Guida · Webmaster
Mettere in sicurezza WordPress: cosa fare in dieci minuti, in un pomeriggio, poi ogni settimana.
Il primo gruppo di controlli lo fai oggi, anche dal telefono. Il secondo chiede un pomeriggio. Il terzo diventa un'abitudine, e tiene il sito al sicuro nel tempo.
Vuoi che controlli io il tuo WordPress? Scrivimi.
ScrivimiPerché farlo adesso
WordPress è il sistema più usato al mondo per fare siti, e per questo il più studiato da chi li attacca. Nel 2025 nei suoi componenti sono state scoperte 11.334 falle, il 42% in più dell'anno prima. Nove su dieci stavano nei plugin.
Conta anche la velocità. Circa metà delle falle più gravi viene sfruttata entro 24 ore dalla notizia: programmi automatici cercano i siti rimasti indietro e ci provano, uno dopo l'altro. Un sito curato esce da quella lista.
Preferisci che se ne occupi qualcun altro? Parliamone.
ScrivimiIn dieci minuti, anche dal telefono
Verifica in due passaggi sull'hosting e sull'email
Il pannello dell’hosting apre tutti i file del sito, e la casella email collegata riceve i link per cambiare le password. Con la verifica attiva, a chi ruba una password serve anche il tuo telefono.
Una password diversa per ogni accesso
WordPress, hosting, FTP, email: ognuno con la sua, custodita in un gestore di password invece che nel browser.
Gli amministratori, solo quelli che servono
In Utenti, su WordPress, il ruolo di Amministratore resta a chi gestisce il sito. Chi scrive gli articoli lavora come Autore o Editore. Gli account di chi ha finito di collaborare si cancellano.
In un pomeriggio
Plugin: tieni solo quelli che usi
Disattivare un plugin lascia il suo codice sul server, eliminarlo lo toglie. Per quelli che restano, guarda sulla loro pagina di WordPress.org la data dell’ultimo aggiornamento: un plugin fermo da più di un anno va sostituito.
Verifica in due passaggi anche su WordPress
Un plugin dedicato la aggiunge alla pagina di accesso, per te e per gli altri amministratori.
Tentativi di accesso limitati
Di base WordPress lascia provare password all’infinito. Con un tetto ai tentativi si fermano i programmi che le provano a migliaia.
Un backup fuori dal server, provato
Una copia completa di file e database su un computer o su uno spazio esterno. Ripristinala una volta su una copia del sito: così sai che funziona.
PHP 8.3 o successivo
PHP è il linguaggio su cui gira WordPress, e la versione si sceglie dal pannello dell’hosting. La 8.2 riceve correzioni di sicurezza fino al 31 dicembre 2026. Prima di cambiarla, aggiorna tema e plugin.
Modifica dei file dalla bacheca, spenta
Una riga nel file wp-config.php, define('DISALLOW_FILE_EDIT', true), toglie l’editor dei file dalla bacheca. Chi entra con una password rubata trova una porta in meno.
Cloudflare davanti al sito
Anche con il piano gratuito filtra il traffico malevolo prima che arrivi al server.
Un allarme su Search Console
Una proprietà a Dominio ti scrive appena qualcuno prova a verificarsi come proprietario del sito.
Cos'è Cloudflare e cosa fa lo trovi in cos'è Cloudflare.
Poi ogni settimana
Gli aggiornamenti di sicurezza, entro pochi giorni dall'uscita, con una copia del sito prima. L'ordine giusto è in aggiornare WordPress con il sito sempre al sicuro.
Ogni mese aggiungi tre controlli: la prova del backup, l'elenco degli utenti, i plugin con aggiornamenti fermi. Bastano venti minuti.
Oppure se ne occupa qualcun altro
Sui siti WordPress che seguo come webmaster questo lavoro lo faccio io. Gli aggiornamenti di sicurezza li installo entro 48 ore lavorative dall'uscita, dopo una copia completa del sito.
La strada che toglie anche l'abitudine
Tutti questi controlli proteggono un programma che resta acceso giorno e notte. Per il sito di un'attività o di un professionista c'è un'alternativa: trasformarlo in un sito statico, fatto di pagine già pronte. Login, database e plugin escono dal server, e con loro quasi tutta questa lista.
Il sito può restare identico a oggi, oppure rinnovato.
Come funzionaDomande frequenti
Basta un plugin di sicurezza?
Aiuta, e copre una parte del lavoro: blocca tentativi di accesso e traffico sospetto. Aggiornamenti, password e backup restano da fare. Nel caso che racconto nella guida sul sito hackerato, due plugin di sicurezza attivi sono rimasti in silenzio: l'intruso era entrato con la password del pannello dell'hosting.
Disattivare un plugin basta?
Il codice di un plugin disattivato resta sul server, e una sua falla resta raggiungibile. Eliminalo: se un giorno ti serve, si reinstalla in un minuto.
Quale versione di PHP devo usare?
La 8.3 o una successiva. La 8.2 riceve correzioni di sicurezza fino al 31 dicembre 2026, le versioni precedenti sono già ferme. Se serve, lo stesso menu del pannello dell'hosting ti riporta alla versione di prima in un attimo.
Anche la tua idea
merita questa cura.