Sicurezza WordPress: le basi che quasi nessuno applica davvero
Non servono strumenti sofisticati per alzare parecchio la sicurezza di un sito WordPress: bastano poche abitudini di base, quasi sempre trascurate.
La maggior parte dei siti WordPress compromessi non viene violata con tecniche sofisticate, ma tramite falle note da tempo e mai sistemate. Le basi che seguono non richiedono competenze avanzate, solo l'abitudine di applicarle con costanza.
Aggiornamenti: la base dimenticata
Core di WordPress, plugin e temi ricevono aggiornamenti di sicurezza regolarmente, ma su moltissimi siti restano indietro per mesi o anni. La maggior parte degli attacchi automatizzati sfrutta proprio vulnerabilità già note e già corrette nelle versioni più recenti: tenere tutto aggiornato è, da solo, una delle protezioni più efficaci che esistano.
Permessi e utenti: il principio del minimo privilegio
Ogni utente amministratore in più è un punto di accesso in più da proteggere. Molti siti hanno account amministratore creati per un lavoro temporaneo e mai rimossi, o collaboratori con permessi più ampi di quanto serva davvero. Assegnare a ciascuno solo il ruolo minimo necessario riduce di molto la superficie di rischio in caso una singola credenziale venga compromessa.
Login: la porta più attaccata
La pagina di login standard di WordPress è il bersaglio più comune per attacchi automatizzati a forza bruta. Password robuste, autenticazione a due fattori e un limite ai tentativi di accesso falliti eliminano gran parte di questo rischio con uno sforzo minimo.
Backup: la sicurezza è anche saper ripartire
Nessuna misura preventiva è infallibile al cento per cento. Un backup recente, testato e conservato fuori dal server stesso, è quello che trasforma un attacco riuscito da disastro a semplice fastidio. Un backup mai testato non è, in pratica, un backup.
- Aggiorna core, plugin e temi appena disponibile un aggiornamento di sicurezza.
- Rivedi periodicamente la lista utenti e rimuovi gli accessi non più necessari.
- Attiva l'autenticazione a due fattori almeno per gli account amministratore.
- Verifica che i backup si stiano davvero facendo, provando un ripristino di prova ogni tanto.