I 10 principali problemi di sicurezza di WordPress e come risolverli

Come precauzione generale, scarica sempre la versione più recente di temi e plug-in da una risorsa attendibile per assicurarti che il plug-in o il tema non apra una nuova scappatoia di sicurezza nel tuo sito.

I non-così-fondamentali

Ora che hai compreso le basi della sicurezza di WordPress, è il momento di dare un'occhiata ai seguenti suggerimenti avanzati per rafforzare la sicurezza dei tuoi siti web.

SUGGERIMENTO 8: prevenire le iniezioni SQL e l'hacking degli URL

Le SQL injection sono attacchi in cui gli aggressori incorporano comandi SQL in varie aree dei siti Web (in particolare la casella dei commenti e le aree di testo). Questi comandi possono compromettere il database SQL e potrebbero rivelare informazioni riservate memorizzate nel database.

La modifica dell'URL aggiungendo istruzioni PHP è un'altra potenziale minaccia alla sicurezza di WordPress in cui gli aggressori possono innescare attacchi al database e ad altri componenti del sito web.

La maggior parte dei siti Web WordPress è ospitata su un server Apache che ha un trucco intelligente per contrastare questi attacchi. Tutti i server Apache hanno un file .htaccess che definisce le regole di accesso al sito.

Per ridurre l'incidenza di SQL injection e URL hacking, aggiungi il seguente codice al file .htaccess per stabilire una serie di regole efficaci.

 <IfModule mod_rewrite.c>
Riscrivi motore acceso
Riscrivi Base /
RiscriviCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
RewriteRule ^(.*)$ - [F,L]
RiscriviCond %{QUERY_STRING} \.\.\/ [NC,OR]
RiscriviCond %{QUERY_STRING} boot\.ini [NC,OR]
RiscriviCond %{QUERY_STRING} tag\= [NC,OR]
RiscriviCond %{QUERY_STRING} ftp\: [NC,OR]
RiscriviCond %{QUERY_STRING} http\: [NC,OR]
RiscriviCond %{QUERY_STRING} https\: [NC,OR]
RiscriviCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RiscriviCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]
RiscriviCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RiscriviCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|e|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR ]
RiscriviCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RiscriviCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|dichiara).* [NC]
RiscriviCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$
RewriteRule ^(.*)$ - [F,L]
</IfModule>

Come puoi vedere, il codice "sanifica" i dati che vanno nei campi di input. Inoltre, tutti questi input vengono trattati come una stringa anziché come un'istruzione di query SQL.

SUGGERIMENTO 9: nega l'accesso ai file sensibili in WordPress

Un'installazione di WordPress contiene diversi file sensibili, come i file wp-config.php , install.php e readme.html . Questi file devono essere tenuti nascosti da qualsiasi accesso esterno.

Ancora una volta, .htaccess è il tuo migliore amico. Puoi aggiungere le seguenti righe al file per evitare che file importanti vengano cancellati. Il seguente frammento di codice impedisce inoltre l'accesso agli elenchi delle directory degli utenti e nasconde server sensibili e file WordPress da accessi non autorizzati.

 Opzioni Tutti -Indici

<file .htaccess>
Ordina consentire, negare
Negato da tutti
</files>

<file readme.html>
Ordina consentire, negare
Negato da tutti
</files>

<file licenza.txt>
Ordina consentire, negare
Negato da tutti
</files>

<file install.php>
Ordina consentire, negare
Negato da tutti
</files>

<file wp-config.php>
Ordina consentire, negare
Negato da tutti
</files>

<file error_log>
Ordina consentire, negare
Negato da tutti
</files>

<files fantastico_fileslist.txt>
Ordina consentire, negare
Negato da tutti
</files>

<files fanversion.php>
Ordina consentire, negare
Negato da tutti
</files>

Se desideri approfondire l'uso del file .htaccess per ottimizzare il tuo WordPress, ecco una descrizione dettagliata del file WordPress .htaccess.

SUGGERIMENTO n. 10: modificare il prefisso predefinito per il database

Nascondi versione WordPress : per impostazione predefinita, WordPress aggiunge automaticamente il numero della versione corrente alla sezione principale dei temi. Un ottimo consiglio per la sicurezza è quello di non mostrare MAI pubblicamente la versione di WordPress, semplicemente perché gli aggressori possono lanciare attacchi contro tutte le vulnerabilità note della versione menzionata nell'intestazione.

La seguente semplice riga di codice dovrebbe essere inclusa nel file functions.php del tuo tema per nascondere le versioni di WordPress.

 remove_action( 'wp_head', 'wp_generator' );

Modifica il prefisso WordPress predefinito per il database : tutte le tabelle in un database WordPress hanno nomi che iniziano con il prefisso Anche se questa sembra essere una grande funzionalità, per gli hacker di WordPress, questo semplifica notevolmente le cose rimuovendo alcune delle congetture.

Un utente può limitare questa prevedibilità modificando il prefisso WordPress predefinito delle tabelle del database utente durante l'installazione di WordPress. Questo può essere fatto anche per i siti web già attivi manipolando i database degli utenti in diversi punti. Consiglio di utilizzare uno dei migliori plug-in di sicurezza di WordPress che implementano una serie di difese per il sito Web di WordPress.

Cloudways aiuta a proteggere i siti WordPress

Dopo questa guida dettagliata alla protezione dei siti Web WordPress, vale la pena ricordare che WordPress non può essere protetto da solo. Gli utenti di WordPress dovrebbero anche optare per un ambiente di hosting sicuro che offra un ambiente sicuro per il sito web.

Ecco come Cloudways fornisce un ambiente di hosting WordPress sicuro.

• Infrastruttura cloud di prima classe : Cloudways ha stretto una partnership con fornitori di infrastrutture cloud di prim'ordine che hanno la sicurezza come preoccupazione principale. L'hosting di un sito WordPress sul cloud garantisce un alto livello di sicurezza.
• Firewall : tutti i server avviati tramite Cloudways sono dotati di un firewall preinstallato che funge da prima linea di difesa del sito web.
• Monitoraggio del server : il monitoraggio di un server aiuta a identificare picchi di traffico elevati imprevisti che possono compromettere il funzionamento del sito Web.
• Bot Protection: Bot Protection mira a identificare e bloccare il traffico dannoso, proteggere da attacchi come attacchi Dictionary, Web Scraping e attacchi Brute Force. Aiuta anche a ridurre l'utilizzo delle risorse del server per le applicazioni WordPress. Questi attacchi sono mirati a ottenere l'accesso non autorizzato al tuo sito Web o a sopraffarlo, ma Bot Protection monitora tutte queste attività e blocca in modo proattivo al rilevamento.
• Accesso SSH e SFTP : molti provider di hosting utilizzano ancora FTP per accedere ai file. Tuttavia, con Cloudways SFTP (Secure File Transfer Protocol) la tua connessione è crittografata e sicura. Se più team stanno lavorando a un progetto ospitato su un server, è possibile assegnare loro l'accesso a una particolare applicazione anziché all'intero server.
• Sistema operativo e applicazioni aggiornati : gli esperti di Cloudways tengono d'occhio le ultime versioni e ne garantiscono la disponibilità dopo i test di stabilità e compatibilità.
• Credenziali generate casualmente : tutte le applicazioni avviate tramite Cloudways hanno credenziali generate casualmente predefinite che sono difficili da indovinare.
• Backup : in caso di disastro, il backup del sito è la soluzione migliore per un ripristino di emergenza più rapido. È possibile impostare la frequenza di backup a partire da un'ora.
• Certificato SSL gratuito : Cloudways fornisce un'installazione del certificato SSL con un clic con una funzione di rinnovo automatico.
• Ambiente di staging gratuito: Cloudways offre un ambiente di staging gratuito di WordPress per assicurarsi che tutto continui a funzionare come previsto.
• Assistenza live chat 24 ore su 24, 7 giorni su 7 : sei ancora preoccupato per la sicurezza e le prestazioni del server? Il supporto Cloudways è sempre disponibile 24 ore su 24.
• Supporto telefonico: questo è l'addon di supporto premium se hai bisogno di assistenza che puoi anche contattare e il nostro ingegnere senior risponde direttamente in qualsiasi momento.

Domande frequenti

D: Come posso risolvere WordPress non sicuro?

A: Segui questa guida e vedi tutti i punti che ho menzionato, spero che ti aiuti molto.

D: Devo utilizzare un certificato SSL per proteggere il mio sito Web WordPress?

R: Sì, dovresti, la maggior parte delle società di hosting offre un certificato SSL gratuito con un clic.

D: WordPress ha problemi di sicurezza?

R: WordPress è il Content Management System (CMS) più utilizzato oggi. Con l'aiuto di numerosi temi e plug-in, è possibile personalizzare facilmente il proprio sito Web in base ai propri gusti e preferenze. Tuttavia, la sicurezza di WordPress è uno dei problemi principali che preoccupa molti.

Linea di fondo

I suggerimenti per la sicurezza di WordPress garantiscono un sito Web efficace e sicuro. Tuttavia, molte persone dimenticano che difendere un sito Web WordPress è un processo continuo che richiede un'attenzione continua di fronte ai nuovi strumenti e trucchi che emergono nel cyberspazio.

Consiglio vivamente agli utenti di WordPress di tenere un registro di ciò che è accaduto su WordPress utilizzando un plug-in di controllo della sicurezza e utilizzare il plug-in di sicurezza WordPress preferito che rafforza l'ambiente WordPress contro le minacce alla sicurezza.

Sentiti libero di aggiungere se pensi che mi sia perso qualcosa. Lo aggiungerò alla lista al più presto. Se hai domande, pubblicale nei commenti qui sotto.