Sito WordPress sicuro: 10 controlli di sicurezza spiegati da un perito informatico

Nel mio lavoro di perito informatico forense analizzo siti violati quasi ogni settimana. Il copione è sempre lo stesso: WordPress non aggiornato da mesi, un plugin abbandonato, nessun backup, password "admin2019". Il risultato va dallo spam in uscita al furto dei dati dei clienti, fino a pagine di phishing ospitate a insaputa del proprietario. Ecco i dieci controlli che faccio, e che puoi fare anche tu in mezz'ora.

1. WordPress, tema e plugin sono aggiornati?

Entra nella bacheca: se vedi un numero rosso vicino ad "Aggiornamenti", hai vulnerabilità note e pubbliche. La maggior parte degli attacchi è automatica e cerca proprio versioni vecchie. Aggiorna, ma prima fai un backup.

2. Ci sono plugin inutilizzati o abbandonati?

Ogni plugin è una porta. Quelli disattivati vanno eliminati; quelli non aggiornati da oltre un anno dal loro autore vanno sostituiti. Nella pagina del plugin su wordpress.org trovi la data dell'ultimo aggiornamento.

3. Esiste un backup e hai mai provato a ripristinarlo?

Un backup mai testato non è un backup. Deve essere automatico, giornaliero, conservato fuori dal server (non nella stessa cartella del sito) e devi aver verificato almeno una volta che si possa ripristinare.

4. L'utente si chiama "admin"?

Gli attacchi a forza bruta provano "admin" con milioni di password. Crea un nuovo amministratore con nome non ovvio, password lunga generata da un gestore, e attiva l'autenticazione a due fattori. Poi elimina "admin".

5. Il login è protetto?

Limite ai tentativi di accesso, due fattori, e se possibile l'accesso alla bacheca solo da indirizzi IP noti. Un firewall applicativo (anche gratuito) blocca gran parte del traffico malevolo.

6. HTTPS ovunque?

Il certificato deve essere valido e tutto il sito deve rispondere in https, con reindirizzamento automatico da http. Controlla anche che non ci siano risorse caricate in http dentro pagine https ("contenuto misto").

7. Chi può caricare file?

Moduli di contatto che accettano allegati, aree riservate, editor: verifica che accettino solo i tipi di file necessari e che la cartella degli upload non possa eseguire codice.

8. Ci sono segni di violazione?

Cerca su Google site:tuodominio.it: se compaiono pagine che non hai mai creato (farmaci, scommesse, testi in altre lingue), sei già stato violato. Altri segnali: utenti amministratori sconosciuti, file modificati di recente nelle cartelle di sistema, email in uscita che finiscono nello spam, avvisi "sito pericoloso" nel browser.

9. Il sito è a norma GDPR?

Cookie banner con rifiuto possibile, privacy e cookie policy, moduli con consenso, hosting in Europa o con garanzie adeguate, e un registro di chi ha accesso ai dati. In caso di violazione con dati personali esposti, hai 72 ore per valutare la notifica al Garante.

10. Qualcuno lo controlla davvero?

La domanda finale: chi aggiorna il sito ogni mese? Chi riceve l'avviso se va offline? Chi interviene se succede qualcosa? Se la risposta è "nessuno", prima o poi il problema arriva. Una manutenzione annuale costa da 190 € e include aggiornamenti, backup, monitoraggio e assistenza.

Cosa fare se il sito è già stato violato

Non cancellare tutto nel panico: le tracce servono per capire come sono entrati e, se ci sono dati personali coinvolti, per gli adempimenti. Metti il sito offline in modo controllato, cambia tutte le password (WordPress, hosting, FTP, database, email), recupera un backup pulito antecedente alla violazione, bonifica e rimetti online con le protezioni attive. Se il caso è serio, una relazione forense documenta l'accaduto per assicurazione, clienti o denuncia.

Prevenire costa meno

Un sito realizzato con sicurezza e privacy fin dall'inizio, senza plugin superflui, con backup e aggiornamenti programmati, evita il 90% dei problemi che vedo ogni settimana. Se vuoi un check-up gratuito del tuo sito, scrivimi: ti dico in che stato è e cosa serve per metterlo in sicurezza.