Wordpress

Team tecnico Xlogic Leave a comment Blogging, Wordpress

Attacchi supply chain WordPress: rischi e prevenzione

Gli attacchi supply chain WordPress colpiscono un componente fidato, come plugin, tema, repository o account dello sviluppatore, per distribuire codice malevolo agli utenti. La difesa richiede aggiornamenti controllati, fonti affidabili, inventario dei componenti, backup verificati e monitoraggio delle modifiche. Le liste di versioni vulnerabili diventano rapidamente obsolete e vanno confrontate con avvisi ufficiali.

Nota di aggiornamento: Le versioni vulnerabili cambiano rapidamente: usa sempre avvisi ufficiali, CVE e changelog aggiornati.

Gli attacchi alla supply chain (o catena di fornitura) sono una forma sofisticata di attacco informatico che si verifica quando un hacker compromette un sistema o un servizio per infiltrarsi nei suoi sistemi informatici.

Questi attacchi non prendono di mira direttamente il bersaglio finale, ma una parte della sua catena di approvvigionamento, come software di terze parti, fornitori di servizi o componenti hardware, che poi permettono l’accesso ai sistemi principali.

In che cosa consiste un attacco alla Supply Chain?

La sicurezza della supply chain è un tema cruciale per chiunque gestisca un sito WordPress, dato che WordPress è il sistema di gestione dei contenuti (CMS) più utilizzato al mondo.

Un attacco alla supply chain nel contesto di WordPress si verifica quando un componente software di terze parti (come un plugin, un tema, o un servizio esterno) è compromesso ed attraverso questo componente gli hacker riescono ad infiltrarsi nel sistema principale del sito web.

Questo tipo di attacco sfrutta una vulnerabilità che non si trova all’interno del codice sorgente, vediamo insieme come la CISA (Agenzia per la sicurezza delle infrastrutture e la cybersicurezza degli Stati Uniti) ha descritto questi attacchi:

Questi attacchi si verificano “quando un soggetto malevolo si infiltra all’interno del network di un fornitore di software e impiega codice malevolo per compromettere il software prima che il venditore lo invii ai clienti. Il software compromesso poi, a sua volta, compromette i dati o i sistemi dei clienti“.

Attacchi alla Supply Chain nei Plugin WordPress

Nel contesto di WordPress, gli attacchi alla supply chain stanno aumentando principalmente attraverso i plugin e i temi, ma in che modo possono avvenire?

  • Compromissione del codice sorgente: Gli hacker possono ottenere l’accesso ai repository di codice sorgente dei plugin e introdurre codice malevolo; questo codice può includere backdoor, malware o funzionalità che consentono agli attaccanti di prendere il controllo del sito WordPress.
  • Distribuzione di Plugin malevoli: Gli attaccanti possono creare plugin o temi apparentemente innocui e distribuirli attraverso marketplace di terze parti o siti web; in questo modo una volta installati, questi plugin possono eseguire azioni dannose senza che l’utente ne sia a conoscenza.
  • Aggiornamenti compromessi: Gli hacker possono colpire il processo di aggiornamento dei plugin, inserendo codice malevolo nelle versioni più recenti di un plugin popolare, pertanto in questo modo gli utenti che aggiornano il plugin alla nuova versione diventano vittime inconsapevoli dell’attacco.
  • Utilizzo di credenziali compromesse: Se gli sviluppatori di plugin utilizzano password deboli o riutilizzano le credenziali, gli hacker possono accedere all’interno dei loro account e manipolare il codice del plugin.

Perché gli attacchi stanno aumentando su WordPress

Gli attacchi alla supply chain nei plugin WordPress sono in aumento per diversi motivi:

  • Popolarità di WordPress: WordPress è una piattaforma estremamente attraente per gli hacker in quanto più del 40% di tutti i siti web presenti sul web sono stati costruiti con WordPress.
  • Grande Ecosistema di Plugin e Temi: Ci sono migliaia di plugin e temi disponibili, molti dei quali sviluppati da piccole aziende o sviluppatori individuali che potrebbero non avere risorse per garantire la sicurezza del loro codice.
  • Aggiornamenti di Sicurezza Inefficaci: Gli utenti spesso non aggiornano i loro plugin regolarmente, lasciando vulnerabilità conosciute sfruttabili dagli hacker.
  • Mancanza di Verifica dei Plugin: Molti plugin non sono sottoposti ad una revisione di sicurezza rigorosa prima di essere distribuiti.

Esempi di Plugin WordPress oggetto di questi attacchi

  • Plugin Spam SEO: Alcuni plugin popolari sono stati venduti a sviluppatori malevoli che hanno poi aggiunto codice per generare spam SEO sui siti degli utenti; per esempio il plugin “Display Widgets” è stato rimosso dal repository ufficiale di WordPress dopo che è stato scoperto che includeva codice per iniettare spam.
  • SolarWinds: Sebbene non direttamente legato a WordPress, l’attacco alla supply chain di SolarWinds è uno dei più noti; gli hacker hanno compromesso il software di gestione della rete, permettendo loro di infiltrarsi in numerose aziende ed agenzie governative.
  • AccessPress Themes: A gennaio 2022, è stato scoperto che circa 40 temi e 50 plugin di AccessPress contenevano backdoor che permettevano agli hacker di prendere il controllo dei siti WordPress che li utilizzavano.

Inoltre sono stati segnalati anche questi plugins WordPress:

  • Social Warfare versioni fino alla 4.4.7.1 – la patch si trova nella versione 4.4.7.3
  • Blaze Widget versione fino alla 2.5.2 – al momento non c’è una versione dotata di patch
  • Wrapper Link Element versione fino alla 1.0.3 – per questo plugin sembra esserci stata una azione manuale sulla versione 1.0.0. che ha rimosso il problema ma non c’è una versione ufficiale con una patch
  • Contact Form 7 Multi-Step Addon versione alla 1.0.5 – anche per questo plugin per ora non c’è una versione dotata di patch
  • Simply Show Hooks versione fino alla 1.2.1 – anche questo plugin non ha patch ancora
  • WP Server Health Stats versione 1.7.6 – la versione dotata di patch è la numero 1.7.8
  • Ad Invalid Click Protector versione 1.2.9 – la versione dotata di patch è la numero 1.2.10
  • PowerPress Podcasting plugin by Blubrry versione fino alla 11.9.4 – la versione dotata di patch è la numero 11.9.6
  • Seo Optimized Images versione 2.1.2 – la patch è nella versione 2.1.4
  • Pods – Custom Content Types and Fields nella versione 3.2.2
  • Twenty20 Image Before-After nelle versioni 1.6.2 e .3 e 1.5.4
  • WPCOM Member nelle versioni 1.3.16, 1.3.15

Misure di Sicurezza per Proteggere i Plugin dalla Supply Chain

Per proteggere il tuo sito WordPress dagli attacchi alla supply chain, è fondamentale adottare una serie di misure preventive e correttive, di seguito i principali passaggi che dovresti seguire:

  • Utilizzare solo plugin da fonti affidabili: Scarica plugin solo dal repository ufficiale di WordPress o da sviluppatori rinomati con una solida reputazione.
  • Aggiornamenti regolari: Mantieni sempre aggiornati i plugin ed i temi di WordPress. Gli aggiornamenti spesso includono patch di sicurezza per vulnerabilità note.
  • Verifica le recensioni e le valutazioni: Controlla le recensioni e le valutazioni degli utenti per i plugin; fai attenzione ai plugin con recensioni negative o una storia di vulnerabilità.
  • Implementare misure di sicurezza aggiuntive: Utilizza firewall applicativi (WAF) e plugin di sicurezza, e attiva l’autenticazione a due fattori (2FA) per gli account amministrativi.
  • Antivirus avanzato: Noi di Xlogic offriamo ai nostri cliente un antivirus avanzato in grado di rilevare migliaia e migliaia di virus / malware ed attacchi hacker, per ottenere maggiori informazioni consulta questa pagina –> Imunify 360 – Suite di sicurezza avanzata
  • Monitoraggio del sito: Utilizza strumenti di monitoraggio per rilevare attività sospette sul tuo sito web, in questo modo potranno aiutarti ad identificare anomalie nel traffico e nel comportamento del sito.
  • Esegui Backup regolari: Effettua backup regolari del tuo sito WordPress per poter ripristinare rapidamente il sito in caso di compromissione; per esempio noi di Xlogic offriamo ai nostri clienti lo strumento di backup automatico JetBackup che permette di ripristinare un backup parziale o completo in due semplici click, per ottenere maggiori informazioni consulta questa guida –> JetBackup – Backup automatico 
  • Controllo dei permessi dei plugin: Rivedi e limita i permessi richiesti dai plugin; assicurati che i plugin non abbiano accesso a funzionalità che non sono necessarie per il loro funzionamento.
  • Audit di sicurezza: Considera di effettuare audit di sicurezza periodici sui tuoi plugin, specialmente quelli sviluppati internamente o da piccoli sviluppatori.
  • Blocca le vecchie versioni: Configura WordPress per bloccare l’uso di vecchie versioni dei plugin che sono note per essere vulnerabili.

 

Conclusione

Gli attacchi alla supply chain rappresentano una minaccia crescente per la sicurezza informatica, specialmente per le piattaforme popolari come WordPress.

La consapevolezza e l’adozione di pratiche di sicurezza efficaci sono essenziali per proteggere i siti web e gli utenti da queste sofisticate forme di attacco. Mantenere una vigilanza costante e rimanere informati sulle ultime minacce è fondamentale per gestire i rischi associati a questi attacchi.

Approfondimenti correlati

Fonte ufficiale: OWASP Software Supply Chain Security.

Domande frequenti

Un plugin aggiornato può essere compromesso?

Sì, se il canale di distribuzione o l’account dello sviluppatore viene violato. Per questo è utile monitorare modifiche inattese e avvisi di sicurezza.

Come ridurre il numero di componenti a rischio?

Mantieni solo plugin e temi necessari, elimina quelli inutilizzati e preferisci progetti con manutenzione attiva e cronologia trasparente.

Cosa fare dopo un aggiornamento sospetto?

Isola il sito, conserva log e backup, confronta i file con una versione affidabile e valuta il ripristino da una copia precedente verificata.

Team tecnico Xlogic 2 Comments Blogging, Wordpress

Plugin di traduzione WordPress: confronto e scelta

Un plugin traduzione WordPress deve gestire contenuti, menu, URL, metadati SEO, media e compatibilità con tema ed e-commerce. La scelta cambia tra traduzione manuale, automatica o ibrida. Prima dell’installazione conviene verificare lingue supportate, modalità di salvataggio, compatibilità con WooCommerce e costi legati a parole, siti o crediti.

Nota di aggiornamento: Funzioni e prezzi dei plugin cambiano frequentemente: controlla i piani ufficiali e la compatibilità con la versione WordPress in uso.

WordPress non è multilingua, questo significa che se vuoi tradurre il tuo sito WP devi farlo manualmente o in alternativa devi affidarti ad un plugin WordPress gratis o a pagamento.

Se vuoi creare manualmente un sito multilingua devi tenere in considerazione i seguenti fattori prima di iniziare a tradurre il sito WordPress:

  1. Installazione singola o multipla di WordPress
  2. Utilizzo di domini o sottodomini
  3. Scelta della struttura del permalink più adatta
  4. Gestire siti multilingue e multiregionali

Questi fattori devi prenderli in considerazione se hai deciso di creare un installazione WordPress Multisite e di effettuare la traduzione del sito WordPress manualmente.

Se invece non vuoi effettuare la traduzione manualmente ti puoi affidare a dei plugin gratuiti ed a pagamento che ti permetteranno di effettuare la traduzione automaticamente senza il bisogno di dover creare più installazioni WordPress o di dover inserire la traduzione in base alla lingua su più domini o sottodomini (es: it.xlogic.org – en.xlogic.org – fr.xlogic.org).

I migliori Plugin per la traduzione di un sito WordPress

I migliori Plugin per la traduzione di un sito WordPress

Esistono moltissimi plugin per creare un sito multilingua su WordPress, in questo articolo ti elencheremo i migliori plugin per tradurre WordPress in altre lingue.

I Plugin multilingua di WP verranno suddivisi in base alle modalità di traduzione WordPress:

  • Traduzione manuale WordPress: attraverso questo metodo sarà possibile tradurre manualmente il contenuto del sito web, in questo modo avrai la possibilità di effettuare in maniera semplice una traduzione precisa che però ti porterà via molto tempo perché dovrai effettuare te la traduzione allo stato attuale ma anche per Post e pagine future.
  • Plugin per traduzione automatica WordPress: se possiedi un blog o sito web professionale non ti consigliamo di affidarti ad un plugin WP di traduzione automatica perché è semplice da utilizzare ed è veloce a tradurre il contenuto ma purtroppo la traduzione non è precisa e quindi ti consigliamo di utilizzare questo plugin per tradurre automaticamente il tuo sito solamente se possiedi un blog non professionale e non ti interessa che il sito venga tradotto perfettamente.
  • Sito WordPress tradotto in automatico con possibilità di modificare il contenuto: secondo noi è la migliore soluzione solamente se scegli un plugin che traduca automaticamente nel migliore dei modi il contenuto del tuo sito web, perché una volta tradotto andrai ad effettuare le modifiche manualmente senza dover rifare da capo l’intera traduzione.

In questo articolo posizioneremo i plugin in base alla popolarità ed all’importanza non tenendo conto se sono gratis o a pagamento, in ogni caso lo scriveremo spiegando nel dettaglio le funzionalità, il prezzo e ti forniremo altre caratteristiche che ti permetteranno di scegliere il migliore plugin multilingua per la traduzione del tuo sito WordPress in più lingue.

Migliore plugin multilingue di WordPress

WPML

WPML è il miglior plugin WordPress multilingue per tradurre il tuo sito web, è a pagamento ma le traduzioni automatiche vengono fatte egregiamente ed hai anche la possibilità di modificare il testo manualmente andando a correggere quelle frasi che non sono del tutto corrette o a modificare quelle parole tecniche che non sono state tradotte bene.

Il plugin WP WPML supporta oltre 40 lingue e ti permette di pubblicare le traduzioni sullo stesso dominio oppure su un sottodominio.

Attraverso questo plugin multilingua avrai la possibilità di tradurre tutte le parti del tuo sito web: post, pagine, menu, widget, footer, descrizioni delle immagini e molto altro ancora.

Potrai tradurre il sito web in più lingue, le traduzioni verranno inserite all’interno dello stesso database in posizioni differenti rispetto al documento in lingua originale per organizzare nel migliore dei modi lo spazio web.

WPML è il miglior plugin per creare un sito multilingua su WordPress ma non è gratuito, infatti il costo annuale parte da 29$ fino ad arrivare a 159$.

Secondo noi la migliore soluzione è il piano Multilingual CMS che costa per il primo anno 79$ per poi passare a 59$ negli anni successivi.

Multilingual CMS è il piano più diffuso perché traduce ogni singola parte del sito web tra cui anche i widget; permette di gestire dal backend di WordPress tutte le funzionalità, inoltre con questo piano è possibile scegliere l’URL per ogni lingua utilizzata.

Questo abbonamento è valido per 3 siti web e se possiedi un sito e-commerce creato con il plugin WooCommerce devi necessariamente sottoscrivere questo piano perché in quello precedente non è possibile tradurre i siti e-commerce.

Puoi visualizzare le caratteristiche ed i costi di ogni singolo piano da questa pagina: piani multilingua WPML

Traduzione sito WordPress manuale

Polylang

Polylang è un plugin gratuito che ti permette di effettuare le traduzioni manualmente rendendo il tuo sito WordPress multilingua.

E’ uno tra i plugin più popolari ed utilizzati dagli utenti WordPress perché è completamente gratuito ma anche perché ti permette di creare un contenuto multilingua in tutti i linguaggi che vuoi.

Permette ai visitatori di scegliere la lingua che desiderano attraverso il menu di navigazione o da un widget, supporta i linguaggi RTL ed è compatibile praticamente con tutti i temi WordPress.

Ogni utente ha la possibilità di visualizzare la bacheca nella propria lingua e questo strumento può essere integrato con questo plugin a pagamento che permette di integrare un’interfaccia di gestione che include traduzioni parzialmente automatizzate e memorie di traduzione, stiamo parlando del plugin WordPress Lingotek Translation.

QTranslate-X

QTranslate-X (precedentemente QTranslate) è uno dei plugin WordPress di traduzione manuale più popolari, è totalmente gratuito ed è semplice da utilizzare, ad esempio puoi cambiare la lingua mediante delle semplici tabelle dal backend di WordPress.

Questo plugin funziona in modo simile a Polylang, in pratica dopo l’installazione devi selezionare la lingua predefinita del sito web e le lingue che desideri per effettuare la traduzione creando un codice univoco di due lettere per ogni lingua supportata.

QTranslate aggiunge il codice della lingua all’URL che definisce in questo modo in quale linguaggio è stato scritto il contenuto.

Mantenendo ogni singola traduzione su diversi URL i motori di ricerca potranno indicizzare il tuo contenuto in più lingue senza vederlo come un duplicato, inoltre il plugin rileva automaticamente il paese di provenienza del visitatore rendendo il sito disponibile con la lingua preferita dall’utente.

Per tradurre il contenuto devi accedere all’interno dell’Editor visuale di WordPress dove visualizzerai le bandiere per la quale hai scelto di tradurre il sito web, dopo di che dovrai cliccare su ogni singola bandiera e dovrai inserire manualmente la traduzione di quel determinato contenuto.

Xili-Language

Xili-Language è n altro plugin che ti permette di effettuare la traduzione manualmente ma è principalmente indicato per gli utenti che hanno un pò di conoscenza di WordPress a livello di programmazione come uno sviluppatore o un web designer perché è necessario interagire con i files .po mediante strumenti come PoEdit.

Questo plugin è nato nel 2009 e quindi è un plugin giovane ma ad oggi è riuscito ad affermarsi come uno tra i migliori plugin per tradurre il sito WordPress e per creare un sito multilingua.

LocoTranslate

LocoTranslate è un altro plugin WP gratuito che ti permette di tradurre i temi ed i plugins del tuo sito web nella lingua da te scelta.

Grazie a questo plugin sarà possibile tradurre l’intero sito web nella lingua selezionata; proprio come per il plugin Xili-Language è necessario interagire con i files di traduzione .po

Traduzione sito WordPress automatica

Secondo noi non dovresti affidarti ad un traduttore automatico perché il più delle volte le frasi non corrispondono al significato originale sia in termini di traduzione letterale ma anche di significato vero e proprio.

Se però possiedi un semplice blog non professionale e non ti interessa che il tuo sito venga tradotto perfettamente puoi affidarti alla traduzione automatica di WordPress con il plugin di Google:

Google Language Translator

Per effettuare traduzione automatica del sito web devi semplicemente installare sul tuo sito il plugin Google Language Translator e devi attivarlo, questo plugin è semplice da utilizzare ed è totalmente gratuito.

 

Traduzione sito WP automatica e manuale

Transposh

Transposh è un plugin WordPress gratuito che dispone di 82 lingue e ti permette di realizzare le traduzioni automatiche con il vantaggio di poterle modificare manualmente.

Questo plugin è popolare ed è completo anche se le traduzioni a volte non sono precise, però questo problema può essere risolto andando a modificare in modo manuale il contenuto tradotto erroneamente.

Weglot

Weglot è un plugin molto semplice da utilizzare che ti permette di effettuare un’ottima traduzione automatica del sito web e ti consente anche di andare a modificare il contenuto manualmente tramite l’editor di testo.

Per poter utilizzare questo plugin è necessario creare l’account all’interno del sito web ed inserire la chiave API fornita all’interno delle impostazioni del plugin su WordPress.

Weglot sarebbe il plugin ideale per chiunque (alla pari di WPML) però il problema principale è legato al prezzo; in pratica il piano è gratuito se non si superano questi limiti:

  • 2.000 parole, 1 lingua e 5.000 visualizzazioni mensili delle pagine tradotte

Dopo di che si passa al piano Starter che copre fino a 10.000 parole e costa € 9,90 al mese per poi arrivare ai piani successivi sempre più costosi (fino a € 199 mensili).

Ed è per questo motivo che confrontati Weglot e WPML non ci sono paragoni, non ci riferiamo alle funzionalità che sono ottime in entrambi i casi ma ci riferiamo semplicemente al costo, basti pensare che il piano più costoso di WPML viene venduto a $ 159 annuali e può essere installato in migliaia di siti web senza dover pagare un euro in più.
plugin multilingua wordpress

Conclusioni

In questo articolo abbiamo elencato i migliori plugin per creare un sito multilingua su WordPress, li abbiamo suddivisi in base al metodo di traduzione: manuale, automatico, semi automatico.

Tutti i plugin elencati sono ottimi e popolari, alcuni sono a pagamento ma la maggior parte sono gratuiti; secondo noi se possiedi un sito aziendale o comunque un sito che utilizzi in maniera professionale è necessario pagare per avere la migliore qualità e la migliore soluzione è senza dubbio il plugin WPML che con meno di 70 dollari l’anno ti permette di effettuare una traduzione automatica in maniera precisa e corretta in tutte le lingue che desideri ma ti permette anche di effettuare le modifiche alle traduzioni in modo manuale.

Quale plugin utilizzi sul tuo sito WordPress multilingua? Conosci altri Plugin che non sono stati elencati in questo articolo?

 

Condividi con noi la tua esperienza, saremo lieti di poterti rispondere ed assistere per qualsiasi dubbio.

Approfondimenti correlati

Fonte ufficiale: WordPress Developer Resources: siti multilingua.

Domande frequenti

Meglio traduzione manuale o automatica?

La traduzione manuale offre maggiore controllo, mentre quella automatica accelera il lavoro. Nei siti professionali è spesso utile un flusso ibrido con revisione umana.

Un plugin multilingua cambia gli URL?

Molti plugin creano URL distinti per lingua tramite cartelle, sottodomini o domini separati. La struttura scelta deve essere coerente e mantenuta nel tempo.

Cosa verificare prima di cambiare plugin?

Bisogna esportare le traduzioni, controllare redirect, metadati, stringhe del tema e compatibilità. Il cambio può alterare URL e collegamenti, quindi serve un ambiente di prova.

Team tecnico Xlogic Leave a comment Blogging, Wordpress

Come proteggere un sito WordPress: guida completa

Per proteggere un sito WordPress servono più livelli: aggiornamenti tempestivi, plugin affidabili, autenticazione a più fattori, privilegi minimi, backup esterni verificati, HTTPS e monitoraggio. Nascondere la versione o cambiare l’URL di login può ridurre rumore automatico, ma non sostituisce patch, controllo degli accessi e protezione dell’infrastruttura.

Nota di aggiornamento: Le configurazioni devono essere adattate al sito e testate: non applicare frammenti di codice o regole server senza backup.

Bisogna prestare molta attenzione alla sicurezza del proprio sito WordPress, per far questo è necessario adottare degli accorgimenti per ridurre al minimo il rischio di far compromettere il proprio sito.

All’interno di questa guida ti forniremo le migliori tecniche, strategie e consigli che potrai utilizzare per proteggere il tuo sito WordPress.

 

Indice dei contenuti

Scelta del miglior Provider Hosting

Certificato SSL: utilizza il protocollo HTTPS per le connessioni criptate

Backup WordPress

Protezione DDoS

Versione PHP aggiornata

Previene L’Hotlinking

Consigli su come aumentare la sicurezza del tuo sito WordPress

  1. Utilizza sempre l’ultima versione dei plugins e del CMS WordPress
  2. Metti in sicurezza il file wp-config.php
  3. Nascondi la versione di WordPress
  4. Aggiungi i più recenti Header HTTP di sicurezza
  5. Rafforza la sicurezza del Database

Plugin sicurezza WordPress

  1. Come impostare l’autenticazione a due fattori
  2. Come limitare i tentativi di accesso su WordPress
  3. Come modificare l’URL di accesso di WordPress
  4. Come disattivare XML-RPC
  5. WordPress Multisite: come monitorare tutte le modifiche effettuate

Conclusioni

 

Scelta del miglior Provider Hosting

E’ molto importante scegliere un Provider Hosting affidabile per la propria attività dove i server devono essere sempre aggiornati ma soprattutto devono essere di ultima generazione e sicuri.

Per esempio i nostri Server vengono costantemente aggiornati con i software di sicurezza e con il sistema operativo più recente e vengono giornalmente testati e scansioni alla ricerca di eventuali virus e vulnerabilità.

Inoltre su tutti i nostri Server utilizziamo CageFS della CloudLinux che fornisce un ambiente di Web Hosting più sicuro in quanto permette di isolare su un Server Condiviso non solo gli utenti ma anche i singoli siti WordPress.

Questo significa che se malauguratamente un sito web di un cliente subisse un attacco Hacker o prendesse un virus o malware, non potrebbe mai manifestarsi sull’intero Server Condiviso ma rimarrebbe bloccato all’interno di quella determinata zona.

Xlogic offre anche un antivirus avanzato (Imunify Security) che viene offerto gratuitamente all’interno dei servizi di Hosting WordPress.

Imunify Security mantiene la sicurezza del sito WordPress effettuando queste operazioni:

  • Imunify rileva tutti i tipi di malware in tutti i tipi di file – Non importa se i vostri siti web sono basati su PHP (come WordPress, Joomla e Drupal), o realizzati con il classico HTML statico. Le nostre avanzate tecniche di de-offuscamento consentono di rilevare il codice dannoso nascosto nei file utilizzando la crittografia o la codifica.
  • Imunify è una protezione anti-malware efficace – Può rilevare e notificare molti metodi di attacco: back door, web shell, virus,  script di “black hat SEO”, pagine di phishing e molti altri. È quindi possibile intervenire per pulire manualmente i file infetti e proteggere i siti Web.
  • Imunify pulizia automatica. Imunify permette di rimuovere con un solo clic qualsiasi codice malevolo o virus, di cui oltre il 97% può essere pulito automaticamente.

Per maggiori informazioni consulta questa guida: Antivirus Imunify Security

 

 

Certificato SSL: utilizza il protocollo HTTPS per le connessioni criptate

Uno dei modi più trascurati ma importanti per poter proteggere il tuo sito web è legato all’installazione di un certificato SSL permetterti di farlo girare attraverso il protocollo https://

Perché è importante avere un certificato SSL valido e funzionante?

  1. Maggiore sicurezza, il protocollo https:// ha lo scopo principale di mantenere una connessione sicura
  2. SEO e Google, se un sito web non ha un certificato SSL attivo, viene penalizzato da Google
  3. Credibilità e fiducia, un visitatore si sente più sicuro se viaggia su un sito in https://

Su Xlogic viene installato automaticamente e gratuitamente un certificato SSL della Comodo su tutti i domini e sottodomini che puntano sui nostri server.

 

Backup WordPress

E’ essenziale effettuare costantemente i backup del proprio sito web, ci sono diversi plugin di backup WordPress che svolgono questa funzione come Duplicator, BackWPup, UpDraftPlus, BackupWordPress e molti altri.

Oltre ai plugin di backup WordPress è anche possibile effettuare il backup direttamente dal pannello di controllo del Provider Hosting (se previsto), per esempio con Xlogic avrai la possibilità di effettuare e ripristinare i backup manualmente direttamente da cPanel (backup manuale cPanel).

Oppure puoi dimenticarti di effettuare i backup e puoi iniziare a dormire sogni tranquilli con lo strumento di backup automatico di Xlogic.

Mi riferisco a JetBackup che è incluso all’interno dei piani Hosting WordPress ed effettua automaticamente un backup dell’intero account (sito, files, cartelle, configurazioni, mails) e che l’utente può ripristinare tramite cPanel in due semplici click.

Per maggiori informazioni consulta questa guida: Backup automatico sito web JetBackup

 

Protezione DDoS

Gli attacchi DDoS ci sono sempre stati e sono una tipologia di attacchi dove vengono utilizzati più sistemi per colpire un singolo sistema generando un attacco Denial of Service (Dos).

Per fermare senza alcun problema un attacco DDoS, consigliamo di utilizzare un Plugin come Sucuri oppure se stai utilizzando il CDN Cloudflare potrai utilizzare il proprio servizio di sicurezza.

Ti ricordiamo che su Xlogic hai la possibilità di incaricare i nostri tecnici a configurare gratuitamente Cloudflare, questo significa che oltre ad abilitare ed a configurare la CDN, imposteremo i sistemi di sicurezza come per esempio questo per la protezione DDoS.

 

Versione PHP aggiornata

Una delle cause principali per cui un sito web viene bucato è legata alla versione PHP impostata; più la versione utilizzata è vecchia e più sei esposto ai rischi in quanto stai utilizzando una versione che non è più aggiornata e non è più sicura.

Per verificare la versione PHP puoi installare il plugin Display PHP Version, altrimenti se il tuo Provider Hosting utilizza cPanel come pannello di controllo, può verificare e gestire la versione PHP in questo modo.

cPanel > Select PHP Version

Come proteggere un sito WordPress: guida completa

 

Verifica la versione PHP ed aggiornarla nel caso fosse vecchia (in questo caso una versione datata è per esempio le 5.6)

 

Come proteggere un sito WordPress: guida completa

 

Dopo aver scelto la versione PHP, potrai gestire i parametri attraverso questa pagina:

 

Come proteggere un sito WordPress: guida completa

 

 

Previene L’Hotlinking

Per HotLinking intendiamo quando qualcuno utilizza per esempio un immagine sul proprio sito web attraverso il collegamento e non caricandola direttamente sul proprio Server.

In questo modo l’immagine verrà visualizzata su quel sito web ma verrà consumata la banda del sito collegato dove è presente l’immagine originale.

Per prevenire l’HotLinking basta semplicemente accedere all’interno del file .htaccess ed inserire questo codice:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?tuosito.it [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ http://dropbox.com/hotlink-immagine.jpg [NC,R,L]

Se stai utilizzando un CDN consulta questa guida:

  • Protezione HotLinking con Cloudflare

 

Consigli su come aumentare la sicurezza del tuo sito WordPress

 

  • Utilizza sempre l’ultima versione dei plugins e del CMS WordPress

Un modo importante per rafforzare la sicurezza di WordPress è quello di mantenere sempre aggiornati i plugins, i temi e la versione del CMS stesso.

L’aggiornamento viene effettuato dagli sviluppatori per migliorare la sicurezza e per risolvere eventuali Bug; ecco, è proprio questo il motivo per cui dovresti sempre aggiornato tutto, perché tramite i Bug gli hacker ed i malware potrebbero riuscire ad accedere all’interno del tuo sito web.

1. Consigliamo di installare solamente i Plugin considerati attendibili, quindi con tanti download attivi ed un feedback positivo

2. Consigliamo di installare i Plugin solo se vengono recentemente aggiornati

 

  • Metti in sicurezza il file wp-config.php

Il file di configurazione è uno tra i files più importanti di WordPress in quanto contiene le chiavi per accedere all’interno del sito, nonché il database, l’utente e la password.

 

Che cosa puoi fare per mettere in sicurezza il file di configurazione di WordPress?

1. Sposta il file wp-config.php

Solitamente il file di configurazione si trova all’interno della root principale del sito, nel caso di Xlogic, si trova su: home/nomeutente/public_html/wp-config.php

Per spostarlo e nasconderlo puoi copiare il contenuto all’interno di un altro file e poi devi modificare il percorso di destinazione, per far questo devi inserire il seguente codice all’interno del file wp-config.php:

'/home/nomeutente/wp-config.php'

2. Cambia i permessi

I permessi dei files e delle cartelle devono essere rispettivamente settati a 0644 e 0755, ma per non far accedere nessun all’interno del file ti consigliamo di settore il permesso a 0440 o 0400.

Scopri come modificare i permessi dei files e delle cartelle da cPanel

  • Nascondi la versione di WordPress

Se nascondi la tua versione di WordPress nessuno potrà mai sapere se il tuo sito è stato aggiornato oppure no, in caso contrario offriresti un biglietto di benvenuto al malintenzionato.

Per nascondere la versione di WordPress apri il file functions.php ed inserisci il seguente frammento di codice:

function wpversion_remove_version() {
return '';
}
add_filter('the_generator', 'wpversion_remove_version');

Inoltre è necessario cancellare anche il file readme.html perché anche la viene indicata la versione di WordPress.

 

  • Aggiungi i più recenti Header HTTP di sicurezza

Per rafforzare maggiormente il proprio sito web ti consigliamo di utilizzare le intestazioni Header HTTP relative alla sicurezza che indicano al browser come comportarsi quando gestisce il contenuto del sito web.

Esistono moltissime intestazioni ma le più importanti sono queste:

Per chi volesse approfondire il discorso è possibile consultare questo articolo interessante scritto da KeyCDN: HTTP Security Headers

 

Security Headers: Effettua il Test con questo strumento gratuito che ti mostrerà quali Header di sicurezza HTTP sono al momento attivi per quel determinato sito web.

 

  • Rafforza la sicurezza del Database

Consigliamo sempre di utilizzare un nome diverso dal proprio sito web, quindi se il tuo sito web si chiama giochi computer, di default il database si chiamerà probabilmente wp_giochicomputer.

Questo non va bene, chiama il database in un altro modo utilizzando un nome di fantasia (es: wp_ciaociao) oppure utilizzando diversi caratteri e numeri senza alcuna logica (es: wp_sgvhgi3443)

Inoltre consigliamo anche (in fase di installazione e di configurazione) di non utilizzare il prefisso wp_ ma di cambiarlo con un altro prefisso che non sia quello standard.

 

Plugin sicurezza WordPress

 

Come impostare l’autenticazione a due fattori

Non importa quanto sia sicura la password di accesso su WordPress, c’è sempre il rischio che qualcuno la possa scoprire e che di conseguenza possa accedere all’interno del sito.

Quindi ti consigliamo di impostare l’autenticazione a due fattori per il tuo sito WordPress che prevede un processo in due passaggi che non basta inserire la password per accedere, ma viene richiesto anche un codice tramite SMS, chiamato o su un’applicazione che riceverai sul tuo numero di telefono personale.

In questo modo non sarà possibile in alcun modo accedere su WordPress senza aver eseguito i due passaggi.

1. Installa il plugin di autenticazione a due fattori su WordPress, come ad esempio Google Authenticator (Mini Orange 2 Factors)

2. Installa sul tuo cellulare l’app Google Authenticator su Android o iOS che ti fornirà ogni volta che accederai su WordPress il codice da inserire

 

Come limitare i tentativi di accesso su WordPress

Per limitare i tentativi di accesso su WordPress ti consigliamo di installare il plugin WP Cerber dalla quale sarà possibile impostare facilmente la durata del blocco, i tentativi di accesso e whitelist e blacklist degli IP.

 

Come modificare l’URL di accesso di WordPress

Per cambiare il proprio URL di accesso (nomesito.it/wp-admin) puoi installare il plugin WPS Hide Login ed inserire il percorso che preferisci.

 

Come disattivare XML-RPC

Tramite XML-RPC è possibile che il sito subisca degli attacchi hacker, per ridurre al minimo questo rischio, ti invitiamo ad installare il plugin su WordPress per disattivare completamente XML-RPC.

Scarica il Plugin WordPress: Disable XML-RPC

 

WordPress Multisite: come monitorare tutte le modifiche effettuate

Se lavori su una rete WordPress MultiSite oppure se hai un sito multi-autore, ti consigliamo di installare il plugin WP Activity Log che ha la funzione di assicurare la produttività degli utenti e che consente agli amministratori di vedere tutto ciò che viene modificato (es: accessi, modifiche ai temi, modifiche password, modifiche widget, aggiornamenti WordPress, nuova creazione articoli e pagine).

 

Conclusioni

Hai qualche consiglio importante da darci sulla sicurezza di WordPress che non è stato menzionato su questa guida? Se fosse cosi, ci piacerebbe che ci scrivessi un commento.

Se ti è piaciuto questo articolo, allora sono sicuro che apprezzerai anche i nostri servizi di Hosting WordPress.

Con il nostro Hosting WordPress, il tuo sito sarà più veloce e performante, inoltre ti forniremo gratuitamente assistenza base su WordPress.

Scopri i nostri piani se sei alla ricerca di un nuovo piano Hosting sulla quale creare o trasferire il tuo sito web

Altrimenti se sei nostro cliente e non hai un Hosting WordPress, puoi sempre effettuare l’upgrade pagando la differenza di costo tra i due piani meno il costo relativo ai mesi già usufruiti, scopri come effettuare l’upgrade al piano Hosting WordPress.

 

Alla prossima!

Approfondimenti correlati

Fonte ufficiale: WordPress Hardening.

Domande frequenti

Qual è la misura più importante?

Aggiornare rapidamente core, plugin e temi riduce l’esposizione a vulnerabilità note. Deve essere accompagnato da backup e test.

Cambiare l’URL di login rende WordPress sicuro?

No. Può diminuire alcuni tentativi automatici, ma non corregge vulnerabilità e non sostituisce 2FA, password forti e limitazione dei privilegi.

Quanto spesso verificare i backup?

La frequenza dipende da quanto cambia il sito. È essenziale provare periodicamente un ripristino, perché un backup non verificato potrebbe essere inutilizzabile.

Team tecnico Xlogic Leave a comment Blogging, Wordpress

Shortcode WordPress: cosa sono e come usarli

Gli shortcode WordPress sono segnaposto racchiusi tra parentesi quadre che vengono interpretati durante la visualizzazione del contenuto. Possono inserire moduli, gallerie o output personalizzati, ma devono validare attributi ed effettuare escaping dell’output. Gli shortcode legati a un tema possono smettere di funzionare quando il tema cambia.

Gli shortcode di WordPress sono una funzione molto interessante che ti permettono di effettuare delle operazioni con il minimo sforzo.

In pratica chiunque potrà utilizzare gli shortcode di WordPress senza sforzo e soprattutto senza dover conoscere i linguaggi di programmazione.

Per esempio con gli shortcode sarà possibile inserire elementi interattivi, creare layout di pagina complessi e molto altro ancora, lo scopo principale è quello di aiutare ad automatizzare la creazione di contenuti e design.

Tramite questa guida che ti spiega che cosa sono gli shortcode di WordPress e come si utilizzano, scoprirai come lavorare con le API shortcode.

Shortcode WordPress: cosa sono e come usarli

WordPress Shortcode: che cosa sono e come si utilizzano

 

Indice dei contenuti

  • Che cos’è uno shortcode
  • Quali sono gli shortcode WordPress predefiniti
  • WordPress shortcode: pro e contro
  • I migliori plugin free per aggiungere shortcode su WordPress
  • Conclusioni

Che cos’è uno shortcode

La traduzione letteraria di shortcode è la seguente: Codice + Breve, questo significa che è un codice che utilizza i tag tra parentesi quadre [ ] per definire il modo in cui viene utilizzato.

Ad esempio, è possibile utilizzare gli shortcode per incorporare cursori, moduli o tabelle dei prezzi ma è anche possibile utilizzarli per creare modelli di progettazione di pagine riutilizzabili.

Ci sono due tipologie di shortcode:

  1. Self-closing Shortcodes: questa tipologia di shortcode non ha bisogno di un tag di chiusura, per esempio lo shortcode gallery non ha bisogno di un tag di chiusura e di conseguenza avremo la possibilità di aggiungere tutto ciò che vogliamo con attributi diversi.
  2. Enclosing Shortcode: questa tipologia di shortcode ha bisogno di un tag di chiusura e generalmente questi shortcode manipolano il contenuto tra i tag di apertura e chiusura.

 

Quali sono gli shortcode WordPress predefiniti

Gli shortcode di WordPress sono stringhe di parentesi quadre ([ ]) che una volta inseriti, si trasformano in qualcosa di affascinante che apparirà sulle pagine, articoli del tuo sito WordPress.

Di seguito vi mostreremo gli shortcode predefiniti di WordPress:

    1. caption: serve ad avvolgere le didascalie intorno al tuo contenuto. È usato principalmente per aggiungere didascalie di immagini, ma si può usare per qualsiasi elemento HTML.
    2. embed: questo shortcode espande la funzione predefinita oEmbed e consente di impostare diversi attributi per i propri embeddings come per esempio quella delle dimensioni massime.
    3. gallery: lo shortcode gallery permette di inserire una galleria di immagini su WordPress, inoltre è possibile utilizzare gli attributi per definire quali immagini devono essere utilizzate e per personalizzare l’aspetto della galleria.
    4. video: questo shortcode incorpora un video e lo riproduce come un semplice lettore, supporta l’incorporazione di video nei formati mp4, webm, m4v, webm, ogv, wmv, flv.
    5. audio: questo shortcode serve ad incorporare i file audio all’interno del sito WordPress e permette di avviare e di stoppare il brano musicale.
    6. playlist: questo self-closing shortcode visualizza una raccolta di file audio e/o video ed è anche possibile impostare la modalità “dark” grazie al suo attributo di stile.

WordPress shortcode: pro e contro

PRO

  • Gli shortcode possono essere forniti in dotazione con un plugin; è importante sapere che con l’aggiornamento di WordPress o con la modifica del tema, gli shortcode continueranno a funzionare come prima
  • La presenza di shortcode in dotazione con un plugin li rende facili da usare su più siti web WordPress
  • Poiché gli shortcode accettano anche gli attributi, gli utenti possono modificare il comportamento dello stesso shortcode modificando semplicemente le opzioni degli attributi
  • Gli shortcode semplificano l’aggiunta di funzioni complesse all’interno del proprio sito WordPress
  • Gli shortcode eliminano la necessità di scrivere script complessi automatizzano il flusso di lavoro di sviluppo
  • Gli shortcode sono più facili da usare rispetto agli script PHP o al codice HTML

CONTRO

  • Gli shortcode non sono uno strumento intuitivo per l’utente finale, soprattutto se ne vengono utilizzati molti su una pagina; in questo caso consigliamo di utilizzarli solo da chi si occupa di sviluppo
  • È difficile capire subito il funzionamento di uno shortcode, non a casa il team di WordPress li ha denominati “mystery meat embed codes”
  • Gli shortcode hanno una sintassi ambigua, per esempio, alcuni di essi supportano la chiusura opzionale, in modo da poterli utilizzare sia come self-closing che come enclosing, o addirittura entrambi, se sono annidati, questo potrebbe confondere l’utente finale
  • Se gli shortcode sono inclusi nel codice di un tema smetteranno di funzionare se verrà cambiato il tema stesso

 

I migliori plugin free per aggiungere shortcode su WordPress

Indice dei contenuti

  1. Shortcodes Ultimate
  2. Display Posts
  3. Tabby Responsive Tabs
  4. Shortcoder
  5. Remove Orphan shortcodes

 

Shortcodes Ultimate

Shortcode WordPress: cosa sono e come usarli

Shortcodes Ultimate è il plugin più popolare, utilizzato e completo che sia presente, infatti viene fornito con una raccolta di 50 shortcodes per quasi tutti gli elementi della pagina di cui avrai bisogno comprese colonne, caroselli, cursori e tabelle.

Questo plugin funziona con tutti i temi e con l’editor dei blocchi Gutenberg.

 

Display Posts

Shortcode WordPress: cosa sono e come usarli

Display Posts Shortcode è perfetto per chi ha la necessità di inserire liste di articoli definiti in base ai tag, alle categorie ed alle tassonomie.

 

Tabby Responsive Tabs

Shortcode WordPress: cosa sono e come usarli

Utilizza questo plugin se non hai bisogno di utilizzare diverse funzioni di shortcode ma vuoi solamente qualcosa che ti aiuti ad organizzare il testo con dei Tab specifici; Tabby Responsive Tabs è un’estensione che permette di creare tab orizzontali e verticali.

 

Shortcoder

Shortcode WordPress: cosa sono e come usarli

Il plugin Shortcoder consente di creare codici brevi personalizzati per HTML, JavaScript e altri linguaggi.

A differenza degli altri plugin, Shortcoder permette di far creare all’utente dei shortcodes personalizzati; dovrai semplicemente incolla il tuo codice, assegnare un nome riconoscibile al tuo nuovo shortcode per poi posizionarlo ovunque in una pagina o in un articolo.

Shortcoder è eccellente per posizionare contenuti incorporati, come video e annunci display. Una volta installato, non sarai più limitato ad inserire il codice di incorporamento nei widget ma potrai creare codici brevi per ogni elemento da incorporare ed incollarli nell’editor dei contenuti.

 

Remove Orphan shortcodes

Shortcode WordPress: cosa sono e come usarli

Se non hai più bisogno di un plugin per lo shortcode è necessario eliminarlo ma solitamente rimane del testo nell’articolo che corrisponde al comando impartito dall’estensione che hai appena cancellato.

Per poterlo eliminare definitivamente puoi utilizzare il plugin Remove Orphan Shortcode.

 

Conclusioni

All’interno di questo articolo abbiamo visto che cosa sono gli shortcode e come usarli per permetterti di aggiungere degli elementi sulle pagine e sugli articoli del tuo sito WordPress.

Utilizzi gli shortcode sul tuo sito WordPress? Conoscevi quelli predefiniti della piattaforma WordPress? Se pensi che all’interno di questo articolo non abbiamo inserito delle nozioni importanti o se hai bisogno di maggiori informazioni lasciaci un commento.

 

Alla prossima!

Approfondimenti correlati

Fonte ufficiale: WordPress Shortcode API.

Domande frequenti

Dove va registrato uno shortcode?

Preferibilmente in un plugin o mu-plugin, così la funzione non dipende dal tema attivo.

Come si gestiscono gli attributi?

Definisci valori predefiniti, valida i dati ricevuti e applica escaping coerente con il tipo di output.

Gli shortcode funzionano nei blocchi?

Possono essere inseriti nel blocco Shortcode, ma per nuove funzioni complesse può essere preferibile sviluppare un blocco dedicato.

Team tecnico Xlogic Leave a comment Blogging, Wordpress

Come proteggere un blog WordPress: 10 controlli

Per proteggere un blog WordPress è utile una checklist periodica: aggiornamenti, account, privilegi, backup, plugin, tema, HTTPS, log e procedure di ripristino. Questa guida è focalizzata sui controlli operativi ricorrenti e completa la guida generale alla sicurezza senza sostituire l’analisi tecnica di un incidente.

Come tutti sappiamo WordPress è il CMS più popolare ed utilizzato per creare siti web, questo perché offre delle funzionalità avanzate e migliaia di plugin e temi che ti permettono di effettuare qualsiasi operazione nel tuo sito WP.

Come per ogni cosa, c’è un aspetto positivo ma anche negativo, in questo caso l’aspetto negativo è legato al rischio di poter prendere dei virus / malware o di subire attacchi hacker.

Per limitare gli attacchi e per evitare di prendere dei virus è necessario effettuare alcune operazioni per mettere al sicuro il sito WordPress:

Sito Hackerato

E’ molto importante sapere che gli hacker potrebbero bucare da un momento all’altro il tuo sito, in che modo? Semplicemente passando da una falla di un plugin o tema non aggiornato, quindi ti consigliamo di leggere attentamente i seguenti articoli:

Sicurezza e Virus

Può succedere che il tuo sito si prenda un virus / malware a causa di un plugin o tema che non è stato aggiornato e che contiene del codice dannoso, per poter prevenire questo problema ti consigliamo di leggere passo per passo questi articoli:

10 Suggerimenti poco conosciuti ma molto efficaci per proteggere il tuo blog WordPress

10 Suggerimenti poco conosciuti ma molto efficaci per proteggere il tuo blog WordPress

In questo articolo ti forniremo dei suggerimenti che non sono molto conosciuti ma che sono davvero efficaci per proteggere il tuo sito WordPress:

1. Disabilita il tema WordPress e l’editor del plugin

Un semplicissimo errore potrebbe mandare in crash il tuo sito web, inoltre gli hacker potrebbero facilmente inserire del codice dannoso all’interno del tuo tema.

Per evitare questi problemi puoi proteggerti disabilitando l’editor dei plugin e temi rendendo impossibile la modifica di temi e plugin senza l’accesso FTP.

E’ possibile effettuare questa operazione aggiungendo all’interno del file wp-config.php questo codice:

define( ‘DISALLOW_FILE_EDIT’, true );

2. Abilita l’autenticazione a due fattori

L’autenticazione a due fattori è ormai diventata uno dei modi più affidabili e sicuri per proteggere i tuoi account su Internet, è possibile abilitarla anche su WordPress utilizzando uno tra i seguenti plugin:

3. Limita gli accessi in base al numero di tentativi falliti

Una delle tecniche più comuni utilizzate è un attacco bruteforce, in pratica un hacker prova una combinazione di nomi utente e password per diverse volte fino a quando non è in grado di accedere correttamente all’interno del tuo blog.

Puoi limitare gli accessi dopo un certo numero di tentativi installando un plugin come WP Limit Login Attempts.

4. Effettua regolarmente la scansione del tuo blog

Se utilizzi cPanel puoi effettuare la scansione antivirus in questo modo:

Se sei nostro cliente puoi attivare Imunify Security per ottenere un livello di sicurezza maggiore, scopri in che modo:

5. Scegli il miglior Provider Hosting

E’ di fondamentale importanza scegliere un Provider Hosting che offra dei server sicuri, affidabili e potenti, dico questo perché un sito che risiede all’interno di un server poco performante viene penalizzato in primis da Google ma oltre a questo c’è il rischio che possa far entrare con più facilità gli hacker all’interno del tuo sito web.

6. Nascondi il numero di versione di WordPress

Per una maggiore sicurezza ti consigliamo di nascondere il numero di versione di WordPress, per effettuare questa operazione devi semplicemente inserire il seguente codice all’interno del tuo file functions.php:

add_filter (‘the_generator’, ‘__return_null’);

7. Disabilita i report degli errori PHP

Quando un plugin o un tema non funzionano sul tuo blog i rapporti di errore di PHP possono aiutarti mostrandoti un messaggio che rivela la causa del problema.

Però quando viene segnalato un errore PHP viene incluso il percorso completo del server dell’errore, rivelando informazioni che gli hacker possono utilizzare contro di te.

Puoi proteggerti disattivando la segnalazione degli errori PHP aggiungendo semplicemente il seguente codice al tuo file wp-config.php:

1
2
error_reporting (0);
@ini_set (‘display_errors’, 0);

8. Lavora sui permessi dei tuoi file WordPress

Assicurati che le autorizzazioni della cartella WordPress siano impostate su 755 o 750; i permessi dei file sono impostati su 640 o 644, inoltre i permessi del file wp-config.php devono essere impostati su 600, per maggiori informazioni consulta questo articolo:  Che cosa sono i permessi

9. Garantisci backup regolari

Prevenire è meglio che curare, non trovi? Effettua periodicamente un backup del tuo sito web, ti consigliamo di effettuarlo almeno 3 volte alla settimana, in questo modo per qualsiasi problema avrai sempre la possibilità di ripristinare un backup del tuo sito web in qualsiasi momento.

Se il tuo Provider Hosting utilizza cPanel puoi seguire questa guida per creare e ripristinare un backup manualmente:

Se sei nostro cliente puoi attivare il servizio di backup automatico JetBackup che effettua automaticamente ogni notte un backup completo del tuo account, in questo modo con due semplici click potrai ripristinare ciò che ti interessa direttamente da cPanel, per maggiori informazioni consulta questo articolo:

10. Limita l’accesso alla pagina di accesso

10 Suggerimenti poco conosciuti ma molto efficaci per proteggere il tuo blog WordPress – Un modo molto affidabile per proteggere il tuo blog dai tentativi di hacking consiste nel bloccare completamente l’accesso alla tua pagina wp-admin e wp-login.php.

Questo è raccomandato solo se si utilizza un indirizzo IP statico., puoi ancora usare questa opzione se usi più di un indirizzo IP ma tieni traccia di questi indirizzi.

Per limitare l’accesso alla tua pagina di accesso, aggiungi il seguente codice al tuo file .htaccess:

1
2
3
4
5
6
7
8
9
10
11
<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond% {REQUEST_URI} ^ (. *)? Wp-login \ .php (. *) $ [OR]
RewriteCond% {REQUEST_URI} ^ (. *)? Wp-admin $
RewriteCond% {REMOTE_ADDR}! ^ Il tuo indirizzo IP 1 $
RewriteCond% {REMOTE_ADDR}! ^ Il tuo indirizzo IP 2 $
RewriteCond% {REMOTE_ADDR}! ^ Il tuo indirizzo IP 3 $
RewriteCond% {REMOTE_ADDR}! ^ Il tuo indirizzo IP 4 $
RewriteCond% {REMOTE_ADDR}! ^ Il tuo indirizzo IP 5 $
RewriteRule ^ (. *) $ – [R = 403, L]
</ IfModule>

Assicurati di modificare il tuo indirizzo IP 1 attraverso il tuo indirizzo IP 5 con i diversi indirizzi IP a cui vuoi dare accesso; puoi semplicemente aggiungere o rimuovere una linea per consentire o impedire a più IP di accedere al tuo sito.

 

Alla prossima!

Approfondimenti correlati

Fonte ufficiale: WordPress Hardening.

Domande frequenti

Quanto spesso fare i controlli?

Gli aggiornamenti e gli avvisi vanno monitorati con continuità; backup, account e log dovrebbero essere verificati con una frequenza adatta al ritmo di pubblicazione.

Gli account autore sono un rischio?

Possono diventarlo se hanno privilegi eccessivi o password riutilizzate. Assegna il ruolo minimo necessario e rimuovi gli account non più usati.

Un plugin di sicurezza basta?

No. È uno strato aggiuntivo, ma non sostituisce aggiornamenti, hosting sicuro, backup, 2FA e gestione corretta degli accessi.

Team tecnico Xlogic Leave a comment Blogging, Wordpress

WordPress login: come accedere e proteggere wp-admin

WordPress login è l’accesso all’area amministrativa del sito. Il login WordPress si trova normalmente all’indirizzo /wp-login.php; visitando /wp-admin/ da utenti non autenticati si viene reindirizzati alla schermata di accesso. Per proteggerlo servono HTTPS, password uniche, autenticazione a due fattori, ruoli corretti, aggiornamenti e controllo dei tentativi anomali.

Nascondere l’URL può ridurre traffico automatico, ma non sostituisce le misure di sicurezza fondamentali.

Come accedere al login WordPress?

Gli indirizzi standard sono:

https://esempio.it/wp-login.php
https://esempio.it/wp-admin/

Se WordPress è installato in una sottocartella, il percorso include quella directory. La documentazione ufficiale su accesso e autenticazione WordPress conferma che la pagina si trova normalmente in wp-login.php.

È possibile accedere con nome utente o indirizzo e-mail associato all’account e con la relativa password.

Cosa fare se wp-admin non si apre?

Prima di modificare file o database controlla:

  • che il dominio punti al server corretto;
  • che HTTPS e certificato siano validi;
  • che l’URL non restituisca 403, 404 o 500;
  • che non esista un plugin che modifica il percorso di login;
  • che firewall o protezioni non abbiano bloccato il tuo IP;
  • che cookie e cache del browser non siano corrotti;
  • che gli URL WordPress e sito siano corretti.

Prova una finestra privata e controlla l’URL finale. Se compare un errore server, consulta i log prima di disattivare componenti casualmente.

Come recuperare la password?

Nella pagina di login seleziona “Password dimenticata?”, inserisci username o e-mail e segui il collegamento ricevuto. WordPress descrive anche metodi alternativi nella guida ufficiale per reimpostare la password.

Se l’e-mail non arriva:

  1. controlla spam e indirizzo associato;
  2. verifica la consegna delle e-mail del sito;
  3. usa WP-CLI se hai accesso al server;
  4. intervieni sul database soltanto con backup e competenze adeguate;
  5. cambia nuovamente la password dopo aver risolto un’eventuale compromissione.

Usare password lunghe, uniche e gestite

La password non deve essere riutilizzata su altri servizi. Un password manager consente di generare credenziali casuali e differenti per WordPress, hosting, registrar ed e-mail.

La guida WordPress sulle buone pratiche per le password raccomanda credenziali lunghe e difficili da indovinare.

Evita:

  • nome del sito o dell’azienda;
  • date, sequenze e parole comuni;
  • la stessa password per più amministratori;
  • condivisioni tramite e-mail non cifrate;
  • account generici usati da più persone.

Attivare l’autenticazione a due fattori

La 2FA richiede un secondo elemento oltre alla password, come un codice temporaneo o una chiave di sicurezza. Riduce il rischio quando una credenziale viene sottratta tramite phishing, malware o violazioni esterne.

OWASP considera la MFA una difesa essenziale contro brute force, credential stuffing e riutilizzo di password. La guida MFA tratta anche recupero e gestione dei fattori.

Conserva codici di recupero in un luogo sicuro e definisci una procedura per la perdita del dispositivo.

Proteggere il login con HTTPS

La pagina di accesso deve essere servita esclusivamente in HTTPS. TLS cifra username, password e cookie durante il trasferimento.

WordPress raccomanda HTTPS per proteggere login e visitatori nella propria documentazione HTTPS.

Verifica:

  • certificato valido e rinnovato;
  • redirect permanente da HTTP a HTTPS;
  • assenza di contenuti misti;
  • URL WordPress configurati in HTTPS;
  • cookie sicuri e proxy correttamente configurati.

Ruoli e numero di amministratori

Non tutti gli utenti devono essere amministratori. WordPress dispone di ruoli con capacità differenti: amministratore, editor, autore, collaboratore e sottoscrittore.

Assegna il privilegio minimo necessario e rimuovi account inutilizzati. La documentazione su ruoli e capacità descrive le operazioni consentite.

Ogni persona dovrebbe avere un account personale. In questo modo è possibile revocare l’accesso e attribuire le attività senza condividere credenziali.

Limitare brute force e credential stuffing

I bot provano combinazioni di username e password in modo automatico. Un sistema di limitazione può introdurre ritardi, blocchi temporanei, CAPTCHA adattivi o regole firewall.

La protezione deve evitare blocchi permanenti facili da provocare contro utenti legittimi. È preferibile combinare:

  • rate limit;
  • 2FA;
  • password uniche;
  • controllo di IP e comportamento;
  • notifiche su accessi sospetti;
  • WAF aggiornato.

Cambiare l’username admin è sufficiente?

Usare un nome diverso da “admin” evita alcune prove banali, ma gli username possono essere scoperti in altri modi. La difesa reale resta password unica, 2FA, ruoli e limitazione dei tentativi.

Non rinominare direttamente record nel database senza backup. È spesso più sicuro creare un nuovo amministratore, verificare l’accesso e poi rimuovere o ridurre il vecchio account.

Nascondere la pagina di login

Un plugin può cambiare l’URL pubblico e ridurre rumore nei log. Tuttavia:

  • non corregge password deboli;
  • non protegge sessioni già rubate;
  • può causare problemi dopo aggiornamenti;
  • l’URL personalizzato deve essere conservato;
  • firewall e bot possono trovare altri endpoint.

Consideralo un livello aggiuntivo, non la protezione principale.

CAPTCHA e challenge

CAPTCHA e challenge possono ridurre automazioni, ma introducono attrito e problemi di accessibilità. Devono essere attivati in modo proporzionato, preferibilmente dopo comportamenti sospetti e non a ogni visita.

Aggiornare WordPress, temi e plugin

Molti accessi non autorizzati non avvengono dalla pagina di login, ma attraverso vulnerabilità di plugin o temi. Mantieni aggiornati core e componenti, elimina estensioni inutilizzate e scarica software da fonti affidabili.

Prima degli aggiornamenti crea un backup e verifica il sito. La guida sui conflitti tra plugin aiuta a diagnosticare problemi senza disattivazioni indiscriminate in produzione.

Sessioni, dispositivi e cookie

Non selezionare “Ricordami” su dispositivi condivisi. Disconnettiti dopo attività amministrative e revoca le sessioni quando un dispositivo viene perso o un collaboratore lascia il progetto.

Dopo un sospetto furto:

  1. cambia password WordPress e hosting;
  2. revoca le sessioni;
  3. cambia chiavi e token interessati;
  4. controlla utenti amministratori;
  5. verifica plugin, temi e file;
  6. analizza log e modifiche;
  7. ripristina una copia pulita se necessario.

Backup e ripristino

Il backup non impedisce l’accesso abusivo, ma permette di recuperare da modifiche, malware o cancellazioni. Devono essere disponibili più versioni e almeno una copia separata dall’account.

Con JetBackup è possibile recuperare file e database dal pannello. Prima di ripristinare, identifica però la data della compromissione per non reintrodurre il problema.

Checklist per la sicurezza login WordPress

ControlloStato consigliato
HTTPSAttivo su login e sito
PasswordUnica, lunga, gestita
2FAAttiva per amministratori
RuoliMinimo privilegio
TentativiLimitati e monitorati
UtentiAccount personali, inutilizzati rimossi
AggiornamentiCore, temi e plugin aggiornati
BackupSeparati e verificati
LogAccessi e anomalie controllati

Domande frequenti

Qual è l’URL del login WordPress?

Normalmente è /wp-login.php. Anche /wp-admin/ reindirizza alla schermata quando non sei autenticato.

Nascondere wp-login.php blocca gli hacker?

No. Riduce alcune richieste automatiche, ma servono password uniche, 2FA, aggiornamenti e firewall.

È sicuro usare “Ricordami”?

Solo su dispositivi personali e protetti. Evitalo su computer condivisi o non affidabili.

Quanti amministratori dovrebbe avere un sito?

Il numero minimo necessario. Gli altri utenti dovrebbero avere ruoli con capacità più limitate.

Cosa fare dopo molti tentativi falliti?

Controlla log, IP, username usati e protezioni. Attiva 2FA e verifica che non esistano accessi riusciti o account sospetti.

Una configurazione WordPress login sicura deve essere verificata dopo ogni cambio di plugin, URL o sistema di autenticazione.

Conclusione

Proteggere wp-admin richiede più livelli: HTTPS, credenziali uniche, 2FA, ruoli corretti, aggiornamenti, limitazione dei tentativi e backup.

Il cambio dell’URL o il CAPTCHA possono essere utili, ma non devono sostituire le difese fondamentali. Controlla periodicamente utenti, sessioni e log per individuare rapidamente attività anomale.