Proteggere WordPress: cosa facciamo noi e cosa fai tu
La sicurezza di un sito WordPress ha due livelli. Il livello server è di nostra competenza: rete, sistema operativo, web server, PHP, backup e SSL. Il livello WordPress è il tuo: core, tema, plugin, password e utenti. La maggior parte dei siti violati che vediamo non è stata attaccata tramite il server, ma tramite un plugin non aggiornato da mesi o una password facile da indovinare.
Qui sotto trovi esattamente cosa spetta a chi, seguito da cinque passaggi che esegui in un'ora e che eliminano gran parte del rischio. In fondo leggi cosa fare se qualcosa va storto comunque.
Chi fa cosa
La sicurezza che attribuisci all'altra parte non la fa nessuno. Per questo qui è scritto nero su bianco cosa facciamo noi a livello di piattaforma e cosa resta a te.
Cosa fa WWW4 a livello di piattaforma
È incluso in ogni pacchetto di hosting e non richiede da parte tua alcuna impostazione, plugin o acquisto aggiuntivo.
- Protezione DDoS a livello di rete, così il tuo sito resta raggiungibile durante un attacco di sovraccarico
- Backup giornaliero di file e database, conservato 14 giorni
- Certificato SSL gratuito, rinnovato automaticamente, così traffico e login sono cifrati
- Manutenzione e aggiornamenti di sicurezza di sistema operativo, web server e delle versioni di PHP che offriamo
- Isolamento tra i siti sullo stesso server, così un problema di un vicino non diventa il tuo
Cosa fai tu a livello di WordPress
Questo si trova nella tua installazione e non possiamo farlo al posto tuo senza intervenire sul tuo sito.
- Aggiornare core di WordPress, tema e plugin, dopo un backup
- Eliminare, e non solo disattivare, i plugin e i temi che non ricevono più manutenzione
- Password forti e uniche e verifica in due passaggi per ogni utente che può accedere
- Limitare i ruoli utente: solo chi gestisce il sito è amministratore, gli altri sono editor o autori
- Nessun account con nome utente 'admin'; è il primo che viene provato
- Limitare i tentativi di accesso, così una password non può essere indovinata all'infinito
- Nessun tema o plugin premium craccato (nulled) da fonti dubbie; spesso contengono una backdoor
- Eliminare i vecchi utenti: ex collaboratori, il web designer precedente, account di prova
Cosa volutamente non promettiamo: che un sito non possa essere violato. Chi lo afferma non conosce WordPress. Ciò che invece possiamo dire è che un sito aggiornato, senza plugin abbandonati e con login seri, non è più un bersaglio interessante per le scansioni automatiche che ogni giorno percorrono internet.
Proteggere WordPress in un'ora
Cinque passaggi, in quest'ordine. Chi li esegue una volta e poi li ripete ogni mese per un quarto d'ora copre gran parte del rischio.
Fare un backup e aggiornare tutto
Fai o verifica prima un backup. Poi aggiorna il core di WordPress, il tuo tema e tutti i tuoi plugin, e dopo l'aggiornamento controlla le pagine e i moduli più importanti. Se qualcosa si rompe, ripristini quel singolo plugin e sai cosa va sostituito. I plugin obsoleti sono la causa più frequente di un sito violato.
Eliminare ciò che non usi
Elimina completamente i plugin e i temi disattivati; disattivato non vuol dire rimosso, il codice resta sul server e rimane una porta d'accesso. Per ogni plugin rimasto controlla quando è stato aggiornato l'ultima volta. Fermo da più di un anno? Cerca un'alternativa. Elimina anche temi o plugin che non provengono dallo sviluppatore stesso.
Rafforzare i login
Dai a ogni utente una password lunga e unica e attiva la verifica in due passaggi. Se esiste un account con nome utente 'admin', crea un nuovo amministratore con un altro nome, accedi con quello ed elimina il vecchio account, assegnando i contenuti al nuovo utente.
Controllare utenti e ruoli
Scorri l'elenco degli utenti. Chi non lavora più qui, quali account di prova o del web designer precedente ci sono ancora? Eliminali. Chi non deve essere amministratore scende a editor o autore; chi scrive solo articoli non ha bisogno di poter installare plugin.
Limitare i tentativi di accesso e verificare il backup
Limita il numero di tentativi di accesso, così una password non può essere indovinata all'infinito. Infine verifica di sapere come richiedere un ripristino e che il backup giornaliero comprenda l'intero sito. Un backup che non sai come ripristinare è un'ipotesi, non una rete di sicurezza.
Se qualcosa va storto comunque
Un sito violato si riconosce da amministratori sconosciuti, pagine o file che non hai creato, reindirizzamenti verso siti estranei, un avviso del browser o di Google, oppure e-mail che partono dal tuo dominio senza che tu le abbia inviate. In quel caso non continuare a lavorare sul sito e cambia prima le tue password: WordPress, pannello di controllo, FTP e database.
La via più rapida per tornare operativi è di solito un ripristino dal backup precedente all'intrusione, seguito dall'aggiornamento immediato di ciò che ha fatto da porta d'accesso. I backup vengono conservati 14 giorni; prima lo segnali, più è probabile che esista ancora una versione pulita. Poi segue il lavoro di pulizia, descritto passo per passo nella knowledge base.
Cosa ci segnali: il tuo nome a dominio, cosa vedi e da quando, e soprattutto quando il sito era ancora in ordine. Quest'ultimo punto determina quale backup ripristiniamo. Noi ripristiniamo il backup e analizziamo con te i log del server; la pulizia e l'aggiornamento della tua installazione WordPress restano a te o al tuo web designer.
Approfondimenti
Come proteggiamo la piattaforma stessa è spiegato nella pagina generale sulla sicurezza. Cosa comprende l'hosting specificamente per WordPress, nella pagina dell'hosting.
