Minore superficie esposta
Rimuoviamo componenti inutili e limitiamo funzioni che non servono al sito.
Messa in sicurezza WordPress
Rafforza WordPress prima che un problema diventi un’emergenza
Analizziamo installazione, utenti, plugin, tema e infrastruttura per ridurre la superficie esposta, proteggere gli accessi e rendere il sito più semplice da mantenere.
- Controllo di WordPress, plugin e tema
- Verifica di utenti, ruoli e credenziali
- Aggiornamenti e configurazioni di sicurezza
- Backup, controlli e manutenzione periodica
Accessi più controllati
Utenti, ruoli e credenziali vengono ricondotti alle necessità operative.
Manutenzione sostenibile
Una base più ordinata rende aggiornamenti e verifiche meno rischiosi.
Perché intervenire
Un sito apparentemente funzionante può avere criticità non visibili
Plugin non mantenuti, account dimenticati, versioni obsolete e backup mai verificati possono aumentare il rischio senza produrre subito un errore evidente.
Plugin obsoleti
Componenti non aggiornati o non più mantenuti possono esporre vulnerabilità note.
Account non controllati
Vecchi collaboratori, utenze tecniche e amministratori possono conservare accessi non più necessari.
Personalizzazioni sconosciute
Codice aggiunto nel tempo può non essere documentato, aggiornato o compatibile.
Backup non verificati
La presenza di una copia non garantisce che sia completa, recente e realmente ripristinabile.
Verifica iniziale
Cosa analizziamo prima di modificare WordPress
L’intervento parte dalla raccolta delle versioni, dei componenti installati e delle caratteristiche dell’ambiente.
WordPress
Versione del nucleo, configurazioni, modalità di aggiornamento e funzioni attive.
Plugin e tema
Versioni, provenienza, stato di manutenzione e compatibilità.
Utenti
Account amministrativi, ruoli, privilegi e utenze non più utilizzate.
Hosting e server
Versione PHP, web server, database, permessi e risorse disponibili.
Aggiornamenti controllati
Aggiornare è necessario, ma deve essere fatto con metodo
Una nuova versione può correggere vulnerabilità, ma anche generare incompatibilità con plugin, tema e codice personalizzato.
Controllo delle versioni
Verifichiamo aggiornamenti disponibili, requisiti tecnici e dipendenze tra i componenti.
Ambiente di prova
Quando necessario, gli aggiornamenti vengono verificati su una copia separata del sito.
Backup preliminare
File e database vengono copiati prima degli interventi rilevanti.
Test del sito
Pagine, form, accessi e funzioni principali vengono controllati dopo l’aggiornamento.
Plugin e temi
Meno componenti inutili, meno codice da mantenere
Ogni plugin e tema aggiunge dipendenze, aggiornamenti e possibili punti deboli. La loro presenza deve avere una funzione precisa.
Componenti necessari
Conserviamo plugin e temi che svolgono funzioni realmente utilizzate.
Componenti inutilizzati
Plugin e temi inattivi possono essere rimossi dopo averne verificato le dipendenze.
Componenti abbandonati
Soluzioni non più mantenute devono essere sostituite o escluse dal progetto.
Provenienza affidabile
Evitiamo componenti provenienti da fonti non verificabili o distribuiti senza aggiornamenti.
Protezione degli accessi
Ogni account deve avere solo i privilegi realmente necessari
Gli accessi amministrativi richiedono maggiore protezione rispetto agli utenti che devono soltanto modificare contenuti.
Revisione degli account
Utenti inattivi, sconosciuti o non più necessari vengono rimossi o disabilitati.
Ruoli limitati
Ogni persona utilizza il ruolo compatibile con le proprie attività.
Credenziali uniche
Le password non devono essere condivise o riutilizzate su servizi differenti.
Autenticazione aggiuntiva
L’autenticazione a più fattori può essere attivata per gli account compatibili.
Tentativi di accesso
L’area amministrativa è continuamente esposta a tentativi automatici
Limitazioni, registrazione degli eventi e autenticazione aggiuntiva possono ridurre il rischio legato a credenziali deboli o sottratte.
Limitazione dei tentativi
Richieste ripetute possono essere rallentate o temporaneamente bloccate.
Registrazione degli accessi
Eventi significativi possono essere conservati per successive verifiche.
Segnalazioni
Comportamenti anomali possono generare avvisi secondo la configurazione adottata.
Accessi amministrativi ridotti
Il numero degli amministratori viene limitato alle persone che ne hanno necessità.
Configurazione WordPress
Disabilitare ciò che non serve riduce le possibilità di abuso
Le modifiche vengono scelte in base alle funzioni utilizzate dal sito, evitando configurazioni standard applicate senza valutarne gli effetti.
Protezione della configurazione
File sensibili, credenziali e impostazioni vengono protetti nel contesto dell’hosting.
Editor dei file
La modifica diretta di plugin e temi dal pannello può essere disabilitata.
Funzioni remote
Servizi e interfacce non utilizzati possono essere limitati o disattivati.
Accesso al database
L’utente applicativo deve disporre soltanto dei privilegi necessari al sito.
File e permessi
WordPress deve poter scrivere soltanto dove è necessario
Permessi e proprietari errati possono consentire a un processo compromesso di modificare più file del necessario.
Proprietari corretti
File e directory vengono associati agli utenti previsti dall’ambiente.
Permessi limitati
Le autorizzazioni vengono ridotte alle esigenze operative.
Directory dei caricamenti
Le aree scrivibili richiedono controlli coerenti con il server utilizzato.
File modificati
Cambiamenti inattesi possono essere registrati o sottoposti a verifica.
Hosting e infrastruttura
La sicurezza di WordPress dipende anche dal server
Una piattaforma aggiornata non compensa un sistema operativo obsoleto, un PHP non mantenuto o accessi tecnici non controllati.
Versioni mantenute
Sistema operativo, PHP, database e web server devono ricevere aggiornamenti.
Servizi esposti
Porte e pannelli devono essere accessibili soltanto quando realmente necessari.
Accessi tecnici
Hosting, SFTP, SSH e database richiedono credenziali separate e controllate.
HTTPS
Il traffico pubblico e l’area amministrativa devono utilizzare connessioni cifrate.
Backup e ripristino
Le copie devono essere separate e controllate
Un incidente può coinvolgere anche i backup presenti sullo stesso hosting: per questo almeno una copia deve essere conservata altrove.
File
WordPress, plugin, tema, immagini e documenti caricati.
Database
Contenuti, utenti, configurazioni e dati utilizzati dal sito.
Copia remota
Almeno una copia viene conservata fuori dall’ambiente principale.
Verifica del recupero
La procedura deve chiarire come riportare online file e database.
Controlli e monitoraggio
Le anomalie devono diventare visibili prima possibile
Disponibilità, errori, accessi e modifiche significative possono essere controllati in base al livello di servizio previsto.
Disponibilità del sito
La risposta delle pagine può essere verificata attraverso controlli automatici.
Log ed errori
Eventi applicativi e segnalazioni del server possono evidenziare comportamenti anomali.
Modifiche ai file
Cambiamenti inattesi possono essere confrontati con lo stato conosciuto del sito.
Avvisi
Gli eventi rilevanti possono produrre notifiche secondo le condizioni configurate.
Manutenzione periodica
La messa in sicurezza non è un intervento eseguito una volta sola
Nuove versioni, nuove vulnerabilità e cambiamenti del sito richiedono controlli ripetuti nel tempo.
Verifiche programmate
Controlli e aggiornamenti possono essere pianificati con una frequenza definita.
Stato dei componenti
Plugin e tema vengono verificati rispetto a versioni e manutenzione.
Revisione degli utenti
Account e privilegi vengono aggiornati quando cambia l’organizzazione.
Controllo dei backup
Esecuzioni, spazio e conservazione delle copie devono essere verificati.
Il sito mostra già anomalie?
La messa in sicurezza preventiva non sostituisce la gestione di un incidente
Reindirizzamenti, pagine sconosciute, utenti estranei o segnalazioni di malware richiedono prima un’attività di contenimento, analisi e pulizia.
Malware WordPress
Se il sito è già infetto, occorre individuare e rimuovere gli elementi malevoli.
Sito hackerato
Quando la tecnologia o l’origine del problema non sono ancora chiare, serve un’analisi più ampia dell’incidente.
Come lavoriamo
Dall’analisi alla verifica finale del sito
Le attività vengono definite in base alla configurazione esistente, alla criticità del sito e agli accessi tecnici disponibili.
Analisi
Raccogliamo versioni, componenti, utenti, configurazioni e caratteristiche dell’hosting.
Messa in sicurezza
Applichiamo gli aggiornamenti e le modifiche concordate a componenti, accessi e configurazioni.
Test e riepilogo
Verifichiamo il sito e riepiloghiamo criticità, attività svolte e interventi futuri.
Valutiamo il tuo WordPress
Quando è stata eseguita l’ultima verifica di sicurezza?
Indicaci dominio, tipologia di hosting, versioni utilizzate, numero approssimativo di plugin e modalità attuale di manutenzione.