Sicurezza WordPress e hardening
WordPress alimenta una larga fetta del web ed è per questo uno dei bersagli preferiti: il rischio maggiore non è il core, ma plugin, temi e gestione degli accessi.
La maggior parte delle compromissioni WordPress parte da un plugin o tema vulnerabile non aggiornato, da un'estensione abbandonata o da credenziali rubate. Una configurazione solida riduce drasticamente la superficie d'attacco.
Il nostro intervento unisce hardening tecnico, controllo dei componenti installati e processi di aggiornamento ripetibili.
Rischi tipici su WordPress
Plugin e temi vulnerabili
Estensioni con falle pubbliche (upload arbitrario, SQL injection, XSS) o non più mantenute dagli sviluppatori.
Brute force su wp-login e XML-RPC
Tentativi massivi di accesso e abuso di xmlrpc.php per amplificare gli attacchi.
Temi «nulled»
Temi e plugin premium piratati che spesso contengono backdoor già installate.
Permessi file errati
Directory scrivibili dal web server e possibilità di eseguire PHP nella cartella uploads.
Utenti e ruoli eccessivi
Account amministratore inutilizzati o condivisi, assenza di 2FA.
Enumerazione utenti
Esposizione degli username tramite REST API e archivi autore.
Cosa includiamo
Audit componenti
Inventario di core, plugin e temi con verifica delle vulnerabilità note e dello stato di manutenzione.
Hardening del core
wp-config protetto, salt rigenerati, disattivazione editor file, blocco esecuzione PHP in uploads, permessi corretti.
Protezione degli accessi
2FA, limitazione tentativi di login, ruoli minimi necessari, gestione sessioni.
WAF e rate limiting
Filtro delle richieste malevole prima che raggiungano WordPress.
Bonifica da malware
Confronto con i file originali, rimozione di backdoor, rotazione di tutte le credenziali.
Checklist WordPress
- Core, plugin e temi aggiornati; plugin inutilizzati eliminati (non solo disattivati)
- Nessun tema o plugin da fonti non ufficiali
- 2FA attiva per tutti gli amministratori e username diverso da «admin»
- Esecuzione PHP bloccata in wp-content/uploads
- Backup giornalieri esterni e test di ripristino
- Aggiornamenti automatici per le patch di sicurezza e un ambiente di staging per i test
Domande frequenti
Un plugin di sicurezza basta?
Aiuta, ma non sostituisce hardening del server, aggiornamenti regolari e una corretta gestione degli accessi.
Fate anche manutenzione continuativa?
Sì, possiamo gestire aggiornamenti, backup e monitoraggio con un canone mensile.
Il mio WordPress è lento e fa redirect strani: è un malware?
È un sintomo comune. Effettuiamo una verifica forense dei file e del database per confermarlo e bonificare.
Approfondisci
Mettiamo in sicurezza il tuo wordpress
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.