--- title: "WordPress: 10 consigli per proteggere il tuo sito" date: 2019-03-31 language: it topics: ["cloud", "cyber-security", "hacking", "howto", "networking", "server", "web", "webdesign"] source_url: https://willem.com/it/2019-03-31_wordpress-10-consigli-per-proteggere-il-tuo-sito/ --- # WordPress: 10 consigli per proteggere il tuo sito *Tieni gli hacker fuori dal sistema di gestione dei contenuti più popolare al mondo* > Tanta gente usa WordPress per gestire il proprio sito, quindi non sorprende che mi chiedano di dare un'occhiata alla sicurezza del loro sito. Da hacker etico incontro WordPress in forme, dimensioni e stati diversi. Alcuni sono protetti davvero male dagli attacchi. Evita che il tuo sito venga hackerato con questi 10 consigli pratici. ## 1) Aggiorna WordPress (e plugin + temi) La maggior parte degli attacchi a WordPress nasce da una politica di aggiornamento poco curata. Gli hacker usano bot automatici per trovare versioni obsolete del software con problemi di sicurezza noti. Quando scoprono che il tuo sito è vulnerabile, hackerarlo è spesso un gioco da ragazzi. Oggi WordPress si può aggiornare in automatico, quindi non devi farlo tu. Dai un'occhiata alle istruzioni_per_aggiornare_WordPress (https://codex.wordpress.org/Updating_WordPress). ![Aggiorna WordPress dalla dashboard di wp-admin](https://willem.com/global/images/79572e4a515e.webp) ## 2) Plugin e temi La cattiva reputazione di WordPress in fatto di sicurezza dipende soprattutto dalle parti estensibili della piattaforma, in particolare plugin e temi. Sono i principali vettori d'attacco sfruttati dai cybercriminali per hackerare e usare il tuo sito WordPress. Le loro vulnerabilità sono di solito il risultato di errori e disattenzioni durante lo sviluppo. Sii molto prudente e cauto nell'installare plugin sul tuo sito WordPress. Controlla chi è lo sviluppatore del plugin o del tema e stabilisci se ha una buona reputazione nello scrivere codice sicuro. I plugin e i temi con molti download sono spesso mantenuti attivamente, un buon indicatore per la sicurezza. Aggiorna tutti i plugin e i temi e tieni d'occhio lo storico della sicurezza con un sito come wpvulndb.com (https://www.wpvulndb.com/plugins/). ![Controlla la reputazione di un plugin di WordPress guardando il numero di download e la sua valutazione](https://willem.com/global/images/db2e086fcde8.webp) ## 3) Usa la crittografia (TLS/SSL) I siti WordPress senza crittografia TLS/SSL sono un rischio per la sicurezza, perché ogni volta che accedi per amministrare il sito la tua password viene inviata in chiaro. Significa che chiunque ascolti il tuo traffico di rete può ottenere facilmente la tua password. Con una password valida gli hacker possono semplicemente accedere, e non vuoi renderglielo così_facile (https://blog.wpscans.com/sniff-wordpress-login-credentials-wireshark-http-connection/), giusto? Usa TLS/SSL per cifrare tutta la comunicazione tra il server web e il tuo browser. Così nessuno può decifrare quello che scrivi nel campo della password guardando il traffico di rete. I certificati TLS/SSL che servono per attivare la crittografia HTTPS oggi costano pochissimo, chiedi al tuo provider di hosting di attivarne uno per il tuo sito. ![Intercettare la password di WordPress con la cattura dei pacchetti di Wireshark (via blog.wpscans.com)](https://willem.com/global/images/7ed5f0ee69b4.webp) ## 4) Usa password robuste Anche se segui tutti gli altri consigli per proteggere il tuo sito, le password deboli sono un'altra causa comune di violazioni di WordPress. Siccome la maggior parte delle installazioni di WordPress ha un utente "admin", gli hacker possono usare i dizionari_di_password (https://duckduckgo.com/?q=password+dictionairy) per indovinare automaticamente la tua password. Pensa a una password robusta come a qualcosa che nessuno ha mai usato prima. Di solito vuol dire più lunga, con più caratteri diversi, senza parole o frasi conosciute. Puoi usare un generatore di password per ottenere qualcosa di davvero difficile da indovinare (e facile da dimenticare...). Evita di usare la stessa password su più siti e valuta di attivare_l'autenticazione_in_due_passaggi_per_il_massimo_controllo_degli_accessi (https://codex.wordpress.org/Two_Step_Authentication). ![Gli attacchi con dizionario di password usano elenchi di password note (trapelate), che si trovano nelle zone losche di internet](https://willem.com/global/images/7e3624540722.webp) ## 5) Usa un computer e una rete di cui ti fidi Così come non dovresti mostrare soldi e gadget in strade losche, dovresti fare attenzione a dove (e quando) accedi al tuo sito. Un computer con spyware, malware o un virus può registrare quello che digiti (e la tua password) e inviarlo ai criminali. Oppure, in modo non digitale: un malintenzionato può letteralmente guardare da sopra la tua spalla (sull'autobus, sul treno o al bar) mentre inserisci la password. Fai attenzione a dove e quando lavori sul tuo sito. Non lavorare su un computer condiviso o pubblico se non è necessario. Se lavori da un hotspot WiFi pubblico devi usare la crittografia, per evitare che qualcuno si infili nella tua connessione. Puoi farlo con TLS/SSL o con una VPN (come buffered.com). Assicurati che il tuo computer, tablet o smartphone sia aggiornato. ![Ti fidi del WiFi gratuito che stai usando? (Immagine via buffered.com)](https://willem.com/global/images/94b8eedd02ca.webp) ## 6) Disattiva la REST API di WordPress La REST_API_di_WordPress (https://developer.wordpress.org/rest-api/) dà accesso a tutti i dati disponibili sul tuo sito in formato JSON leggibile dalle macchine. Articoli, pagine, categorie, tag, commenti, contenuti multimediali, utenti, impostazioni e altro sono facilmente accessibili. Per esempio, prova ad aggiungere questa parte all'indirizzo del tuo sito: **/wp-json/wp/v2/users** per ottenere un elenco di tutti i nomi utente validi del tuo sito. Vuoi *davvero* condividerlo con gli hacker? Disattiva la REST API per evitare lo scraping dei contenuti (plagio) e la fuga dei dati degli utenti. I dati degli utenti sono personali e non andrebbero condivisi pubblicamente se ci tieni a privacy e sicurezza: pensa al GDPR (https://en.m.wikipedia.org/wiki/General_Data_Protection_Regulation). Puoi disattivare la REST API con plugin come Disable_REST_API (https://wordpress.org/plugins/disable-wp-rest-api/) o REST_API_Toolbox (https://wordpress.org/plugins/rest-api-toolbox/). Leggi l'articolo_dettagliato_di_Jeff_Star_per_saperne_di_più_su_come_proteggere_la_REST_API_di_WP (https://digwp.com/2018/08/secure-wp-rest-api/). ![La REST API di WordPress fa trapelare informazioni personali degli utenti](https://willem.com/global/images/b4bed4a35679.webp) ## 7) Disattiva l'accesso XML-RPC L'XML-RPC è una funzione di WordPress che permette di controllare il sito da remoto tramite XML (RPC sta per "remote procedure call"). Questo meccanismo ti permette di gestire il sito senza accedere a WP-Admin, per esempio con servizi o app esterni. Purtroppo la funzione XML-RPC è un punto debole per la sicurezza, perché è di fatto una porta sul retro che gli hacker possono provare a forzare con la forza_bruta (https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html) o con comandi_speciali (https://medium.com/@the.bilal.rizwan/wordpress-xmlrpc-php-common-vulnerabilites-how-to-exploit-them-d8d3c8600b32). Evita i problemi di xml-rpc.php disattivando completamente questa funzione di WordPress. Puoi farlo con il plugin Disable_XML-RPC (https://wordpress.org/plugins/disable-xml-rpc/) o configurando a mano il server web con_un_file_htaccess (https://graspingtech.com/disable-xml-rpc-wordpress/). ![Limitare l'accesso a XML-RPC in base all'IP con un file .htaccess](https://willem.com/global/images/e8fa9fcb7c0e.webp) ## 8) Nascondi o proteggi la pagina di login (wp-admin) Tutti sanno che per accedere a WordPress basta aggiungere '/wp-admin' all'indirizzo del sito. Per questo qualsiasi hacker può iniziare facilmente a forzare il tuo sito. È molto più difficile scassinare una serratura se non riesci a trovarla. Valuta di nascondere o sostituire la pagina wp-admin. Gli esperti la chiamano "sicurezza_per_oscurità" (https://en.m.wikipedia.org/wiki/Security_through_obscurity), cioè affidarsi alla segretezza per la sicurezza. Puoi usare un plugin, oppure configurare il server web per limitare l'accesso a wp-admin filtrando gli indirizzi IP. Dai un'occhiata a questo articolo_sui_modi_per_nascondere_e_proteggere_la_pagina_wp-admin (https://www.3nions.com/hide-wp-admin-page-wordpress-login/). Attenzione però: affidarsi solo alla segretezza non basta, devi applicare anche gli altri consigli. ![È piuttosto difficile hackerare la mia pagina WP-Admin perché non la trovi (indizio: non è su /wp-admin)](https://willem.com/global/images/a21ba24bbd4e.webp) ## 9) Hosting affidabile Anche se applichi tutti questi consigli per proteggere il tuo sito WordPress, potrebbe non bastare se il tuo hosting non è sicuro. L'hosting è il servizio che rende il tuo sito disponibile su internet. Si fa con computer speciali chiamati server. Come il sito stesso, anche il server web che lo pubblica deve essere sicuro. Pensa all'hosting come a una nave: se affonda, si porta dietro tutti i passeggeri (i siti)... Investi in un hosting affidabile scegliendo un'azienda con una buona reputazione. Scegline una adatta alla tua attività, valuta di usare un VPS (gestito) dedicato. Tieni presente che le opzioni di hosting economiche spesso costano poco perché il server è condiviso con (molti) altri siti (forse poco sicuri). Leggi per capire_i_problemi_di_sicurezza_dell'hosting_condiviso (https://willem.com/en/2019-02-28_understanding-the-security-concerns-in-shared-hosting/). ![Da qualche parte in un datacenter c'è una macchina come questa che ospita il tuo sito](https://willem.com/global/images/b8c695c798fe.webp) ## 10) Backup e controlli Anche se ora il tuo sito funziona senza problemi, le cose possono peggiorare in futuro. La sicurezza non è mai assoluta, può sempre capitare il maltempo. Preparati ai guai e non lasciare che i problemi di sicurezza passino inosservati. Controlla regolarmente il tuo sito, oppure fallo fare a qualcuno (https://digidef.nl). Con un plugin come WP_Security_Audit_Log (https://wordpress.org/plugins/wp-security-audit-log/) puoi individuare per tempo attacchi e comportamenti sospetti. Fai dei backup del tuo sito, così sei pronto a ripartire dopo un disastro informatico. Gli incidenti capitano a tutti, fai un backup del tuo sito per non perdere tutto il tuo lavoro. Leggi questo articolo_per_scoprire_i_diversi_modi_di_fare_il_backup_del_tuo_sito_WordPress (https://websitesetup.org/wordpress-backup/). ![Usa WP Security Audit Log per tenere d'occhio cosa succede sul tuo sito WordPress (wpsecurityauditlog.com)](https://willem.com/global/images/ba045569ad2d.webp) ## Conclusione La sicurezza del tuo sito è come quella del tuo ufficio o della tua casa. Quando esci, chiudi le finestre e la porta a chiave, giusto? Non trascurare la sicurezza del tuo sito, è importante quanto il suo design e i suoi contenuti. Se applichi questi consigli di sicurezza, il tuo sito sarà molto più difficile da hackerare per i cybercriminali. Fallo da solo (https://codex.wordpress.org/Hardening_WordPress) o chiedi a qualcuno (https://willem.com) di aiutarti.