Venire a conoscenza che il proprio sito web è stato violato non è affatto piacevole ma la cosa peggiore è che la violazione a volte può passare inosservata.

WordPress è una piattaforma open source, nata nel 2003 come piattaforma di blogging e diventato in breve tempo uno dei software CMS (content management system) più utilizzati nel mondo per la creazione di siti web dinamici, con contenuti testuali e multimediali aggiornabili dagli utenti.

Proprio per la sua popolarità e diffusione, però, la sicurezza di WordPress è spesso minacciata da una serie di attacchi hacker, che coinvolgono la piattaforma attraverso i bug di alcuni plugin, porzioni di codice che si “collegano” al sito WordPress per aggiungere nuove funzionalità o per estendere quelle esistenti.

Negli ultimi anni, come indicato nel Hacked Website Report annuale di Sucuri, agenzia specializzata nella sicurezza multipiattaforma, WordPress sembrerebbe registrare un tasso crescente per numero di siti web infetti:

• 74% nel 2016
• 83% nel 2017
• 90% nel 2018
• 94% nel 2019

La situazione nel 2020 non sembra migliorare, con il verificarsi di numerose vulnerabilità di plugin già a partire da Gennaio 2020.

WordPress non è sicuro? Quali sono le cause?

La protezione di WordPress è una tematica molto discussa, in quanto, come accennato, WordPress è costantemente preda di operazioni di hackeraggio che minano la serenità dei titolari di siti web e aziende. 

Tra le cause più comuni di un attacco hacker su un sito WP troviamo ad esempio:

• Password Non Sicure. Le password sicure sono necessarie non solo per il vostro account admin WordPress, ma per tutti gli utenti e gli aspetti del vostro sito.
• Hosting vulnerabile. Negli ultimi anni il 41% dei siti web hackerati lo è stato per una vulnerabilità a livello hosting. Pertanto è sicuramente buona norma acquistare uno spazio su un hosting di qualità, capace di garantire affidabilità rispetto al traffico sospetto verificando l’esistenza di server condivisi e server dedicati.
• Software Non Aggiornato. Gli aggiornamenti della piattaforma, dei suoi temi e dei plugin, spesso contengono una serie di bug di sicurezza importati dalla versione precedente del software, che costituiscono una porta facile d’ingresso agli hacker. 
• Codice Non sicuro. Plugin e temi provenienti da fonti non attendibili potrebbero introdurre vulnerabilità al vostro sito. Quando scegliete o acquistate un plugin assicuratevi di controllare la reputazione del fornitore e di ottenere consigli da persone e fonti di cui vi fidate.

Sito WordPress hackerato? Ecco le spie più comuni di violazione del sito web.

Non sempre è facile accorgersi del fatto che il nostro sito web è stato “bucato” o più comunemente violato. Molto spesso gli hacker non lasciano tracce visibili dei loro misfatti e possono passare anche settimane o mesi prima che ci si accorga di un sito web hackerato.

Vediamo alcuni campanelli d’allarme:

• Alterazione del contenuto della Homepage
• Il sito WordPress reindirizza ad un altro sito web
• Impossibilità di loggarsi nell’area riservata
• Presenza di pagine in lingue diverse da quella del proprio sito
• Crollo delle visite
• Impossibilità improvvisa di inviare e ricevere mail dal nostro dominio
• Rallentamento del sito web

Più velocemente notiamo i segni di una violazione del sito, più velocemente riusciremo a ripulirlo. Quanto più velocemente riusciremo a ripulire il tuo sito, minore sarà il danno che l’hacker avrà causato.

Esistono alcuni strumenti utili per effettuare i primi controlli e verificare se il proprio sito web è stato infettato o hackerato, ad esempio:

• Strumento di diagnostica di Google
• Ricerca di pagine anomale indicizzate nel motore di ricerca
• Analisi con Google Search Console
• Verifica di file indesiderati presenti nello spazio hosting del sito web
• Analisi dei link nascosti

Se scopriamo che il nostro sito è stato hackerato è necessario agire tempestivamente.

Come mettere in sicurezza WordPress: alcune best practice

1. Aggiornare Plugin e Temi. È importante farlo prima di tentare qualsiasi altra correzione, perché se un plugin o un tema sta rendendo il sito vulnerabile, eventuali correzioni potrebbero essere annullate dalla vulnerabilità in corso. Quindi prima di procedere assicuratevi che tutto sia stato aggiornato.  
2. Mettere il Sito in Modalità di Manutenzione con plugin come Coming Soon Page & Maintenance Mode, che permetterà ai visitatori di visualizzare una versione programmata di un sito in manutenzione e non compromesso, invece di un sito in riparazione a causa di un hack. 
3. Reimpostare le Password. Poiché non sapete quale password è stata usata per accedere al vostro sito, è importante generarne di nuove. 
4. Scansionare il sito web con Wordfence Security e rilevare eventuali file estranei. Wordfence è un plugin WordPress, disponibile nelle versioni Free e Premium, che presenta una serie di funzionalità molto interessanti per tenere sotto controllo il traffico delle tue pagine web, per bloccare eventuali utenti sospetti e anche per migliorare la performance del tuo sito. Le impostazioni di sicurezza sono complesse ed inoltre, la versione Premium prevede aggiornamenti in tempo reale, mentre quella free solo ogni 30 giorni, pertanto è consigliabile richiedere il supporto nella configurazione di un tecnico specializzato.
5. Pulizia del Database. Ripulire il vostro database è una buona idea: un database pulito avrà meno dati stantii e occuperà meno spazio, rendendo il vostro sito più veloce. 

WordPress e sicurezza: fattore fondamentale per la brand reputation

Mettere in sicurezza un sito web diventa quindi un requisito fondamentale sotto tutti i fronti per chi intende fare marketing online: un sito web non sicuro, infatti, può causare gravi disagi in termini di reputazione aziendale o furto di dati sensibili (Data Breach). Da un lato, l’introduzione di link e pagine di dubbia natura può causare una user experience spiacevole e non funzionale, la perdita di visite e utenti che non trovano risposte alle loro ricerche, oltrechè declinare Google verso contenuti inappropriati mettendo in discussione anche il posizionamento organico del sito web, magari ottenuto dopo numerose attività e investimenti. Un sito web in blacklist infatti può perdere fino al 95% del posizionamento organico. Dall’altro, l’hackeraggio dei dati sensibili degli utenti è sicuramente un danno ingente, soprattutto data l’elevata attenzione degli ultimi anni per la privacy e il trattamento dei dati.

Secondo InternetLiveStats oltre 100.000 siti web vengono violati ogni giorno.

Per questo, intervenire nella risoluzione delle problematiche dovute alle costanti vulnerabilità dei plugin di WordPress non è di certo una passeggiata ed è spesso necessario rivolgersi ad un’agenzia web specializzata in grado di fornire una consulenza professionale sulla fattibilità dell’operazione.

Serve aiuto? Non esitare a contattarci.