Mettere in sicurezza WordPress: guida pratica

Perché un sito WordPress viene attaccato

Quasi nessun attacco è personale. Sono programmi automatici che scandagliano internet a caso, cercando siti con una versione vecchia, una password debole o un plugin bucato. Non gli interessa cosa vendi: gli interessa che la porta sia aperta. Per questo un sito piccolo e trascurato viene colpito più spesso di uno grande e mantenuto: è semplicemente più facile.

Mettere in sicurezza WordPress non vuol dire diventare esperti: vuol dire chiudere una dopo l'altra le porte che i bot conoscono a memoria. Le vediamo dalla più importante alla meno.

1. Le basi che valgono più di tutto

• Aggiorna sempre WordPress, tema e plugin. La maggior parte delle intrusioni sfrutta falle già corrette, su siti che non hanno installato l'aggiornamento. Un caso recente è la falla wp2shell.
• Password lunghe e uniche per ogni account amministratore, più autenticazione a due fattori dove possibile.
• Meno plugin: ognuno è codice di terzi che può contenere falle. Rimuovi (non solo disattiva) quelli che non usi.
• Backup automatici e testati. Non è prevenzione, ma è ciò che ti salva quando la prevenzione non basta.

2. Chiavi segrete e wp-config.php

Il file wp-config.php è il cuore della configurazione. Al suo interno ci sono le secret keys: otto chiavi casuali che rendono più forti cookie e token. Se sospetti che qualcuno sia entrato, rigenerarle disconnette tutti e invalida i cookie rubati. Generale con il generatore di salts e, se stai partendo da zero, imposta l'intero file col generatore di wp-config.php, che include già le opzioni di sicurezza consigliate.

3. Chiudere le porte inutili

WordPress lascia attive di default alcune funzioni che quasi nessuno usa ma che i bot adorano: XML-RPC (sfruttato per attacchi a forza bruta), l'enumerazione degli utenti (per scoprire i nomi degli account admin) e l'editor di file dal pannello (che trasforma un furto di password in controllo totale). Chiuderle non toglie nulla al sito. Ottieni lo snippet pronto dal generatore di snippet di hardening.

4. Protezione a livello di server (.htaccess)

Se il tuo sito gira su Apache, il file .htaccess può forzare l'HTTPS, proteggere i file sensibili come lo stesso wp-config e bloccare l'accesso a xmlrpc.php prima ancora che WordPress venga interpellato. È una barriera in più, davanti a tutte le altre. Il generatore di .htaccess costruisce le regole giuste senza rischiare errori di sintassi che mettono giù il sito.

Cosa non basta

Nessun plugin «magico» mette in sicurezza un sito da solo, e nessuna singola regola lo fa. La sicurezza è una somma: aggiornare, usare password forti, togliere il superfluo, chiudere le porte inutili. Diffida di chi promette protezione totale con un clic: di solito è ciò che i bot aspettano.

Verifica il tuo sito

Prima di tutto, controlla se sei esposto a una falla nota: il verificatore di vulnerabilità WordPress legge la versione che il sito pubblica e la confronta con quelle corrette. Non invia alcun attacco: trenta secondi, gratis, nessun dato raccolto. Tutti gli altri strumenti per WordPress generano il codice nel tuo browser, senza inviare nulla.