Sicurezza WordPress: difendi il tuo blog dagli hacker e dai ladri

Questo è un post tecnico di 8 anni fa. Le istruzioni potrebbero non essere più valide. Publicato: Dicembre 3, 2016 Aggiornato: Maggio 5, 2018

Oggi WordPress è il CMS più ampiamente utilizzato in tutto il mondo. Purtroppo questa situazione lo rende anche un obiettivo comune per gli hacker, quindi è importante seguire alcune linee guida per aumentare la sicurezza WordPress al fine di evitare problemi sul nostro sito web.

Mantenere i plugin e il core sempre aggiornati

Può sembrare ovvio, ma la verità è che molte installazioni di WordPress non vengono aggiornate all’ultima versione stabile. A partire dalla versione 3.7, WordPress offre la possibilità di aggiornamenti automatici del core, mentre se si è fatta un’installazione automatica tramite l’hosting, solitamente essa provvede anche ad aggiornare, senza bisogno di intervento da parte dell’utente, l’installazione del proprio CMS.
I plugin e il tema, invece, devono essere necessariamente aggiornati manualmente, dall’apposita pagina “centro di aggiornamento” di WordPress.

Attivare la doppia autenticazione

Sicurezza WordPress: Google authenticator Two-Factor Authentication

Con il termine di autenticazione a due fattori si avrà bisogno di utilizzare il telefono cellulare per accedere all’admin di WordPress. Google authenticator è il plugin gratuito dedicato che, una volta configurato, permetterà di accedere solo se si ha il cellulare a portata di mano.

Scarica il plugin WordPress: https://it.wordpress.org/plugins/google-authenticator/

Limitare l’accesso all’IP dell’amministratore

Se si dispone di un IP fisso, o di un IP pubblico che non viene aggiornato frequentemente, possiamo limitare l’accesso all’area di amministrazione wp-admin solo agli indirizzi IP che vogliamo. Per poterlo fare, basta aprire il file .htaccess e aggiungere questo codice (Al posto di x.x.x.x bisogna inserire il proprio indirizzo IP.):

# Limitare accesso
order deny,allow
allow from x.x.x.x
deny from all

Installare i plugin di sicurezza

I plugin di sicurezza sono in grado di proteggere da attacchi casuali e garantire un sito WordPress più sicuro. Inoltre ci avvertono di possibili problemi di sicurezza che forse abbiamo trascurato. I migliori attualmente disponibili sono:

1. Malcare
2. Sucuri Security
3. Wordfence
4. All In One Security and Firewall
5. Anti-Malware Security and Brute-Force Firewall
6. Quttera Web Malware Scanner

L’installazione di questi plugin è altamente consigliata, sia perché sono gratuiti, sia perché permettono davvero di “blindare” o quasi la propria installazione.

Scegliere l’hosting adatto e più sicuro

Così  come dobbiamo essere pro-attivi e aumentare la sicurezza WordPress, allo stesso modo dobbiamo essere certi di scegliere un buon servizio di hosting per i nostri progetti. Di seguito riassumiamo alcune delle misure di sicurezza che sono fondamentali a livello di server, che ogni fornitore dovrebbe avere e che rendono più sicuro il nostro sito WordPress:

• Uso di firewall;
• Scansione di malware;
• analisi di file malware caricati via web e ftp;
• monitoraggio costante dei server

Difendiamo il nostro sito dai ladri di foto e articoli

Sempre più spesso le nostre foto originali e i contenuti dei post vengono copiati e distribuiti sul Web. Fortunatamente è possibile accorgersene e proteggere il nostro sito in modo efficace.

Spendere ore e ore per scrivere un post interessante per poi ritrovarselo completamente copiato su un altro sito non fa piacere a nessuno.

Ancora peggio se scopriamo che le nostre foto sono presenti su Google Immagini come se fossero di pubblico dominio.

Non finisce qui, il paradosso si potrebbe verificare se il nostro sito non è stato ancora indicizzato correttamente e allora potrebbe capitare che i contenuti copiati, verrebbero considerati da Google come appartenenti a chi li ha “rubati”. Il ladro, quindi, salirà nei risultati di ricerca mentre per noi si verificherebbe l’esatto contrario.

Fortunatamente un modo per difendersi esiste.

Come prima cosa dobbiamo verificare tramite Google se qualcuno ha copiato i nostri contenuti.

Per fare questa verifica non dobbiamo fare altro che inserire nella casella di ricerca di Google, il file (es. immagine, o intere frasi etc.) che vogliamo controllare.

Una volta trovato il ladro, possiamo contattarlo è chiedere di rimuovere il contenuto copiato. Si tratta però di un’operazione non sempre di facile attuazione.

Molto meglio allora utilizzare dei sistemi preventivi come il plugin Image Watermark che applica un timbro non cancellabile sulle immagini certificando che la stessa appartiene al sito web che ha installato il plugin.

In alternativa si può utilizzare il plugin CopyRight Proof che unito al servizio DigIprove certifica la proprietà di testo e foto.

Ancora ci sono plugin come Protect My Contents che materialmente impediscono di copiare blocchi di testo o immagini, disabilitando all’interno del sito il tasto destro del mouse.

Per difendersi dagli hacker più spietati è ancora meglio utilizzare un software professionale come WP Content Copy Protection & No Right Click che grazie agli script Java o il linguaggio CSS disattiva la funzione copia e incolla e il tasto destro del mouse.

Acquistando la versione premium da 25 euro sarà possibile scegliere anche su quali pagine e post applicare la protezione ed inserire speciali timbri digitali all’interno delle nostre foto, impedendo così di utilizzare anche la cattura schermata tramite il pulsante Stamp.

Può capitare che degli hacker sfruttino il nostro server per visualizzare le immagini sui loro siti. Così, oltre al danno, anche la beffa dei consumi di banda. In questo caso si può risolvere aggiungendo un codice nel file htaccess.

Se utilizzi la CND CloudFlare puoi disabilitare gli Hotlinking seguendo questo percorso. Dal Menu “Scrape Shield” disabilita la voce “Hotlink Protection“.

Conclusioni

I consigli che ti ho dato in questo articolo dovrebbero riuscire a migliorare la sicurezza della tua installazione WordPress. Ricorda, tuttavia che la prevenzione è sempre lo strumento migliore per evitare problemi con i propri siti, ed è una cosa che dovrebbero fare tutti. Per ulteriori approfondimenti ti consiglio di leggere anche questo post sulla sicurezza WordPress.

Vuoi creare un sito web professionale?

Tutto quello che serve in un'unica guida

Acconsento al trattamento dei miei dati personali. Leggi la Privacy Policy.

si

SCARICA LA GUIDA PDF