La sicurezza di WordPress non è un plugin che installi e dimentichi: è una serie di piccole cose fatte bene. La buona notizia è che l’80% degli attacchi si ferma con misure banali, quelle che quasi nessuno applica per pigrizia. Ecco la checklist di hardening che seguo su ogni sito.
Accessi: la prima linea
Password lunghe e uniche, e autenticazione a due fattori almeno per amministratori ed editor. La maggior parte delle intrusioni passa da credenziali deboli o riusate, non da exploit sofisticati. Aggiungi un limite ai tentativi di login per fermare i brute force.
Aggiornamenti: la noia che salva
Core, plugin e tema sempre aggiornati. La stragrande maggioranza dei siti bucati lo è tramite un plugin vecchio con una falla nota. Se ti spaventa aggiornare, il problema è il metodo, non l’aggiornamento: si fa con backup e staging, come spiego nel flusso di aggiornamento con staging. E sì, gli aggiornamenti vanno fatti davvero.
Superficie d’attacco: meno è meglio
Ogni plugin è codice che può avere falle. Tieni solo quelli che usi davvero, disinstalla (non solo disattiva) il resto. Blocca l’editor di file dal backend con define( 'DISALLOW_FILE_EDIT', true ); nel wp-config.php: se qualcuno entra, non può modificare il codice al volo dal pannello.
Server e permessi
Permessi file corretti (644 sui file, 755 sulle cartelle), niente esecuzione di PHP dentro uploads/, HTTPS ovunque con un certificato SSL configurato bene, e un WAF o firewall a livello edge. Sono barriere che fermano intere categorie di attacchi prima ancora che tocchino WordPress.
Rete di sicurezza
Backup off-site regolari e testati: se il peggio succede, un ripristino pulito è la differenza tra un’ora di lavoro e un disastro. E tieni pronto un piano, perché se un giorno il sito viene comunque colpito serve il protocollo di rimozione malware.
Domande frequenti
Basta un plugin di sicurezza per proteggere WordPress ?
Aiuta, ma non basta. Un plugin di sicurezza è un pezzo del puzzle; senza password forti, aggiornamenti, permessi corretti e backup, lascia comunque porte aperte. La sicurezza è un insieme di abitudini, non un interruttore.
La 2FA serve davvero anche su un sito piccolo ?
Sì. I brute force sono automatici e non guardano quanto sei famoso: colpiscono chiunque. La 2FA rende inutile una password rubata, ed è la singola misura con il miglior rapporto sforzo/protezione.
Ogni quanto vanno fatti gli aggiornamenti ?
Il prima possibile per gli aggiornamenti di sicurezza, e con regolarità per il resto. L’importante è farli con un backup fresco e, sui siti seri, provandoli prima su staging.
Vuoi il sito blindato senza pensarci ? Mi occupo io della messa in sicurezza: hardening completo, backup off-site e monitoraggio.
