Proteggere WordPress – senza panico.

Come vengono davvero attaccati i siti WordPress

Quasi nessuno si siede davanti al Suo sito a cercare di proposito una falla. Gli attacchi sono automatici: programmi passano in rassegna milioni di siti e provano vulnerabilità note e password comuni. Il che significa, al contrario: chi chiude le falle note e non usa password deboli esce dal mirino.

Le vie d’accesso più frequenti sono plugin e temi obsoleti, password facili da indovinare o già trapelate altrove ed estensioni provenienti da fonti poco serie.

Aggiornamenti: la misura più importante

Quando in un plugin viene resa nota una falla, di solito entro pochi giorni esce un aggiornamento – e proprio da quel momento gli attacchi automatici cercano i siti che non lo hanno ancora installato.

• I piccoli aggiornamenti di sicurezza del nucleo di WordPress vengono installati da WordPress in autonomia. Per i plugin può attivare gli aggiornamenti automatici per ciascun plugin.
• Gli aggiornamenti importanti (nuova versione principale, page builder, negozio) è meglio provarli prima. Da noi, a questo scopo, crea nell’Area clienti una copia di prova del Suo sito.
• Un plugin che da anni non riceve aggiornamenti va sostituito. Nessuno vi chiude più le falle.

Proteggere gli accessi

• Password lunghe e uniche per ogni account, nel modo più semplice con un gestore di password.
• Accesso a due fattori per tutti gli amministratori – basta un plugin gratuito, dopodiché una password rubata da sola non è più sufficiente.
• Assegnare i ruoli con parsimonia. Chi scrive solo articoli non ha bisogno di un account da amministratore.
• Eliminare i vecchi account, ad esempio quello dell’agenzia che ha realizzato il sito anni fa.

Scegliere le estensioni con cura

Installi plugin e temi dalla directory ufficiale su wordpress.org o direttamente dal produttore. Stia alla larga dalle copie «gratuite» di estensioni a pagamento (spesso chiamate «nulled»): sono il modo più comodo con cui il codice dannoso entra in un sito.

Vale la pena dare un’occhiata prima dell’installazione: quando è uscito l’ultimo aggiornamento, quante installazioni ci sono, lo sviluppatore risponde alle domande? E ciò che non usa più lo elimini – anche disattivato resta sul server.

Backup: il piano B

Nessuna misura protegge completamente. Ciò che conta in caso di emergenza è una versione pulita di due giorni fa. Un buon backup si trova almeno una volta al di fuori del server, risale a diversi giorni indietro ed è testato – un backup che non si può ripristinare non è un backup.

Da noi ogni spazio web viene salvato ogni giorno, sul server e in più all’esterno. Conserviamo 7 versioni giornaliere e 4 settimanali e ne ripristiniamo una per Lei gratuitamente. Prima di un aggiornamento importante può creare in più un backup da sé nel pannello di hosting.

Che cosa deve fare il server

Alcune cose non dipendono da Lei, ma dal provider: una connessione crittografata (HTTPS), una versione PHP aggiornata, aggiornamenti di sicurezza del sistema operativo installati tempestivamente e una protezione che blocca gli indirizzi con troppi tentativi di accesso falliti. Lo chieda al Suo provider – da noi tutto questo è standard.

Il Suo sito è stato violato – e adesso?

1. Mantenga la calma e non elimini nulla – lo stato attuale serve per trovare la causa.
2. Cambi tutte le password: account WordPress, database, FTP, Area clienti.
3. Ripristini una versione precedente all’infezione. Per questo i backup risalgono a diversi giorni indietro.
4. Chiuda la falla prima che il sito torni online – altrimenti in poche ore viene di nuovo infettato. Di solito significa: aggiornare tutto, rimuovere i plugin sospetti.

Non deve farlo da solo. Ci contatti, La aiutiamo a fare pulizia.