Linee guida per la sicurezza di WordPress

In breve: la sicurezza di WordPress non dipende da un solo plugin. Servono aggiornamenti regolari, accessi protetti, componenti affidabili, backup verificati e controllo delle attività anomale. Le protezioni del server Xlogic, come CloudLinux e Imunify360, aggiungono un livello importante ma non possono correggere un plugin vulnerabile o una password rubata.

Aggiornamenti e componenti

• Aggiorna WordPress, plugin e temi dopo aver verificato compatibilità e disponibilità di un backup.
• Rimuovi i componenti inutilizzati. Un plugin disattivato ma ancora presente contiene comunque file accessibili sul server.
• Installa temi e plugin soltanto dal repository WordPress.org o da fornitori ufficiali e affidabili.
• Evita componenti “nulled”, pirata o non più mantenuti: non puoi verificarne integrità e aggiornamenti.
• Usa versioni PHP supportate dai componenti e pianifica l’aggiornamento quando una versione diventa obsoleta.

Prima di aggiornare un sito importante, prova le modifiche in staging quando disponibile. Aggiornare tutto insieme senza una copia di sicurezza rende difficile individuare la causa di un eventuale errore.

Protezione degli accessi

1. Assegna a ogni persona un account WordPress individuale. Non condividere l’utente amministratore.
2. Concedi il ruolo minimo necessario e rimuovi gli account non più usati.
3. Usa password lunghe, uniche e conservate in un password manager.
4. Attiva l’autenticazione a due fattori tramite un plugin affidabile o il sistema di identità utilizzato. WordPress core non la include per impostazione predefinita.
5. Proteggi anche Area Clienti, cPanel, email amministrativa, SFTP/FTP e account del Registrar: compromettere uno di questi accessi può permettere di modificare il sito.
6. Per integrazioni e script usa credenziali dedicate e revocabili, come le Application Password di WordPress quando appropriate, invece della password principale.

Nascondere l’indirizzo di login può ridurre rumore e tentativi automatici, ma non sostituisce password robuste, 2FA, aggiornamenti e limitazione degli accessi.

Backup e ripristino

Un backup è utile soltanto se contiene file e database, è precedente all’incidente e può essere ripristinato.

• Verifica le copie disponibili in JetBackup 5 quando la funzione è inclusa e visibile nel tuo cPanel.
• Conserva anche una copia esterna al sito, soprattutto prima di aggiornamenti o modifiche importanti.
• Definisci una frequenza compatibile con quanto puoi permetterti di perdere: un negozio con ordini giornalieri richiede una strategia diversa da un sito statico.
• Controlla periodicamente data, contenuto e possibilità di ripristino.
• Non conservare backup pubblicamente scaricabili dentro la document root.

Il ripristino di una copia non elimina automaticamente la vulnerabilità. Dopo un incidente devi aggiornare o rimuovere il componente sfruttato e cambiare le credenziali coinvolte.

File, configurazione e HTTPS

• Usa HTTPS sia sul sito sia nell’amministrazione.
• Non impostare permessi 777. I permessi corretti dipendono dalla configurazione del server; se hai dubbi, chiedi una verifica.
• Proteggi wp-config.php e non inserirlo in repository pubblici.
• Disabilita l’editor di file di temi e plugin da WordPress quando il flusso di lavoro non lo richiede, dopo aver verificato l’impatto.
• Non lasciare online file diagnostici, archivi, esportazioni del database o copie con estensioni come .bak e .old.
• Usa SFTP o SSH quando disponibile invece di trasmettere credenziali con protocolli non cifrati.

Monitoraggio e scansioni

Sui server Xlogic Imunify360 può rilevare o bloccare attività malevole a livello hosting. Se il Malware Scanner è disponibile nel tuo cPanel, controlla i risultati e non cancellare automaticamente ogni file segnalato: conserva una copia e verifica se il file è legittimo.

Controlla inoltre:

• nuovi utenti amministratori o cambi di email non richiesti;
• file modificati in orari inattesi;
• picchi di traffico, invii email o consumo di risorse;
• errori PHP e accessi ripetuti nei log;
• avvisi di Search Console, browser e servizi di reputazione;
• i computer usati per amministrare il sito, che possono rubare credenziali.

LiteSpeed Cache migliora le prestazioni, non è un sistema di bonifica. Allo stesso modo, un plugin di sicurezza non rende sicuro un sito non aggiornato.

Se sospetti una compromissione

1. Conserva orario, URL, screenshot, log e una copia dello stato compromesso.
2. Limita l’accesso o la funzione pericolosa senza distruggere le prove.
3. Cambia le credenziali da un dispositivo pulito.
4. Controlla file, database, utenti, attività pianificate e accessi persistenti.
5. Sostituisci i file alterati con copie ufficiali e correggi la causa.
6. Ripeti scansione e controlli prima di rimettere il sito pienamente online.

Controllo periodico

Almeno con la frequenza adatta al progetto, verifica:

• aggiornamenti in attesa e compatibilità;
• utenti e ruoli;
• backup recenti e recuperabili;
• certificato HTTPS e scadenze dei servizi;
• risultati di scansioni e log;
• plugin e temi non utilizzati;
• integrazioni e credenziali non più necessarie.

Registra data ed esito. Una lista breve ma ripetuta con regolarità è più utile di un controllo completo eseguito una sola volta.

Quando contattare l’assistenza Xlogic

Apri un ticket se Imunify360 segnala file che non sai identificare, non riesci ad accedere al sito, sospetti un problema dell’account hosting o devi individuare un backup utilizzabile. Indica dominio, orario, URL coinvolti, rilevamenti, modifiche recenti e controlli già eseguiti. Non inviare password, chiavi private o backup contenenti dati personali se non richiesti attraverso un canale sicuro.

Guide Xlogic correlate

• Come mantenere il sito web sicuro
• Il mio sito è stato hackerato: cosa fare
• Come prevenire virus e malware

Domande frequenti

Fonti

• WordPress Developer Resources: hardening
• WordPress Developer Resources: backup
• WordPress Developer Resources: autenticazione a due fattori