Sicurezza di WordPress: la guida completa Suggerimenti, considerazioni ed idee per difendersi dagli attacchi informatici sul proprio sito

<span class="entry-title-primary">Sicurezza di WordPress: la guida completa</span> <span class="entry-subtitle">Suggerimenti, considerazioni ed idee per difendersi dagli attacchi informatici sul proprio sito</span>

Rimuovere o rinominare alcune utenze. Ci sono anche degli accorgimenti ulteriori per migliorare la sicurezza di WP: ad esempio, è buona norma abbassare i privilegi dell’utente admin o rimuoverlo del tutto, perchè se avete scelto una password banale per l’amministratore potreste essere soggetti ad attacchi “a dizionario” (per tentativi automatizzati, in pratica), ed il rischio è che l’attaccante possa prendere il controllo del vostro sito.Se cambiate il ruolo di admin in sottoscrittore (si fa da wp-admin/users.php), di fatto, ridurrete di molto il rischio di abusi futuri, anche se – almeno in teoria – il nome utente amministratore resta comunque rilevabile con altre tecniche. Non illudetevi di diventare degli esperti di sicurezza informatica solo per questo, quindi.

Se siamo vittime di un certo tipo di SQL poisoning, ad esempio, queste contromisure diventano ancora una volta del tutto irrilevanti. Non voglio fare terrorismo psicologico su questi argomenti, ma è necessario sapere che tutte le contromisure che prendiamo servono a ridurre la possibilità di defacciamento e furto di dati, ma non potranno mai eliminarli del tutto. Questi accorgimenti servono più che altro a personalizzare il sito e renderlo meno attaccabile, un po’ come dire che le vitamine C aiutano l’organismo, certo, ma non ci immunizzano dai rischi influenza.

(Maledetti) Plugin! Nella mia esperienza sono i plugin di WordPress, in molti casi, a dare la maggioranza dei problemi di sicurezza: basti pensare alle falle di cui ho parlato in questi mesi sul blog, come quella di Slider Revolution Plugin, Video Gallery WordPress, Theme My Login, WordPress Pods e la lista potrebbe proseguire per molte altre righe. Certo, si tratta di falle corrette nel frattempo, ma su diversi siti in WordPress abbandonati o poco aggiornati potrebbero essere sfruttabili per molti anni. Da un punto di vista statistico, in effetti, basta installare meno plugin possibile per ridurre un (bel) po’ le possibilità di un attacco, e ricorrere alle sane (anche se più faticose) personalizzazioni per ottenere l’effetto desiderato. Se un plugin sono aggiornati spesso e seguiti dalla community problemi non dovreste averne, e nella maggioranza dei casi basta installare quelli della lista dei migliori plugin di WP per non avere problemi. Ad ogni modo è bene sapere che per togliere di mezzo un plugin difettoso o problematico per la sicurezza basta semplicemente cancellarlo dalla cartella /wp-content/plugins via FTP o meglio ancora SSH.

Sicurezza del database, e file di configurazione wp-config.php Difendersi da XSS (introduzione di codice arbitrario dall’esterno) e SQL poisoning (introduzione di query in lettura/scrittura sul nostro sito) mediante scalata di privilegi (cioè senza conoscere le password di accesso) può essere molto complesso e fuori dalla nostra portata: WordPress cura molto questo aspetto versione dopo versione, ma non c’è un modo per preservarsi dal rischio al 100%. Una delle tecniche principali è quella di cambiare il suffisso delle tabelle del DB (di norma è wp_) in qualcosa di casuale: questo perchè molti attacchi danno per scontato che esista quel prefisso, e cambiarlo ci mette al sicuro da molti pericoli. Attenzione, pero’, che bisogna aggiornare anche il wp-config.php di conseguenza, altrimenti WP non funzionerà più.

VI suggerisco inoltre di leggere l’articolo sui settaggi base e sui settaggi avanzati del file wp-config.php, che descrive nel dettaglio come potenziare ancora di più la sicurezza delle sessioni e dei cookie, per limitare abusi in tal senso.

Suggerimento per la sicurezza: cambiare i path di accesso al sito Inoltre può essere opportuno modificare il path wp-admin, in modo da evitare attacchi manuali o automatizzati al vostro form di login, anche se in questo caso dovrete ricordare il nuovo path di accesso. Per farlo si agisce sulla variabile di sistema WP_ADMIN_DIR come spiegato nell’articolo: si può fare anche modificando il file .htaccess ma, in questo caso, è necessario controllare i permessi CHMOD ed è meglio non farlo da qui, in generale, dato che il file potrebbe essere leggibile dall’esterno senza login.

Una lista di misure di sicurezza ulteriori potrebbe essere la seguente:

  • attivare SSL sul login di WordPress (serve un certificato software a pagamento per farlo);
  • attivare misure di ban dopo un certo numero di tentativi di login;
  • cancellare i file che contengono informazioni sulla versione corrente (molti plugin per la sicurezza permettono di farlo);
  • assicurarsi di avere credenziali di accesso al PHPMyAdmin e all’account FTP robuste (password difficili da indovinare);
  • disabilitare le modifiche al codice dei plugin e del theme via interfaccia amministrativa (basta la direttiva DISALLOW_FILE_EDIT su true nel file wp-config.php, e serve anche ad evitare danni involontari da parte degli “utonti” poco esperti)
  • evitare di divulgare credenziali di accesso al sito via email, o almeno cambiarle periodicamente;
  • tenere attivo un log sul sito per verificare e registrare eventuali accessi illeciti o ripetuti (serve un sistemista per verificarlo a dovere).

Le misure di fatto poco o per nulla utili sono le seguenti:

  • inibire l’accesso ai file PHP sensibili (come ad esempio wp-config.php) via direttive apposite sul file htaccess, perchè comunque per leggere il contenuto del file in questione serve una connessione FTP;
  • pensare “tanto a me figurati se succede“.

Di seguito riporto una lista di plugin per la sicurezza in WordPress.

0 voti


Informazioni sull'autore

Salvatore Capolupo

Consulente SEO, ingegnere informatico e fondatore di Trovalost.it, Pagare.online, Lipercubo.it e tanti altri. Di solito passo inosservato e non ne approfitto.