oscurità.
• Usa utenti di database separati per siti separati, con password robuste.

Mantieni in salute il livello del server

Mettere in sicurezza WordPress è solo metà del lavoro. Il server ha bisogno di una versione di PHP supportata, di aggiornamenti correnti del sistema operativo e di isolamento tra gli account. Sui piani condivisi e gestiti se ne occupiamo noi; su un VPS ne sei responsabile tu.

Una tabella rapida di hardening

Area	Azione	Impegno
Aggiornamenti	Core, plugin e temi aggiornati	Basso
Account	Password robuste, 2FA, privilegi minimi	Basso
Configurazione	Disattivare la modifica dei file, forzare SSL in amministrazione	Basso
Backup	Fuori dal server, ripristini testati	Medio
Firewall	WAF e limiti di accesso	Medio

Nessun sito è sicuro al 100%

Sii onesto sui limiti. L'hardening riduce il rischio; non lo elimina. Prepara un piano su cosa farai se il sito viene compromesso e conserva i recapiti di chi ti aiuterà.

Fai della sicurezza un'abitudine, non un progetto

La più grande debolezza nella maggior parte delle configurazioni di sicurezza WordPress non è una funzionalità mancante, ma una routine mancante. Metti nel calendario un promemoria mensile per rivedere gli utenti, controllare i plugin che non ricevono più aggiornamenti, leggere gli avvisi di sicurezza e verificare che un backup recente si ripristini. Venti minuti al mese valgono più di una sessione di hardening una tantum che non viene mai rivista.

Annota anche chi ha accesso a cosa: pannello di hosting, registrar del dominio, account amministratore di WordPress ed eventuali servizi di terze parti. Quando un'agenzia o un freelancer termina un progetto, rimuovi il suo accesso lo stesso giorno.

Se oggi hai tempo solo per tre cose, scegli queste: aggiorna tutto, attiva l'autenticazione a due fattori per ogni amministratore e verifica che esista un backup recente fuori dal server. Affrontano i modi più comuni in cui i siti vengono compromessi e il modo più importante per riprendersi.

La sicurezza a livello di hosting

Un buon hosting sostiene il tuo hardening. Il nostro hosting WordPress include SSL gratuito, Plesk per gestire gli accessi e la disponibilità della CDN Cloudflare, e il nostro team di assistenza può rispondere in 17 lingue alle domande sulla messa in sicurezza del tuo sito.