Un sito WordPress viene compromesso quasi sempre per tre motivi: plugin non aggiornati, password deboli, backup inesistenti. Insieme spiegano la maggior parte degli attacchi andati a buon fine, e nessuno dei tre richiede competenze particolari per essere sistemato.
Qui trovi il piano minimo: aggiornamenti, accessi, backup, protezioni di base e cosa fare se il sito viene compromesso.
Il piano minimo
| Cosa | Ogni quanto | Tempo richiesto |
|---|---|---|
| Aggiornamenti di WordPress, tema e plugin | Mensile | 20-30 minuti |
| Backup del database | Giornaliero, automatico | Una volta configurato, zero |
| Backup dei file | Settimanale, automatico | Una volta configurato, zero |
| Verifica che il backup si ripristini | Ogni 3 mesi | 30 minuti |
| Controllo delle password e degli accessi | Ogni 6 mesi | 15 minuti |
| Scansione di sicurezza | Automatica, con avvisi | Una volta configurata, zero |
Il punto che quasi nessuno fa è il quarto: un backup che non è mai stato ripristinato non è un backup, è un file. Capita di scoprire che l’archivio è vuoto o incompleto nel momento peggiore.
Aggiornamenti: come farli senza rompere niente
Gli aggiornamenti sono la principale protezione e anche la prima causa di siti rotti. La procedura che funziona: backup appena prima, un plugin alla volta, controllo delle pagine chiave dopo ogni aggiornamento (home, form, pagina servizio, carrello se c’è).
Gli aggiornamenti importanti di WordPress vanno provati su un ambiente di copia, non in produzione. Se il sito vende, un’ora di sito rotto in un pomeriggio di traffico costa più di un anno di manutenzione.
Password e accessi
Tre regole che eliminano la maggior parte dei problemi: password lunghe e diverse per ogni servizio (con un gestore di password), autenticazione a due fattori sull’account amministratore, e utenti al minimo necessario. Ogni account in più è una porta in più.
Da controllare: l’utente “admin” non dovrebbe esistere, il nome utente non dovrebbe essere lo stesso del nome pubblico dell’autore, e gli accessi vecchi di collaboratori che non lavorano più vanno rimossi. Spesso è lì che si trova la porta aperta.
Backup: la regola 3-2-1
Tre copie, su due supporti diversi, una fuori sede. Per un sito piccolo si traduce così: backup automatico giornaliero del database, settimanale dei file, salvato su uno spazio esterno al server (Google Drive, Dropbox, spazio FTP separato).
Un backup salvato nella stessa cartella del sito non serve a nulla se il server viene cancellato o bloccato per un’infezione. Va conservato anche il file di configurazione e l’elenco dei plugin, per poter ricostruire tutto in fretta.
Protezioni di base che valgono la pena
- HTTPS su tutto il sito, con redirect da http
- Firewall applicativo (Wordfence o simile) con blocco dei tentativi di accesso ripetuti
- Limitazione dei tentativi di login e protezione dell’area di amministrazione
- Editor dei file disabilitato dal pannello, così un accesso non può modificare i template
- Plugin eliminati, non solo disattivati: un plugin disattivato ma presente resta un rischio
- Permessi corretti: cartelle 755, file 644, nessun file con permessi 777
Non serve installare cinque plugin di sicurezza: due fanno il lavoro, cinque si disturbano a vicenda e rallentano il sito.
Come capire se il sito è compromesso
I segnali tipici: il sito è più lento senza motivo, compaiono pagine o link che non hai creato, la ricerca di Google mostra titoli strani, arrivano email di avviso dal hosting, il traffico cambia in modo anomalo. A volte non c’è nessun segnale visibile e il sito viene usato per inviare spam senza che tu te ne accorga.
Un controllo periodico che si può fare da soli: cerca su Google site:tuodominio.it e guarda se compaiono pagine che non riconosci. Se ci sono, il sito è probabilmente compromesso.
Cosa fare se succede
- Metti il sito offline o in manutenzione, per fermare la propagazione
- Cambia tutte le password: WordPress, hosting, FTP, database, email
- Ripristina dal backup più recente precedente all’infezione, non ripulire a mano se non sei esperto
- Aggiorna tutto prima di rimettere online, altrimenti rientra dalla stessa porta
- Scansiona con uno strumento di sicurezza e controlla i file modificati di recente
- Chiedi la revisione a Google in Search Console se il sito è stato segnalato come pericoloso
Il ripristino è di solito la strada più rapida: un sito ripulito a mano tende a conservare tracce nascoste, e i tempi si allungano senza garanzie.
Cosa chiedere al tuo hosting
Una parte della sicurezza non dipende da WordPress ma dal servizio che ospita il sito. Tre domande da fare, e le risposte cambiano il livello di rischio: c’è un backup automatico incluso, e con quale frequenza? C’è un firewall o una protezione dagli attacchi più comuni? Le versioni di PHP e del database vengono aggiornate o restano ferme per anni?
Se la risposta alle prime due è no, il piano di sicurezza va costruito interamente lato sito, e conviene valutare se il risparmio sull’hosting valga il rischio.
Quanto costa la sicurezza
Il piano minimo si fa da soli con un’ora al mese, se si ha dimestichezza. Chi non ce l’ha spende di solito un pacchetto di manutenzione annuo che comprende aggiornamenti, backup, monitoraggio e piccoli interventi: il costo è molto inferiore a quello di un sito compromesso, che significa giorni di fermo, clienti persi e a volte il rifacimento.
Aggiornamenti e backup sono il cuore della manutenzione del sito. Se stai scegliendo i plugin, la guida su quali plugin servono davvero spiega anche come riconoscere quelli abbandonati.
Se il sito è già stato compromesso, questa guida non basta: serve la sequenza operativa descritta in sito WordPress hackerato, cosa fare subito. Per capire quanto costa farsi seguire ogni mese, invece, c’è quanto costa la manutenzione di un sito web.
Domande frequenti
Ogni quanto va fatto il backup?
Database ogni giorno, file almeno una volta a settimana, con copia su uno spazio esterno al server. Su un sito che riceve ordini o prenotazioni, il backup giornaliero del database non è opzionale.
Serve un plugin di sicurezza?
Aiuta, ma non sostituisce gli aggiornamenti. Un firewall applicativo blocca i tentativi automatici e avvisa quando qualcosa cambia; un plugin non aggiornato, invece, è la porta d’ingresso più comune.
Il sito può essere compromesso senza che si veda?
Sì, ed è il caso più frequente: siti usati per inviare spam o per ospitare pagine nascoste, con l’aspetto normale. Per questo serve un controllo periodico e una scansione automatica che avvisi.
Vuoi un controllo di sicurezza e backup sul tuo sito? Scrivimi che hosting e plugin usi: ti dico cosa manca e cosa sistemare per primo.