Come rendere sicuro un sito WordPress

Rendere sicuro un sito WordPress è fondamentale per cercare di proteggere il proprio lavoro da hacker, cracker, malware e altre minacce online.

Essendo WordPress uno dei CMS (Content Management System) più utilizzati per la realizzazione di blog, siti web istituzionali e veri e propri portali online, è chiaro che i vari hacker e cracker siano molto attenti alle possibili falle che questo software può presentare durante la sua evoluzione e le diverse versioni che vengono rilasciate ogni anno.

In questo articolo vedremo alcuni passaggi per cercare di rendere più sicuro un sito web WordPress: una semplice “to-do-list” delle cose da fare che vi consigliamo di salvare e di tenere sempre a portata di mano per una consultazione veloce.

Come rendere sicuro WordPress: le cose da fare

Mantenere WordPress, il tema e i plugin sempre aggiornati

Assicuriamoci di utilizzare la versione più recente di WordPress e dei suoi plugin, compreso il tema che stiamo utilizzando.

Gli aggiornamenti spesso includono correzioni di sicurezza che migliorano l’ambiente nel quale stiamo lavorando e inoltre facilitano il lavoro dei sistemisti che gestiscono il server dove è ospitato il sito web.

Disabilitare i plugin e i temi non utilizzati

Eliminare il superfluo ossia tutti i plugin o i template (temi) che non vengono utilizzati all’interno dell’installazione WordPress: più componenti si hanno, maggiori sono le potenziali vulnerabilità.

Utilizzare temi e plugin affidabili

Si devono utilizzare temi e plugin solo da fonti affidabili come il repository ufficiale di WordPress oppure da sviluppatori di fiducia.

Evitiamo di utilizzare temi o plugin piratati scaricati da fonti non verificate: oltre ad essere illegale scaricare temi e/o plugin pirata, non si può mai sapere con certezza chi li ha creati e come sono realizzati e resi disponibili su Internet.

Potrebbero essere in realtà delle minacce alla sicurezza del vostro portale e ai dati dei vostri visitatori.

Impostare nomi utente e password efficaci

Usare nomi utente unici e password complesse è la strada più efficace, a patto però che includano:

• lettere maiuscole;
• lettere minuscole;
• numeri;
• caratteri speciali.

Evitiamo anche l’uso di date associabili alla nostra persona o il nostro nome, perché di solito sono le password più violate.

Per il nome utente, invece, è sconsigliato l’uso di user come “admin”. Meglio usare nomi per lo più reali: così facendo saprete anche chi ha fatto cose sul sito web grazie alle revisioni che WordPress mette a disposizione.

Limitare il numero di tentativi di accesso e monitorare la situazione

Utilizzare un plugin di sicurezza, come ad esempio Wordfence, per limitare il numero di tentativi all’area di amministrazione (/wp-admin/), contribuisce a prevenire gli attacchi cosiddetti “brute force” ossia quegli attacchi creati da bot automatici che tentano di fare accesso al sito web in modo casuale cercando di carpire la password e il nome utente che stiamo utilizzando.

Oltre a questo aspetto, un plugin come Wordfence può aiutare a tenere sempre sotto controllo il nostro sito e ricevere avvisi quando ci sono delle attività sospette.

Abilitare l’autenticazione a due fattori (2FA)

L’autenticazione a due fattori aggiunge un ulteriore livello di sicurezza richiedendo un codice temporaneo generato da un’app o inviato tramite SMS oltre alle credenziali standard.

In questo modo ci si assicura, in modo più efficace, che l’utente interessato ad entrare nel pannello di amministrazione del sito sia reale.

Proteggere il file wp-config.php

Questo file contiene informazioni sensibili sul database del sito ed è praticamente uno dei suoi file principali.

Si può proteggere il file wp-config.php impostando le autorizzazioni del file in modo che solo l’utente necessario possa accedervi.

Eseguire backup a cadenza regolare

Effettuare regolarmente backup completi del sito assicura la possibilità di tornare indietro nel momento in cui dovesse essercene l’esigenza.

In caso di problemi o attacchi si può avere una copia di sicurezza da ripristinare.

Per quanto riguarda l’ubicazione delle copie di backup, sarebbe meglio conservarle al di fuori del server dove viene ospitato il sito web, in modo tale da proteggere il backup da eventi catastrofici come la compromissione del server.

Usare un certificato SSL

Installare un certificato SSL è ormai uno standard di Internet e Google stesso ha inserito l’HTTPS nei suoi fattori di ranking (SEO) per crittografare le comunicazioni tra il sito e i visitatori.

Il certificato SSL è particolarmente importante se raccogliamo dati sensibili come informazioni di login o carte di credito.

Proteggere l’accesso all’area di amministrazione

Limitare l’accesso all’area di amministrazione del sito solo agli utenti autorizzati e considerare l’uso di un plugin di sicurezza per nascondere la pagina di login.

Proprio per via del fatto che WordPress è molto conosciuto, la tendenza dei craker è quella di usare sempre il classico indirizzo https://nomedominio.xxx/wp-admin per fare l’accesso al sito web.

Monitorare i commenti spam

Utilizzare un plugin antispam per evitare commenti spam e controllare periodicamente gli stessi manualmente per rimuovere quelli sospetti.

Un plugin molto comodo, anche se richiede una piccola registrazione al sito principale, è Akismet.

Considerare l’uso di un firewall applicativo Web (WAF)

Un WAF può aiutare a filtrare il traffico malevolo prima che raggiunga il sito.

Uno dei plugin WAF più conosciuti, anche in questo caso è Wordfence.

Avere un servizio di Hosting affidabile

Assicuriamoci di scegliere un provider di hosting web affidabile che abbia misure di sicurezza in atto per proteggere i server.

Restare aggiornato

Tenersi sempre informati sulle ultime minacce e vulnerabilità di sicurezza e adottare misure adeguate per proteggere il sito web WordPress.

Come rendere sicuro WordPress: conclusioni

Concludiamo questa kermesse dicendo che tutte queste attività sono molto importanti e consigliamo vivamente di seguire questa guida perché così facendo vi metterete al riparo da possibili attacchi.

Ovviamente, trattandosi di risorse esposte su Internet e visto che nessuna misura di sicurezza può garantire al 100% l’immunità da queste problematiche, è importante rimanere sempre aggiornati e monitorare costantemente la situazione per rispondere alle potenziali minacce non appena si presentano.

Speriamo di aver fatto cosa gradita e di avervi fatto capire al meglio come tenere sicura l’installazione del nostro sito WordPress.