La checklist definitiva per la sicurezza WordPress

La sicurezza online è sempre importante in qualità di utenti ma anche come gestore di un sito web la sicurezza è fondamentale. Ed è per questo che abbiamo messo insieme una checklist definitiva per tutto quello che devi controllare affinché la sicurezza sia al primo posto sul tuo sito WordPress.

Vedremo vari aspetti e potrai controllare tutti gli angoli del tuo sito web, individuando rapidamente le eventuali falle, i piccoli o grandi problemi e risolverli rapidamente. Il primo passo per avere un sito più sicuro è quello di sapere da dove possono arrivare gli attacchi e quindi quali difese implementare.

Prima di passare a vedere quello che devi fare, cerchiamo però di mettere nella giusta prospettiva la necessità di essere sicuri. E per farlo andiamo a guardare quanti siti web costruiti con WordPress vengono attaccati e hackerati ogni giorno. Rifacendoci alle statistiche di Search Logistics il primo numero che sconvolge è la quantità di siti web che vengono hackerati ogni giorno: siamo nell’ordine di 13 mila.

Questo numero si trasforma in 9 siti al minuto e in 47 milioni ogni anno. Le possibilità quindi che anche il tuo sito venga adocchiato da un criminale informatico non sono remote come pensi.

Andando a guardare alle cause che portano gli hacker a entrare in possesso di siti WordPress, ci sono problemi legati alle piattaforme di hosting con il 41% degli attacchi, vulnerabilità riscontrate nel codice core di WordPress per il 37%, e poi c’è un 22% equamente diviso tra temi e tutta un’altra casistica di piccole ingenuità.

Ma oltre ai problemi che vengono da scelte legate all’hosting ci sono tutte le piccole vulnerabilità che si aprono con ogni plugin che installi. Nella nostra checklist definitiva per la sicurezza parleremo quindi anche di come gestire i plugin per essere un po’ più tranquilli della propria presenza online. Senza dimenticare che se hai dubbi puoi sempre rivolgerti a noi per un checkup al tuo sito.

Le tre cose da fare immediatamente: plugin, plugin, plugin

La nostra checklist sulla sicurezza non può non cominciare dai plugin. E del resto come dicevamo poco prima, sono proprio questi elementi comodissimi e che aumentano le potenzialità di WordPress ad essere anche a volte cavalli di Troia per attività illegali che si svolgono su siti altrimenti legittimi.

La prima cosa da fare è assolutamente è quindi far sì che i plugin siano aggiornati. Qui un esempio di cosa succede in caso contrario. Oltre all’aggiornamento dei plugin devi anche assicurarti di utilizzare plugin che sono aggiornati, che ti servono e che fanno quello che promettono. Se mantieni sul tuo sito WordPress plugin obsoleti, che non ti servono più o che non ti soddisfano non c’è motivo per non trovare alternative valide.

Da ultimo, parlando di plugin che invece vanno installati ci sono quelli per la gestione della sicurezza a 360 gradi. In questo caso la scelta di un plugin aggiornato e con ottime recensioni diventa ancora più importante.

Le funzioni che un plugin per la sicurezza deve avere sono diverse: assicurarti un controllo nel momento del login, attivare firewall, scansione contro i malware, protezione da attacchi DDoS e tutte le linee di difesa possibili e immaginabili, gestione delle notifiche in caso di minacce.

Sicurezza WordPress e hosting

Il tuo sito WordPress esiste nello spazio impalpabile di internet perché hai acquistato dei servizi di hosting. Devi per questo essere molto accorto nel momento in cui decidi a chi affidare il cuore, il database, del tuo sito WordPress. Noi consigliamo SiteGround e per tutta una serie di ottimi motivi.

Perché anche gli hosting, e i numeri a cui facevamo riferimento nella nostra introduzione lo dimostrano, possono essere poco sicuri e quindi non garantirti un sito web al riparo da attacchi e minacce.

Quello che devi fare è sempre assicurarti quindi che il servizio di hosting che scegli ti garantisca strumenti per implementare le prime linee di difesa. Gli attacchi cui i servizi di hosting devono resistere sono soprattutto quelli DDoS che rendono inutilizzabili i siti web.

Sicurezza WordPress e accessi, tutti i controlli

Tra le aree più delicate di qualunque sito WordPress va inserita necessariamente la zona in cui gli utenti entrano nella dashboard. Gli attacchi che possono arrivare all’area di login sono molti e quindi per prima cosa occorre assicurarsi che questa porta di accesso al tuo sito WordPress sia controllata e rinforzata a dovere.

Puoi per questo aggiungere dei sistemi reCAPTCHA e sistemi di autenticazione a due fattori, senza dimenticare di spronare tutti i tuoi eventuali collaboratori a creare delle password che siano forti e complesse. Ricorda poi di eliminare l’utente admin e di sostituirlo in modo che gli hacker non possano utilizzarlo.

Oltre a garantire la sicurezza in accesso, ricordati anche di aggiungere un sistema di logout automatico se gli utenti rimangono inattivi per un certo periodo di tempo.

La sicurezza a lungo termine

Concludiamo la panoramica dei controlli da fare con una buona pratica che ti aiuta a mantenere sul lungo periodo la sicurezza del tuo sito WordPress. Nessuna checklist definitiva può infatti non contemplare un consiglio importante sempre: esegui i backup.

Periodicamente dovresti occuparti di eseguire un backup di tutto quello che c’è sul tuo sito WordPress. I momenti in cui devi assolutamente avere in mano un eventuale backup sono quelli in cui per esempio c’è l’aggiornamento di WordPress oppure dei principali plugin che utilizzi o del tema che hai scelto.

Temi, plugin, codice di WordPress core possono entrare in conflitto e avere un backup ti consente di avere un punto di ripristino da cui ricominciare per scoprire che cosa è andato storto. Se poi devi cambiare qualcosa ricorda di fare un giro su Themeforest.

Checklist definitiva, A quante domande riesci a rispondere sì?

Veniamo adesso alla checklist che puoi copiare e incollare in un documento per tenerla sempre a portata di mano. Mentre scorri la nostra checklist prova però anche a rispondere già alle domande che ti poniamo per scoprire quanto è sicuro il tuo sito WordPress:

• Hai aggiornato i plugin che sono installati sul tuo sito?
• Hai installato plugin che utilizzi davvero?
• Hai aggiunto un plugin apposito per la sicurezza?
• Hai scelto un hosting che pensa alla sicurezza per prima cosa?
• Hai reso più sicura la tua area di login?
• Hai implementato sistemi di sicurezza avanzati come reCAPTCHA e autenticazione a due fattori?
• Hai disabilitato l’account di default admin?
• Hai eseguito almeno un backup nel corso degli ultimi tre mesi?

Come è andata?