{ "id": 37009, "slug": "2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito", "url": "https://agents.willem.com/it/posts/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/", "source_url": "https://willem.com/it/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/", "language": "it", "date": "2019-03-31", "published": "2019-03-31T00:00:00+01:00", "created": "2025-06-26T22:10:14.476000+02:00", "updated": "2026-10-20T09:16:38.939000+02:00", "title": "WordPress: 10 consigli per proteggere il tuo sito", "subtitle": "Tieni gli hacker fuori dal sistema di gestione dei contenuti più popolare al mondo", "summary": "Tanta gente usa WordPress per gestire il proprio sito, quindi non sorprende che mi chiedano di dare un'occhiata alla sicurezza del loro sito. Da hacker etico incontro WordPress in forme, dimensioni e stati diversi. Alcuni sono protetti davvero male dagli attacchi. Evita che il tuo sito venga hackerato con questi 10 consigli pratici.", "topics": [ "cloud", "cyber-security", "hacking", "howto", "networking", "server", "web", "webdesign" ], "author": { "name": "Willem L. Middelkoop", "url": "https://willem.com" }, "provenance": { "kind": "model", "method": "Claude Sonnet, two passes (translation, then proofreading) against a glossary and hunspell", "date": "2026-10-20", "reviewed_by_native_reader": false, "language": "it", "source_language": "en" }, "translations": [ { "language": "en", "title": "WordPress: 10 tips to secure your website", "url": "https://agents.willem.com/en/posts/2019-03-31_wordpress-10-tips-to-secure-your-website/", "source_url": "https://willem.com/en/2019-03-31_wordpress-10-tips-to-secure-your-website/" }, { "language": "nl", "title": "WordPress: 10 tips om je website te beveiligen", "url": "https://agents.willem.com/nl/posts/2019-03-31_wordpress-10-tips-om-je-website-te-beveiligen/", "source_url": "https://willem.com/nl/2019-03-31_wordpress-10-tips-om-je-website-te-beveiligen/" }, { "language": "de", "title": "WordPress: 10 Tipps zur Sicherung Ihrer Website", "url": "https://agents.willem.com/de/posts/2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website/", "source_url": "https://willem.com/de/2019-03-31_wordpress-10-tipps-zur-sicherung-ihrer-website/" }, { "language": "es", "title": "WordPress: 10 consejos para asegurar tu sitio web", "url": "https://agents.willem.com/es/posts/2019-03-31_wordpress-10-consejos-para-asegurar-tu-sitio-web/", "source_url": "https://willem.com/es/2019-03-31_wordpress-10-consejos-para-asegurar-tu-sitio-web/" }, { "language": "fr", "title": "WordPress : 10 conseils pour sécuriser ton site web", "url": "https://agents.willem.com/fr/posts/2019-03-31_wordpress-10-conseils-pour-securiser-ton-site-web/", "source_url": "https://willem.com/fr/2019-03-31_wordpress-10-conseils-pour-securiser-ton-site-web/" }, { "language": "pt", "title": "WordPress: 10 dicas para proteger o teu site", "url": "https://agents.willem.com/pt/posts/2019-03-31_wordpress-10-dicas-para-proteger-o-teu-site/", "source_url": "https://willem.com/pt/2019-03-31_wordpress-10-dicas-para-proteger-o-teu-site/" }, { "language": "pap", "title": "WordPress: 10 konsèhu pa sigurá bo website", "url": "https://agents.willem.com/pap/posts/2019-03-31_wordpress-10-konsehu-pa-sigura-bo-website/", "source_url": "https://willem.com/pap/2019-03-31_wordpress-10-konsehu-pa-sigura-bo-website/" }, { "language": "fy", "title": "WordPress: 10 tips om dyn website te befeiligjen", "url": "https://agents.willem.com/fy/posts/2019-03-31_wordpress-10-tips-om-dyn-website-te-befeiligjen/", "source_url": "https://willem.com/fy/2019-03-31_wordpress-10-tips-om-dyn-website-te-befeiligjen/" } ], "image": "https://willem.com/global/images/51dd00a2ba31.webp", "image_width": 2560, "images": [ { "url": "https://willem.com/global/images/79572e4a515e.webp", "description": "Aggiorna WordPress dalla dashboard di wp-admin", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-1.jpg" }, { "url": "https://willem.com/global/images/db2e086fcde8.webp", "description": "Controlla la reputazione di un plugin di WordPress guardando il numero di download e la sua valutazione", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-2.jpg" }, { "url": "https://willem.com/global/images/7ed5f0ee69b4.webp", "description": "Intercettare la password di WordPress con la cattura dei pacchetti di Wireshark (via blog.wpscans.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-3.png" }, { "url": "https://willem.com/global/images/7e3624540722.webp", "description": "Gli attacchi con dizionario di password usano elenchi di password note (trapelate), che si trovano nelle zone losche di internet", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-4.png" }, { "url": "https://willem.com/global/images/94b8eedd02ca.webp", "description": "Ti fidi del WiFi gratuito che stai usando? (Immagine via buffered.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-5.jpg" }, { "url": "https://willem.com/global/images/b4bed4a35679.webp", "description": "La REST API di WordPress fa trapelare informazioni personali degli utenti", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-6.jpg" }, { "url": "https://willem.com/global/images/e8fa9fcb7c0e.webp", "description": "Limitare l'accesso a XML-RPC in base all'IP con un file .htaccess", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-7.png" }, { "url": "https://willem.com/global/images/a21ba24bbd4e.webp", "description": "È piuttosto difficile hackerare la mia pagina WP-Admin perché non la trovi (indizio: non è su /wp-admin)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-8.jpg" }, { "url": "https://willem.com/global/images/b8c695c798fe.webp", "description": "Da qualche parte in un datacenter c'è una macchina come questa che ospita il tuo sito", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-9.jpg" }, { "url": "https://willem.com/global/images/ba045569ad2d.webp", "description": "Usa WP Security Audit Log per tenere d'occhio cosa succede sul tuo sito WordPress (wpsecurityauditlog.com)", "manager_file": "148-bf2d6faf6057f115dc72e82d984e71359f16b48d8c42b4b41c2ee918cf46b556_ContentAsPost_37009_images-10.png" } ], "text": "1) Aggiorna WordPress (e plugin + temi)\nLa maggior parte degli attacchi a WordPress nasce da una politica di aggiornamento poco curata. Gli hacker usano bot automatici per trovare versioni obsolete del software con problemi di sicurezza noti. Quando scoprono che il tuo sito è vulnerabile, hackerarlo è spesso un gioco da ragazzi.\nOggi WordPress si può aggiornare in automatico, quindi non devi farlo tu. Dai un'occhiata alle istruzioni_per_aggiornare_WordPress (https://codex.wordpress.org/Updating_WordPress).\n2) Plugin e temi\nLa cattiva reputazione di WordPress in fatto di sicurezza dipende soprattutto dalle parti estensibili della piattaforma, in particolare plugin e temi. Sono i principali vettori d'attacco sfruttati dai cybercriminali per hackerare e usare il tuo sito WordPress. Le loro vulnerabilità sono di solito il risultato di errori e disattenzioni durante lo sviluppo.\nSii molto prudente e cauto nell'installare plugin sul tuo sito WordPress. Controlla chi è lo sviluppatore del plugin o del tema e stabilisci se ha una buona reputazione nello scrivere codice sicuro. I plugin e i temi con molti download sono spesso mantenuti attivamente, un buon indicatore per la sicurezza. Aggiorna tutti i plugin e i temi e tieni d'occhio lo storico della sicurezza con un sito come wpvulndb.com (https://www.wpvulndb.com/plugins/).\n3) Usa la crittografia (TLS/SSL)\nI siti WordPress senza crittografia TLS/SSL sono un rischio per la sicurezza, perché ogni volta che accedi per amministrare il sito la tua password viene inviata in chiaro. Significa che chiunque ascolti il tuo traffico di rete può ottenere facilmente la tua password. Con una password valida gli hacker possono semplicemente accedere, e non vuoi renderglielo così_facile (https://blog.wpscans.com/sniff-wordpress-login-credentials-wireshark-http-connection/), giusto?\nUsa TLS/SSL per cifrare tutta la comunicazione tra il server web e il tuo browser. Così nessuno può decifrare quello che scrivi nel campo della password guardando il traffico di rete. I certificati TLS/SSL che servono per attivare la crittografia HTTPS oggi costano pochissimo, chiedi al tuo provider di hosting di attivarne uno per il tuo sito.\n4) Usa password robuste\nAnche se segui tutti gli altri consigli per proteggere il tuo sito, le password deboli sono un'altra causa comune di violazioni di WordPress. Siccome la maggior parte delle installazioni di WordPress ha un utente \"admin\", gli hacker possono usare i dizionari_di_password (https://duckduckgo.com/?q=password+dictionairy) per indovinare automaticamente la tua password.\nPensa a una password robusta come a qualcosa che nessuno ha mai usato prima. Di solito vuol dire più lunga, con più caratteri diversi, senza parole o frasi conosciute. Puoi usare un generatore di password per ottenere qualcosa di davvero difficile da indovinare (e facile da dimenticare...). Evita di usare la stessa password su più siti e valuta di attivare_l'autenticazione_in_due_passaggi_per_il_massimo_controllo_degli_accessi (https://codex.wordpress.org/Two_Step_Authentication).\n5) Usa un computer e una rete di cui ti fidi\nCosì come non dovresti mostrare soldi e gadget in strade losche, dovresti fare attenzione a dove (e quando) accedi al tuo sito. Un computer con spyware, malware o un virus può registrare quello che digiti (e la tua password) e inviarlo ai criminali. Oppure, in modo non digitale: un malintenzionato può letteralmente guardare da sopra la tua spalla (sull'autobus, sul treno o al bar) mentre inserisci la password.\nFai attenzione a dove e quando lavori sul tuo sito. Non lavorare su un computer condiviso o pubblico se non è necessario. Se lavori da un hotspot WiFi pubblico devi usare la crittografia, per evitare che qualcuno si infili nella tua connessione. Puoi farlo con TLS/SSL o con una VPN (come buffered.com). Assicurati che il tuo computer, tablet o smartphone sia aggiornato.\n6) Disattiva la REST API di WordPress\nLa REST_API_di_WordPress (https://developer.wordpress.org/rest-api/) dà accesso a tutti i dati disponibili sul tuo sito in formato JSON leggibile dalle macchine. Articoli, pagine, categorie, tag, commenti, contenuti multimediali, utenti, impostazioni e altro sono facilmente accessibili. Per esempio, prova ad aggiungere questa parte all'indirizzo del tuo sito: /wp-json/wp/v2/users per ottenere un elenco di tutti i nomi utente validi del tuo sito. Vuoi davvero condividerlo con gli hacker?\nDisattiva la REST API per evitare lo scraping dei contenuti (plagio) e la fuga dei dati degli utenti. I dati degli utenti sono personali e non andrebbero condivisi pubblicamente se ci tieni a privacy e sicurezza: pensa al GDPR (https://en.m.wikipedia.org/wiki/General_Data_Protection_Regulation). Puoi disattivare la REST API con plugin come Disable_REST_API (https://wordpress.org/plugins/disable-wp-rest-api/) o REST_API_Toolbox (https://wordpress.org/plugins/rest-api-toolbox/). Leggi l'articolo_dettagliato_di_Jeff_Star_per_saperne_di_più_su_come_proteggere_la_REST_API_di_WP (https://digwp.com/2018/08/secure-wp-rest-api/).\n7) Disattiva l'accesso XML-RPC\nL'XML-RPC è una funzione di WordPress che permette di controllare il sito da remoto tramite XML (RPC sta per \"remote procedure call\"). Questo meccanismo ti permette di gestire il sito senza accedere a WP-Admin, per esempio con servizi o app esterni. Purtroppo la funzione XML-RPC è un punto debole per la sicurezza, perché è di fatto una porta sul retro che gli hacker possono provare a forzare con la forza_bruta (https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html) o con comandi_speciali (https://medium.com/@the.bilal.rizwan/wordpress-xmlrpc-php-common-vulnerabilites-how-to-exploit-them-d8d3c8600b32).\nEvita i problemi di xml-rpc.php disattivando completamente questa funzione di WordPress. Puoi farlo con il plugin Disable_XML-RPC (https://wordpress.org/plugins/disable-xml-rpc/) o configurando a mano il server web con_un_file_htaccess (https://graspingtech.com/disable-xml-rpc-wordpress/).\n8) Nascondi o proteggi la pagina di login (wp-admin)\nTutti sanno che per accedere a WordPress basta aggiungere '/wp-admin' all'indirizzo del sito. Per questo qualsiasi hacker può iniziare facilmente a forzare il tuo sito. È molto più difficile scassinare una serratura se non riesci a trovarla.\nValuta di nascondere o sostituire la pagina wp-admin. Gli esperti la chiamano \"sicurezza_per_oscurità\" (https://en.m.wikipedia.org/wiki/Security_through_obscurity), cioè affidarsi alla segretezza per la sicurezza. Puoi usare un plugin, oppure configurare il server web per limitare l'accesso a wp-admin filtrando gli indirizzi IP. Dai un'occhiata a questo articolo_sui_modi_per_nascondere_e_proteggere_la_pagina_wp-admin (https://www.3nions.com/hide-wp-admin-page-wordpress-login/). Attenzione però: affidarsi solo alla segretezza non basta, devi applicare anche gli altri consigli.\n9) Hosting affidabile\nAnche se applichi tutti questi consigli per proteggere il tuo sito WordPress, potrebbe non bastare se il tuo hosting non è sicuro. L'hosting è il servizio che rende il tuo sito disponibile su internet. Si fa con computer speciali chiamati server. Come il sito stesso, anche il server web che lo pubblica deve essere sicuro. Pensa all'hosting come a una nave: se affonda, si porta dietro tutti i passeggeri (i siti)...\nInvesti in un hosting affidabile scegliendo un'azienda con una buona reputazione. Scegline una adatta alla tua attività, valuta di usare un VPS (gestito) dedicato. Tieni presente che le opzioni di hosting economiche spesso costano poco perché il server è condiviso con (molti) altri siti (forse poco sicuri). Leggi per capire_i_problemi_di_sicurezza_dell'hosting_condiviso (https://willem.com/en/2019-02-28_understanding-the-security-concerns-in-shared-hosting/).\n10) Backup e controlli\nAnche se ora il tuo sito funziona senza problemi, le cose possono peggiorare in futuro. La sicurezza non è mai assoluta, può sempre capitare il maltempo. Preparati ai guai e non lasciare che i problemi di sicurezza passino inosservati.\nControlla regolarmente il tuo sito, oppure fallo fare a qualcuno (https://digidef.nl). Con un plugin come WP_Security_Audit_Log (https://wordpress.org/plugins/wp-security-audit-log/) puoi individuare per tempo attacchi e comportamenti sospetti. Fai dei backup del tuo sito, così sei pronto a ripartire dopo un disastro informatico. Gli incidenti capitano a tutti, fai un backup del tuo sito per non perdere tutto il tuo lavoro. Leggi questo articolo_per_scoprire_i_diversi_modi_di_fare_il_backup_del_tuo_sito_WordPress (https://websitesetup.org/wordpress-backup/).\nConclusione\nLa sicurezza del tuo sito è come quella del tuo ufficio o della tua casa. Quando esci, chiudi le finestre e la porta a chiave, giusto? Non trascurare la sicurezza del tuo sito, è importante quanto il suo design e i suoi contenuti.\nSe applichi questi consigli di sicurezza, il tuo sito sarà molto più difficile da hackerare per i cybercriminali. Fallo da solo (https://codex.wordpress.org/Hardening_WordPress) o chiedi a qualcuno (https://willem.com) di aiutarti.", "word_count": 1212, "markdown_url": "https://agents.willem.com/it/posts/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/post.md" }