Cosa fare se il tuo sito WordPress è stato hackerato
Se sospetti o hai conferma che il tuo sito WordPress è stato compromesso, segui questi passi immediati:
1. Metti il sito in modalità offline o di manutenzione
Appena ti rendi conto che qualcosa non va, è importante mettere il sito offline. Puoi farlo tramite il tuo provider di hosting o utilizzando un plugin di manutenzione. Questo evita che i visitatori accedano a contenuti infetti o a potenziali malware.
2. Cambia tutte le password
Aggiorna subito tutte le password legate al sito:
- Password di amministratore di WordPress
- Accesso FTP e database
- Pannello di controllo del tuo hosting (cPanel o simili)
Usa password lunghe e complesse che includano numeri, lettere maiuscole e caratteri speciali.
3. Esegui una scansione completa del sito
Usa uno strumento di sicurezza come Wordfence, Sucuri o iThemes Security per eseguire una scansione approfondita del sito e identificare file infetti o compromessi. Questi strumenti possono rilevare malware, codice malevolo e altri segnali di compromissione.
4. Ripristina un backup pulito
Se hai backup regolari (e dovresti!), ripristina una versione del tuo sito che sai essere pulita. Assicurati che il backup sia precedente all’attacco. Molti provider di hosting offrono servizi di backup automatici: controlla se hai accesso a una copia del sito.
5. Rimuovi i file infetti
Se non hai un backup o preferisci risolvere senza ripristinare tutto, elimina manualmente i file infetti o sostituiscili con versioni pulite. Segui le indicazioni fornite dai plugin di sicurezza o dal tuo servizio di hosting, che potrebbero aiutarti a identificare i file sospetti.
6. Aggiorna WordPress, plugin e temi
Gli hacker spesso sfruttano vulnerabilità in versioni obsolete di WordPress, plugin o temi. Dopo aver rimosso i file compromessi, aggiorna tutto all’ultima versione disponibile. Verifica che anche i plugin e i temi che non usi più siano rimossi dal tuo sito.
7. Controlla i permessi dei file
Assicurati che i permessi di file e cartelle siano configurati correttamente. Per esempio, la cartella wp-content dovrebbe avere permessi 755, mentre i file all’interno 644. Questo aiuta a evitare che file critici possano essere modificati dagli hacker.
8. Monitora il sito costantemente
Dopo aver ripulito il sito, continua a monitorarlo per un po’ di tempo per verificare che tutto sia tornato alla normalità. Utilizza strumenti di monitoraggio per essere avvisato in caso di futuri tentativi di attacco.
Le migliori pratiche di sicurezza per WordPress e WooCommerce
Ora che hai risolto il problema, vediamo come prevenire future compromissioni del tuo sito. Proteggere WordPress e WooCommerce non è complicato, basta adottare alcune semplici misure di sicurezza.
1. Aggiorna regolarmente WordPress, plugin e temi
Mantenere il tuo sito aggiornato è la prima linea di difesa contro gli hacker. Ogni aggiornamento di WordPress e dei plugin include correzioni di vulnerabilità. Configura aggiornamenti automatici per evitare dimenticanze.
2. Usa solo plugin e temi sicuri e affidabili
Scarica plugin e temi solo da fonti affidabili, come il repository ufficiale di WordPress o sviluppatori di fiducia. Evita di installare plugin non necessari: meno ne hai, meno opportunità hanno gli hacker di trovare falle nel tuo sito.
3. Utilizza una password forte e abilita l’autenticazione a due fattori (2FA)
Non usare mai password semplici come “admin” o “123456”. Le password devono essere lunghe e complesse. Inoltre, abilita l’autenticazione a due fattori (2FA) per aggiungere un ulteriore livello di sicurezza durante il login.
4. Limita i tentativi di login
Utilizza un plugin come Limit Login Attempts per limitare il numero di tentativi di accesso falliti. Questo protegge il sito dagli attacchi a forza bruta, in cui gli hacker provano a indovinare la tua password.
5. Esegui backup regolari del sito
I backup sono una polizza assicurativa. Se il tuo sito viene compromesso, puoi sempre ripristinarlo rapidamente con un backup pulito. Utilizza plugin come UpdraftPlus o BackupBuddy per creare backup regolari e automatici.
6. Proteggi il file wp-config.php
Il file wp-config.php contiene informazioni sensibili, come le credenziali del database. Puoi aggiungere un ulteriore livello di protezione spostando il file fuori dalla directory principale o limitando l’accesso tramite le regole .htaccess.
7. Usa un certificato SSL
Un certificato SSL cripta le informazioni trasmesse tra il browser dell’utente e il server, rendendo molto più difficile per gli hacker intercettare dati sensibili. Inoltre, Google premia i siti che utilizzano SSL migliorando il loro posizionamento nei risultati di ricerca.
8. Monitora il sito con strumenti di sicurezza
Installa e configura un plugin di sicurezza come Wordfence o Sucuri per monitorare il tuo sito, eseguire scansioni periodiche e avvisarti di attività sospette. Questi strumenti possono anche bloccare indirizzi IP noti per attività dannose.
9. Disattiva l’editor dei file WordPress
WordPress ha un editor integrato che consente di modificare i file del tema direttamente dal pannello di amministrazione. Se un hacker ottiene l’accesso, potrebbe sfruttarlo per iniettare codice maligno. Disattiva questa funzione aggiungendo questa riga al file wp-config.php:
define('DISALLOW_FILE_EDIT', true);Conclusione
Avere il proprio sito WordPress hackerato può essere un’esperienza stressante, ma con i giusti passi puoi risolvere la situazione e prevenire futuri attacchi. La sicurezza non è qualcosa che puoi ignorare: aggiornare regolarmente, proteggere le password e utilizzare plugin affidabili sono solo alcune delle strategie che possono fare la differenza.
Adottando queste pratiche di sicurezza, sarai in grado di gestire il tuo sito WordPress o WooCommerce in modo più sicuro e sereno. Se non ti senti sicuro nel farlo da solo, valuta l’idea di rivolgerti a un esperto di sicurezza web per una protezione professionale e completa.
