WordPress alimenta oltre il 43% del web, rendendolo un bersaglio costante per gli attacchi automatizzati. I tentativi di login brute force, le sonde di SQL injection e gli scanner di vulnerabilità colpiscono i siti WordPress milioni di volte al giorno. Sebbene nessun sito possa essere completamente immune agli attacchi, un'adeguata messa in sicurezza riduce drasticamente il tuo profilo di rischio.
Questa guida copre le misure di hardening della sicurezza che ogni sito WordPress dovrebbe implementare, dai web application firewall all'autenticazione a due fattori.
Web Application Firewall (WAF)
Un Web Application Firewall filtra il traffico dannoso prima che raggiunga il tuo sito WordPress. Il WAF di Cloudflare è l'opzione più popolare e offre un livello gratuito che blocca i pattern di attacco più comuni come SQL injection e XSS. Il WAF di Sucuri e il firewall di Wordfence sono alternative specifiche per WordPress con funzionalità aggiuntive come la scansione malware.
Configura il tuo WAF per bloccare le richieste dannose, limitare i tentativi di login e sottoporre il traffico sospetto a verifica CAPTCHA. Rivedi settimanalmente i log del WAF per vedere quali attacchi vengono bloccati e adatta le regole secondo necessità.
Autenticazione a Due Fattori
L'autenticazione a due fattori (2FA) aggiunge un secondo passo di verifica oltre alla tua password. Anche se un attaccante ruba la tua password, non può accedere senza il secondo fattore. Per WordPress, i metodi 2FA più comuni sono le app authenticator come Google Authenticator o Authy, i codici monouso inviati via email o SMS e le chiavi di sicurezza hardware come YubiKey.
Installa un plugin 2FA come Two Factor, Wordfence Login Security o WP 2FA. Richiedi la 2FA per tutti gli account amministratore e incoraggiala per tutti gli utenti. Per i siti ad alto valore, rendi la 2FA obbligatoria per tutti gli utenti con capacità di modifica.
Hardening del Login
Gli attacchi brute force provano migliaia di combinazioni di nome utente e password per ottenere l'accesso. Limita i tentativi di login con un plugin come Login LockDown o Limit Login Attempts Reloaded. Cambia il nome utente amministratore predefinito da 'admin' a qualcosa di unico. Usa password forti e uniche generate da un password manager.
Considera di nascondere l'URL di login di WordPress con un plugin come WPS Hide Login. Questo blocca i bot automatizzati che prendono di mira wp-login.php e wp-admin. Aggiungi un allowlist IP per l'accesso admin se il tuo team accede a WordPress da un insieme limitato di indirizzi IP.
Permessi dei File e WP-Config
Permessi dei file errati sono una vulnerabilità di sicurezza comune. Imposta i permessi delle directory a 755 e quelli dei file a 644. Il file wp-config.php dovrebbe essere 600 o 440 — leggibile solo dall'utente del server web. Sposta wp-config.php di un livello sopra la root di WordPress per una protezione aggiuntiva.
Disabilita la modifica dei file nell'admin di WordPress aggiungendo define('DISALLOW_FILE_EDIT', true) a wp-config.php. Questo impedisce agli account admin compromessi di modificare i file di temi e plugin attraverso l'interfaccia di amministrazione.
Audit di Sicurezza Periodici
La sicurezza non è una configurazione una tantum — è una pratica continua. Esegui audit di sicurezza regolari usando strumenti come WPScan, che verifica la tua versione di WordPress, i plugin e i temi rispetto alle vulnerabilità note. Rivedi regolarmente gli account utente e rimuovi quelli inattivi o non necessari.
Monitora i log di sicurezza del tuo sito per attività sospette. I tentativi di login falliti da posizioni insolite, le modifiche inaspettate ai file e le nuove registrazioni di utenti admin sono tutti segnali di allarme. Imposta avvisi automatici per questi eventi così da poter rispondere rapidamente.
Il punto fondamentale
L'hardening della sicurezza di WordPress consiste nel ridurre la superficie d'attacco e rilevare gli attacchi precocemente. Un WAF blocca i pattern di attacco comuni, la 2FA protegge dal furto di credenziali, l'hardening del login previene gli attacchi brute force e i permessi corretti dei file limitano i danni degli account compromessi. Nessuna di queste misure è difficile da implementare e, insieme, proteggono dalla stragrande maggioranza degli attacchi WordPress comuni.
