Sito WordPress aggiornato. Ma è davvero sicuro?

Hai finalmente aggiornato il tuo sito web realizzato con WordPress: l’icona numerica che indica l’update è sparita dalla tua dashboard e tutto sembra funzionare nel migliore dei modi. Anzi, meglio per certi versi.

Ma, anche se aggiornata, sei certo la tua piattaforma WordPress sia davvero sicura? In questo articolo, ti sveliamo come rendere sicuro un sito web realizzato con WordPress. Iniziamo.

Sito WordPress aggiornato. Ma è davvero sicuro?

Non è detto che un sito WordPress aggiornato sia davvero sicuro. Di seguito, abbiamo individuato 8 espedienti per ‘proteggere’ una piattaforma realizzata con il CMS open source per antonomasia che possono incidere sulla stessa. Scopriamo quali sono.

8 espedienti di sicurezza di un sito WordPress

L”esplorazione delle 8 soluzioni per la sicurezza di un sito WordPress inizia da Hosting  e Backup.

1.Hosting e Backup

Il primo passaggio fondamentale per aver un sito sicuro è scegliere un buon hosting che possa ospitare il tuo progetto web dotato di backup automatici costanti, dello spazio web e del DB, strumenti di controllo degli accessi, sistema di cache avanzato, gestione multi-php, possibilità di un supporto tecnico disponibile 24/7.

Queste componenti sono fondamentali per la corretta esecuzione e manutenzione del tuo sito WordPress: avere a disposizione spazio illimitato o caselle di posta infinite non serve se poi lo spazio hosting è accessibile a tutti o non puoi effettuare un ripristino antecedente al danno subito.

2. Aggiornamenti

Ne abbiamo già parlato di quanto sia importante mantenere aggiornato WordPress, il tema utilizzato ed i relativi plugin se non all’ultima versione disponibile, almeno ad una versione recente.

Mantenere installati plugin gratuiti rimossi dalla repository di wordpress.org, plugin premium con licenze scadute di cui non ricevete più gli aggiornamenti, un tema non aggiornato o una vecchia versione di WordPress, vi porterà solo e soltanto problemi.

3. Impostazioni di sicurezza e firewall

Di seguito, alcune delle attività di base che dovresti impostare quando gestisci un sito WordPress:

• se utilizzi un account con username ‘admin’, valuta di sostituirlo con un account nominativo e protetto da una password complessa;
• attiva multi-captcha nel login, nel form commenti e nei form di contatto;
• rinforza i file .htaccess e wp-config.php, disabilita la modifica dei file dall’area di amministrazione e blocca l’esecuzione di PHP nei percorsi critici come la cartella upload;
• attiva un firewall esterno, come Cloudflare, che ti consenta di monitorare il traffico in entrata nel tuo sito;
• attiva un accesso con 2FA per gli amministratori del sito;
• se non necessario, disabilita XML-RPC.

4. Scansione

Per verificare che non vi siano state modifiche ai file di WordPress, utilizza plugin con sistemi di scansione interna, ad esempio Wordfence o Sucuri Security.

Trick: Dopo aver attivato Wordfence vai alla voce All Option, scorri fino alla tabella General Option e spunta tutte le voci presenti. Questo indicherà al plugin di scansionare tutte le cartelle presenti nel tuo dominio e non solo i percorsi base.

5. Monitoraggio

Monitora il sito con sistemi di scansione esterna, come MonitorCa2, il nostro sistema (ancora in beta) di scansione dei componenti di un sito web e verifica della reputazione.

>> Registrati qui per la fase di preorder <<

6. Controllo dei Log

Tieni sotto controllo i file error_log del tuo sito. Al loro interno troverai preziose informazioni sulle funzioni che generano errori all’interno del tuo sito WordPress e potrai intervenire per correggerle e limitare i problemi.

7. Controllo vulnerabilità

Verifica le possibili vulnerabilità della tua piattaforma WordPress. Anche in questo caso puoi ricorrere a Wordfence.

Puoi anche utilizzare siti come quello della ACN, l’agenzia per la cybersicurezza nazionale, o di CERT-AGID, il Computer Security Incident Response Team di AGID (Agenzia per l’Italia Digitale), per ottenere una panoramica più ampia sulle vulnerabilità note, data breach e campagne malware o phishing in corso.

8. Intervento esterno

Backup, aggiornamento dei componenti e scansione completa sono le prime forme di intervento che puoi attuare.

Se rilevi un attacco in corso al tuo sito WordPress accedi al tuo pannello Cloudflare e attiva la modalità Under Attack, pensata per mitigare gli attacchi. Ricordati poi di disattivarla al termine dell’attacco, questa modalità è particolarmente aggressiva e può limitare anche il traffico leggittimo.

Usa la modalità Bot Fight Mode per limitare il traffico dei bot noti. In questo modo riuscirai a contenere l’attacco e a limitare i danni al tuo sito.

Se invece, non hai ben capito di cosa stiamo parlando e sospetti che il tuo sito WordPress sia stato attaccato, temi che un aggiornamento possa vanificare il lavoro di mesi o semplicemente non sai come intervenire, contattaci ora e richiedi un preventivo per entrare nel nostro programma di manutenzione per siti WordPress.

Redazione Ca2 Solution

Redazione Ca2 Solution è costituita dai professionisti del web che condividono i loro contenuti editoriali sul blog dell’agenzia di digital marketing con sede a Roma.