DATXALE

Sicurezza e backup WordPress: proteggi la tua attività dagli hack

WordPress è il CMS più attaccato al mondo. Piano pratico di sicurezza e backup affinché il tuo sito non cada mai.

Contenuto della guida

La realtà: WordPress è il CMS più attaccato

WordPress alimenta il 43 % dei siti web del mondo. Questo lo rende il bersaglio preferito degli attaccanti. Milioni di attacchi brute force al giorno (Wordfence 2024).

Buona notizia: il 99 % degli hack riusciti sono per negligenza , non difetti reali del CMS. Un piano base evita quasi tutto.

Piano minimo di sicurezza

1. Tutto aggiornato

  • WordPress core
  • Plugin
  • Temi
  • PHP server (min 8.1)

Attiva auto-update per le patch di sicurezza.

2. Cancella ciò che non usi

In ogni hack: temi non usati, plugin "di prova" da 2 anni, backup wp-config.php pubblici.

Regola: ciò che non usi, cancellalo.

3. Password forti e 2FA

  • Min 14 caratteri casuali.
  • 2FA obbligatorio (plugin Wordfence Login Security ).
  • Mai "admin" come username.

4. Limita i tentativi di login

Plugin: Limit Login Attempts Reloaded . Blocca 30 min dopo 5 tentativi falliti.

5. Cambia il prefisso tabelle

Da wp a casuale ( abc7 ) durante l'installazione.

6. Blocca file sensibili

apache

<FilesMatch "(\.bak — \.old — \.tmp — \.sql — wp-config\.php\.)

quot;

Order Allow,Deny Deny from all </FilesMatch

7. Cloudflare WAF (gratuito)

Blocca SQL injection, XSS, bot, piccoli DDoS in 10 minuti.

Piano backup che funziona

Un backup non testato non esiste .

Strategia 3-2-1

  • 3 copie
  • 2 supporti diversi
  • 1 offsite

Implementazione

  1. Backup auto hosting — giornaliero.
  2. Backup cloud (Google Drive, Dropbox) con UpdraftPlus — settimanale.
  3. Snapshot server se VPS — mensile.

Testa il restore ogni 3 mesi.

Plugin di sicurezza

Plugin — Funzione — Prezzo

Wordfence — Firewall + scanner + 2FA — Gratis

iThemes Security — Hardening completo — Gratis

Sucuri — Pulizia post-hack + WAF — 200 $/anno

WPS Hide Login — Cambia URL login — Gratis

Non installare più di 1 firewall alla volta.

Segni di hack

  1. Google marca come non sicuro.
  2. Spam in uscita.
  3. Post o admin che non hai creato.
  4. File PHP strani in /wp-content/uploads/ .
  5. Sito lento senza motivo.
  6. Redirect strani.

Se sei stato hackerato

  1. Niente panico.
  2. Blocca l'accesso pubblico.
  3. Snapshot dello stato attuale.
  4. Cambia TUTTE le password.
  5. Scanner (Wordfence) per identificare i file.
  6. Restore dall'ultimo backup pulito.
  7. Aggiorna tutto.
  8. Chiedi a Google di rivedere via Search Console.

Senza esperienza, chiama un pro: pulizia mal fatta lascia dropper orfani.

Conclusione

La sicurezza WordPress non è paranoia: è igiene di base . Con aggiornamenti, password forti, 2FA, backup testati e Cloudflare, il tuo sito è più sicuro del 95 % dei WordPress online.

In DATXALE includiamo hardening completo + backup giornalieri in tutti i pacchetti. Parliamone su WhatsApp.