Sicurezza WordPress: riduci i rischi prima che si verifichi un incidente
WordPress è flessibile e potente, ma ogni plugin, amministratore ed endpoint pubblico aumenta anche la superficie di attacco. Una buona sicurezza usa più livelli che riducono il rischio e rendono le anomalie più visibili.
Quali sono le basi?
Software aggiornato, account robusti, autenticazione a due fattori, limiti ai tentativi di accesso, server configurato in modo sicuro, backup affidabili e controllo delle modifiche inattese ai file. Una scansione esterna rileva rischi pubblici; la protezione interna a WordPress resta necessaria.
Perché i webshop WordPress interessano agli attaccanti
Un negozio gestisce account, ordini e spesso dati personali. WordPress combina inoltre core, tema, plugin e servizi esterni. Un componente obsoleto o configurato male può quindi avere un impatto importante.
Bot automatici cercano continuamente pagine di login, versioni vulnerabili di plugin, endpoint aperti e server configurati male. La sicurezza di base deve essere mantenuta nel tempo.
- Aggiorna regolarmente WordPress, temi e plugin.
- Rimuovi plugin e temi inutilizzati invece di disattivarli soltanto.
- Usa account amministratore unici e password forti.
- Attiva 2FA per account amministrativi e di gestione negozio.
Ridurre la superficie di attacco del login
Il login standard di WordPress è facile da trovare. Nascondere l’URL non è una soluzione completa. È più importante limitare i tentativi falliti ripetuti, bloccare IP sospetti e usare 2FA per gli amministratori.
Verifica inoltre se XML-RPC o l’enumerazione pubblica degli utenti siano davvero necessari. Funzioni inutilizzate ma pubbliche aumentano il rischio.
- Limita i brute force con blocchi temporanei.
- Usa 2FA/TOTP per gli amministratori.
- Blocca XML-RPC se nessuna integrazione attiva ne dipende.
- Concedi solo i permessi necessari.
Security header, HTTPS e informazioni server
HTTPS protegge il traffico, ma è solo un livello. I security header aggiungono regole per framing, tipi di contenuto, referrer e risorse consentite. Conviene inoltre non esporre dettagli tecnici o versioni senza necessità.
Una Content Security Policy troppo rigida può rompere checkout o pagamenti. Testa carrello, checkout, provider di pagamento e script esterni prima di applicare restrizioni.
- Controlla HSTS, Content-Security-Policy, X-Content-Type-Options e protezione frame.
- Testa le modifiche su desktop e mobile.
- Ritesta WooCommerce e pagamenti dopo modifiche agli header.
Modifiche ai file e malware
Uno scanner esterno non può dimostrare con affidabilità l’assenza di malware dentro WordPress perché non vede tutti i file e il database. Il controllo interno è quindi importante. File Integrity confronta i file con una baseline e segnala modifiche inattese.
Un avviso non è automaticamente prova di compromissione. Gli aggiornamenti modificano legittimamente i file e alcuni plugin usano pattern presenti anche nel malware. Valuta il contesto e conserva backup utilizzabili fuori dal web server.
- Mantieni backup affidabili e testa il ripristino.
- Controlla modifiche inattese in core, plugin, temi e upload.
- Tratta gli avvisi malware come motivo di indagine, non come verdetto automatico.
Scansione esterna e protezione interna si completano
Merqivio Security Check controlla la superficie pubblica: HTTPS, header, segnali WordPress esposti ed endpoint accessibili. Un attaccante può osservare le stesse informazioni da Internet.
Merqivio Security per WordPress lavora dentro l’installazione con Login Shield, 2FA, header, File Integrity, scanner malware/ZIP, Audit Log e liste IP.
Scopri quali rischi sono visibili da Internet.
Inizia con il Security Quick Check gratuito. Poi puoi sbloccare tutti i risultati, le evidenze e i consigli nel Security Deep Scan.