Sicurezza WordPress: come proteggere il sito da hacker, malware e accessi non autorizzati

Le misure di sicurezza WordPress sono l’insieme di attività tecniche e operative pensate per proteggere un sito WordPress da attacchi hacker, malware, perdita di dati e accessi non autorizzati. La protezione più efficace nasce dalla combinazione di più livelli: core WordPress sempre aggiornato, temi e plugin affidabili, credenziali robuste, autenticazione a due fattori, backup regolari, certificato SSL, firewall per applicazioni web, hosting sicuro e monitoraggio continuo. In questa guida trovi una serie di interventi pratici e ordinati per priorità, che puoi applicare già oggi come proprietario, amministratore o responsabile di un sito.

WordPress è uno dei CMS più utilizzati al mondo grazie alla sua flessibilità, alla facilità di gestione dei contenuti e all’enorme ecosistema di plugin. Proprio questa popolarità, però, lo rende anche un bersaglio molto appetibile. Nella maggior parte dei casi gli attacchi non dipendono da WordPress in sé, ma da password deboli, plugin non aggiornati, temi poco sicuri, permessi dei file configurati male o infrastrutture hosting non adeguatamente protette. Per questo non è corretto pensare che basti installare “un plugin di sicurezza” e dimenticarsi del resto: serve un approccio a strati.

I consigli che seguono sono applicabili a progetti WordPress molto diversi tra loro: piccoli blog personali, siti aziendali, portali editoriali, negozi WooCommerce, aree riservate e piattaforme con utenti registrati. L’obiettivo non è solo bloccare un attacco, ma anche accorgersi rapidamente se qualcosa non va, ripristinare il sito in modo pulito e proteggere i dati degli utenti. Soprattutto nei siti che generano fatturato, la sicurezza non è un dettaglio tecnico: è una componente essenziale della continuità operativa.

Perché i siti WordPress vengono presi di mira?

Il motivo principale per cui i siti WordPress vengono attaccati è la loro diffusione. Gli aggressori raramente scelgono manualmente un singolo sito: usano bot automatici che scansionano migliaia di domini alla ricerca di vulnerabilità note. Quando trovano una vecchia versione di un plugin, un nome utente predefinito, una password debole o un pannello di amministrazione esposto, iniziano i tentativi di intrusione. Spesso tutto avviene in modo automatico e nel giro di pochi minuti.

Tra gli scenari più comuni ci sono attacchi brute force alla pagina di login, caricamento di file malevoli, SQL injection, XSS, uso di temi nulled, redirect spam e attacchi di SEO spam che manipolano i risultati dei motori di ricerca. Per esempio, un plugin per moduli di contatto non aggiornato potrebbe consentire a un aggressore di caricare file sul server. Allo stesso modo, se la password dell’amministratore è simile a 123456 o a una parola facilmente indovinabile, i bot possono testarla in pochissimo tempo.

Le conseguenze di un attacco non si limitano al sito offline. Google potrebbe mostrare avvisi di sicurezza, gli account pubblicitari potrebbero essere sospesi, i dati dei clienti potrebbero finire a rischio e la fiducia nel brand potrebbe subire un danno importante. Ecco perché la sicurezza WordPress non dovrebbe essere affrontata solo al momento della pubblicazione, ma pianificata fin dall’inizio del progetto.

Tabella rapida delle priorità: quali misure sono più critiche?

La tabella seguente riassume su quali misure di sicurezza conviene concentrarsi per prime se hai poco tempo. Per ottenere il miglior risultato, però, tutte le voci dovrebbero essere applicate insieme.

1. Mantieni aggiornati core WordPress, temi e plugin

Il primo passo per proteggere un sito WordPress è mantenerlo aggiornato. La maggior parte delle vulnerabilità, una volta scoperta, viene corretta rapidamente dagli sviluppatori. Tuttavia, se il proprietario del sito non applica l’aggiornamento, gli aggressori possono sfruttare una falla ormai pubblica e documentata. Usare una versione obsoleta è un po’ come vivere in una casa a cui hanno già cambiato la serratura, ma continuare a usare quella vecchia e difettosa.

Come aggiornare in modo sicuro

• Prima di tutto esegui un backup completo del sito: file e database devono essere salvati insieme.
• Se possibile, testa gli aggiornamenti in un ambiente di staging.
• Aggiorna prima il core di WordPress, poi il tema e infine i plugin.
• Dopo l’aggiornamento controlla homepage, moduli, pagina di pagamento e pannello di amministrazione.
• Non limitarti a disattivare i plugin inutilizzati: eliminali completamente.

Un esempio pratico: in un negozio WooCommerce, prima di aggiornare il plugin di pagamento è consigliabile creare un ordine di test. Se dopo l’aggiornamento carrello, checkout, notifiche email e gestione dello stock funzionano correttamente, il rischio in produzione sarà molto più basso. Se non hai competenze tecniche avanzate, scegliere un hosting gestito e con infrastruttura aggiornata può semplificare molto il processo. Hosting WordPress

2. Usa password robuste, nomi utente unici e 2FA

Gli attacchi brute force inviano automaticamente combinazioni di nomi utente e password alla schermata di login di WordPress. Il classico utente admin abbinato a una password debole è ancora oggi uno dei rischi più diffusi. Per l’account amministratore dovresti usare una password unica di almeno 14 caratteri, composta da lettere maiuscole e minuscole, numeri e simboli.

Un password manager rende più semplice creare e conservare password diverse e sicure per ogni account. Usare la stessa password per email, pannello hosting, WordPress e FTP è un errore grave: se un solo account viene compromesso, anche tutti gli altri sistemi diventano vulnerabili.

Azioni pratiche per rendere sicuro l’accesso

• Non usare il nome utente admin; crea un nome amministratore difficile da indovinare.
• Attiva l’autenticazione a due fattori.
• Limita il numero di tentativi di accesso falliti.
• Elimina gli account amministratore non utilizzati da tempo.
• Assegna ruoli di autore, editor e amministratore solo in base alle reali necessità.

Per esempio, concedere privilegi di amministratore a una persona che deve soltanto pubblicare articoli è un rischio inutile. Per chi inserisce contenuti, il ruolo di autore o editor può essere più che sufficiente. Mantenere i permessi al minimo riduce i danni nel caso in cui un account venga compromesso.

3. Crea un piano di backup regolare e realmente ripristinabile

Il backup non impedisce un attacco, ma ti permette di recuperare il sito dopo un incidente. Per questo è la polizza assicurativa della tua strategia di sicurezza. Un backup è davvero utile solo se non si limita a esistere, ma può essere ripristinato senza problemi. Molti proprietari di siti pensano di avere copie di sicurezza valide, ma nel momento critico scoprono che il database manca, i file sono corrotti o il backup è troppo vecchio.

Il piano di backup ideale dipende dal tipo di sito. Un portale di notizie aggiornato ogni giorno o un e-commerce con ordini frequenti dovrebbe avere backup giornalieri, se non più frequenti nei periodi di picco. Per un sito vetrina aziendale aggiornato raramente, un backup settimanale può essere sufficiente. Conservare le copie soltanto sullo stesso server non è una buona pratica: se il server viene compromesso o danneggiato, anche i backup potrebbero andare persi.

Il metodo di backup 3-2-1

• 3 copie: sito online, backup locale e backup remoto.
• 2 supporti diversi: ad esempio server e spazio cloud.
• 1 posizione remota: una copia conservata in una location separata.

Effettuare almeno una volta al mese un test di ripristino è un’ottima abitudine. In questo modo saprai quanto tempo serve per riportare online il sito in caso di emergenza. Quando valuti le opzioni di backup nell’infrastruttura Hostragons, considera la frequenza con cui cambiano i dati del tuo progetto. Soluzioni di backup dell'hosting

4. Certificato SSL e HTTPS devono essere obbligatori

SSL cripta i dati scambiati tra visitatore e server. Credenziali di accesso, moduli di contatto, pagine di pagamento e aree riservate non possono essere considerate sicure senza HTTPS. I browser moderni segnalano come “non sicuri” i siti privi di certificato SSL, con un impatto negativo sulla fiducia degli utenti e sui tassi di conversione.

SSL non è necessario solo per gli e-commerce. Anche un semplice blog trasmette dati attraverso login amministratore, commenti e moduli di contatto. Per questo ogni sito WordPress dovrebbe avere SSL attivo e tutte le richieste HTTP dovrebbero essere reindirizzate alla versione HTTPS. È importante anche verificare gli errori di contenuto misto: una pagina può essere caricata in HTTPS, ma includere immagini o script provenienti da URL HTTP, riducendo così la sicurezza percepita e reale.

Dopo l’installazione del certificato SSL, controlla in Impostazioni Generali di WordPress che gli indirizzi del sito inizino con HTTPS. Poi svuota la cache e testa il sito da browser diversi. Per la scelta e l’installazione del certificato puoi valutare la pagina certificato SSL.

5. Scegli temi e plugin affidabili

Una parte significativa delle vulnerabilità nei siti WordPress deriva da temi e plugin di terze parti. I temi e plugin nulled distribuiti gratuitamente, in particolare, rappresentano un rischio elevato. File senza licenza possono contenere backdoor, link spam, codice per mining di criptovalute o script pensati per sottrarre dati.

Checklist prima di installare un plugin

• La data dell’ultimo aggiornamento è recente?
• Il numero di installazioni attive e le recensioni degli utenti ispirano fiducia?
• Lo sviluppatore è conosciuto e offre supporto?
• Il plugin svolge davvero la funzione di cui hai bisogno?
• Sono già installati altri plugin che fanno la stessa cosa?

Avere pochi plugin non significa automaticamente essere più sicuri; ciò che conta è usare plugin di qualità, aggiornati e realmente necessari. Detto questo, ogni plugin aggiunge un nuovo strato di codice e quindi amplia la superficie di attacco. Per esempio, installare un page builder complesso solo per cambiare il colore di un titolo può essere eccessivo sia per la performance sia per la sicurezza.

6. Usa un Web Application Firewall e scansioni malware

Un Web Application Firewall, spesso abbreviato in WAF, analizza il traffico in entrata verso il sito e blocca le richieste sospette. Tentativi di SQL injection, caricamenti di file malevoli, traffico bot e alcuni attacchi brute force possono essere filtrati a questo livello. In una strategia di sicurezza WordPress, il WAF funziona come una prima linea di difesa.

La scansione malware, invece, controlla modifiche ai file, frammenti di codice sospetti e firme note di software dannoso. Una scansione automatica giornaliera è più efficace di un controllo manuale fatto una volta ogni tanto. In particolare, la presenza di file eseguibili nella directory wp-content/uploads è un segnale da non ignorare: normalmente nella cartella in cui si caricano immagini non dovrebbero trovarsi file PHP.

Quando scegli un plugin di sicurezza, non guardare solo alla quantità di funzioni. Verifica anche che non rallenti il sito e che venga aggiornato regolarmente. Una soluzione che lavora insieme alle protezioni lato server offre risultati più equilibrati e stabili. Sicurezza web hosting

7. Controlla permessi dei file, wp-config.php e accesso alle directory

Permessi dei file configurati in modo errato possono facilitare la modifica dei file esistenti o l’aggiunta di nuovi file da parte di un aggressore. In linea generale, una pratica comune prevede permessi 755 per le cartelle e 644 per i file. File sensibili come wp-config.php devono essere protetti con maggiore attenzione, perché contengono informazioni critiche come nome utente del database, password e chiavi di sicurezza.

Disabilitare la modifica dei file dal pannello di amministrazione WordPress è un altro buon intervento di sicurezza. In questo modo, anche se un account amministratore venisse compromesso, l’aggressore non potrebbe inserire direttamente codice malevolo tramite l’editor del tema. È opportuno anche disattivare il directory listing: i visitatori non devono poter visualizzare il contenuto delle cartelle.

Punti da verificare

• Il file wp-config.php non deve essere leggibile da chiunque.
• Nella cartella uploads vanno controllati eventuali file eseguibili.
• Vecchi backup, file zip e file sql non necessari non devono restare nella root pubblica del sito.
• Il prefisso predefinito delle tabelle del database dovrebbe essere modificato in fase di installazione.
• La modalità debug deve essere disattivata sul sito in produzione.

Un errore molto frequente dopo una migrazione è lasciare vecchi backup del sito dentro public_html. Gli aggressori scansionano automaticamente nomi come backup.zip, vecchio.sql o site-yedek.tar: se li trovano, possono ottenere informazioni sensibili o una copia completa del sito.

8. La scelta di un hosting sicuro è la base della sicurezza WordPress

La sicurezza WordPress non si risolve solo a livello applicativo. Aggiornamenti del server, versione PHP, isolamento degli account, protezione malware, infrastruttura di backup, mitigazione DDoS e qualità del supporto rientrano nelle responsabilità del provider hosting. Su un server configurato male, anche il miglior plugin di sicurezza offre una protezione limitata.

Usare una versione PHP aggiornata è importante sia per le prestazioni sia per la sicurezza. Le versioni obsolete di PHP potrebbero non ricevere più aggiornamenti di sicurezza. Inoltre, ogni account hosting dovrebbe essere isolato dagli altri: se un sito presente sullo stesso server viene compromesso, il tuo non dovrebbe subirne le conseguenze.

Quando scegli un hosting, poniti alcune domande: sono disponibili backup automatici? SSL si installa facilmente? Esiste un firewall lato server? Il team di supporto fornisce indicazioni in caso di malware? Le versioni PHP sono aggiornate? È possibile aumentare le risorse in caso di crescita del traffico? Per un’infrastruttura solida su questi aspetti puoi consultare Pacchetti Hosting Hostragons. Se stai avviando un nuovo progetto, puoi usare anche la pagina Verifica del dominio e registrazione per gestire in modo sicuro dominio e registrazione.

9. Sicurezza del pannello di amministrazione, XML-RPC e URL di login

Il pannello di amministrazione WordPress è una delle aree più bersagliate dagli aggressori. Limitare i tentativi di accesso e usare l’autenticazione a due fattori sono misure fondamentali. Inoltre, su alcuni siti, se la funzionalità XML-RPC non è necessaria, può essere disattivata. In passato XML-RPC è stato sfruttato per attacchi pingback e tentativi brute force.

Cambiare l’URL di login non è, da solo, un metodo di sicurezza forte; può però ridurre il traffico automatico dei bot. Va considerato come una misura di supporto, non come una protezione principale. La vera sicurezza dipende da password robuste, 2FA, limite ai tentativi di login e WAF.

Consentire l’accesso al pannello solo da determinati indirizzi IP può essere efficace nei siti aziendali. Tuttavia, se il team usa IP dinamici, la misura va pianificata con attenzione: altrimenti anche gli utenti autorizzati potrebbero restare fuori. Prima di applicare qualsiasi restrizione è quindi necessario avere un piano di recupero.

10. Metti in sicurezza ruoli utente e processi editoriali

Per blog con più autori, siti gestiti da agenzie e team e-commerce, la gestione dei ruoli utente è critica. A ogni persona deve essere assegnato solo il livello di accesso necessario per svolgere il proprio lavoro. Questo principio è noto come principio del minimo privilegio.

Per esempio, se uno specialista SEO deve soltanto modificare i contenuti, non ha bisogno del ruolo di amministratore. Se il reparto contabilità deve visualizzare gli ordini, non dovrebbe avere il permesso di installare temi e plugin. Gli account dei collaboratori che lasciano l’azienda vanno disattivati subito e non bisognerebbe usare account amministratore condivisi. Gli account condivisi rendono impossibile capire chi ha effettuato una determinata operazione.

Inoltre, per gli utenti autorizzati a caricare media, è opportuno impostare restrizioni sui tipi di file. Alcuni formati, come SVG, se configurati male possono veicolare codice dannoso. Inserire controlli di sicurezza nel processo editoriale riduce non solo gli attacchi tecnici, ma anche gli errori umani.

11. Come capire se il tuo sito è pulito?

Capire se un sito WordPress è stato compromesso non è sempre semplice. A volte la homepage sembra normale, ma ai motori di ricerca viene mostrato un contenuto diverso. In altri casi solo gli utenti da mobile vengono reindirizzati verso pagine di gioco d’azzardo, phishing o false promozioni. Per questo i controlli regolari sono indispensabili.

Segnali sospetti

• Nei risultati Google compaiono titoli non pertinenti al tuo sito.
• Nel pannello di amministrazione appaiono account utente che non riconosci.
• Sul server sono presenti file PHP insoliti o cartelle con nomi casuali.
• All’apertura del sito si verificano redirect inattesi.
• L’utilizzo delle risorse hosting aumenta improvvisamente.
• La reputazione di invio email peggiora o arrivano segnalazioni di spam.

Se noti uno di questi segnali, non cancellare il sito d’impulso. Prima crea una copia dello stato attuale, analizza i log di accesso, cambia tutte le password, applica gli aggiornamenti e rimuovi i file malevoli. Dopo la pulizia, controlla gli avvisi di sicurezza in Google Search Console e, se necessario, invia una richiesta di nuova revisione.

12. Checklist mensile per la sicurezza WordPress

La sicurezza non è una configurazione da fare una volta sola, ma un processo di manutenzione continua. Applicare la checklist seguente una volta al mese ti aiuta a individuare molti rischi prima che diventino problemi seri.

• Core WordPress, tema e plugin sono aggiornati?
• Plugin, temi e account utente inutilizzati sono stati eliminati?
• I backup vengono creati puntualmente ed è stato eseguito un test di ripristino?
• Il certificato SSL è valido e il redirect HTTPS funziona senza errori?
• C’è un aumento anomalo nei tentativi di login falliti?
• La scansione di sicurezza ha segnalato file sospetti?
• I permessi dei file e la protezione di wp-config.php sono corretti?
• I report di sicurezza e azioni manuali in Search Console sono puliti?

Puoi distribuire questa lista tra le persone del team. Per esempio, il referente tecnico può occuparsi degli aggiornamenti, il content manager degli account utente e il titolare dell’attività dei backup e del contratto hosting. Una chiara divisione delle responsabilità evita che la sicurezza venga dimenticata.

Errori da evitare per la sicurezza WordPress

Alcuni errori sembrano piccoli, ma possono trasformarsi in problemi di sicurezza importanti. Il più comune è credere di aver risolto tutto installando un solo plugin di sicurezza. Un plugin può essere molto utile, ma senza aggiornamenti, backup, hosting affidabile, password robuste e corretta gestione degli utenti non è sufficiente.

• Usare temi nulled o plugin senza licenza.
• Riutilizzare la stessa password su più account.
• Non testare mai i backup.
• Lasciare attiva la modalità debug sul sito online.
• Continuare a usare una vecchia versione PHP.
• Concedere privilegi di amministratore a ogni membro del team.
• Lasciare vecchi backup del database nella directory pubblica.

Evitare questi errori riduce in modo significativo le probabilità di successo di molti attacchi automatici. L’obiettivo della sicurezza non è promettere che un attacco sia impossibile al cento per cento, ma abbassare il rischio e sapere come agire in modo controllato quando si verifica un incidente.

Domande frequenti

È possibile rendere un sito WordPress completamente inattaccabile?

No, nessun sito web può essere garantito come inattaccabile al cento per cento. Tuttavia, con aggiornamenti regolari, password robuste, 2FA, WAF, SSL, backup periodici e hosting sicuro, il rischio si riduce in modo significativo. L’importante è costruire una difesa a più livelli e fare controlli con costanza.

Usare un plugin di sicurezza WordPress è sufficiente?

No. Un plugin di sicurezza è uno strumento utile, ma da solo non basta. Deve essere affiancato da software aggiornato, hosting sicuro, permessi dei file corretti, password robuste, backup affidabili e gestione attenta dei ruoli utente.

Con quale frequenza bisogna fare i backup WordPress?

Per i siti con contenuti che cambiano spesso è consigliato un backup giornaliero. Per siti WooCommerce o piattaforme che ricevono ordini, può essere necessario eseguire backup ancora più frequenti. Per siti aziendali aggiornati raramente, un backup settimanale può bastare. La cosa più importante è testare regolarmente il ripristino delle copie.

Perché il certificato SSL è importante per la sicurezza WordPress?

SSL cripta i dati tra visitatore e server. Credenziali di accesso, moduli e dati di pagamento sono esposti a rischi se non vengono trasmessi tramite HTTPS. Inoltre, SSL evita gli avvisi di sicurezza del browser e aiuta gli utenti a fidarsi del sito.

Il mio sito WordPress è stato hackerato: cosa devo fare per prima cosa?

Per prima cosa crea un backup dello stato attuale, poi cambia tutte le password e metti il sito in modalità manutenzione. Esegui una scansione malware, completa gli aggiornamenti, elimina gli utenti sconosciuti e valuta il ripristino da un backup pulito. Dopo la pulizia, controlla i report di sicurezza in Search Console.

Conclusione: piccoli interventi fanno una grande differenza per un WordPress sicuro

Le misure di sicurezza WordPress non sono un’azione una tantum, ma un’abitudine di manutenzione continua. Seguire gli aggiornamenti, rafforzare l’accesso, testare i backup, usare SSL, scegliere plugin affidabili e appoggiarsi a un’infrastruttura hosting solida aumenta in modo concreto la resilienza del sito. Anche solo migliorare oggi password e piano di backup può ridurre sensibilmente il rischio.

Se vuoi ospitare il tuo sito WordPress su un’infrastruttura più sicura, veloce e sostenibile, puoi valutare le soluzioni Hostragons e rafforzare le fondamenta del progetto con opzioni di hosting, dominio e SSL adatte alle tue esigenze. Hosting WordPress Hostragons certificato SSL registrazione dominio