WordPress è il CMS più utilizzato e negli anni a venire consoliderà ancora di più il suo primato, lo dicono le statistiche che vedono WordPress utilizzato sul 64% del primo milione di siti. Inoltre il 38% di utilizzatori di altri CMS (Joomla, Drupal, Blogger) stanno migrando verso quello di Matt Mullenweg.

Quando un sistema informatico, in questo caso un CMS di blogging, è molto utilizzato accade, come conseguenza naturale, che diventi anche bersaglio di attacchi o tentativi di violazione mirati a defacciare il sito (cambiare la homepage con una a firma dell’hacker) o a rubare dati presenti nel Database.

Come prevenire tutto ciò? Ci sono tante piccole operazioni e accortezze da tenere presente per mettere in sicurezza il vostro sito WordPress. Qui di seguito le più importanti:

• Mantenere aggiornato WordPress e tutti i suoi Plugins e Temi
• Evitare di utilizzare plugins/temi provenienti da fonti non sicure
• Cambiare le impostazioni di default quali il prefisso delle Tabelle o l’utente Admin
• Effettuare Backup periodicamente
• Utilizzare password robuste
• Manutenzione a aggiornamento del Pc

Vediamo come implementarli senza dover combattere tra codici e tecnicismi a volte troppo complicati.

Aggiornamento WordPress

WordPress e tutti i suoi plugins e temi utilizzano un sistema di aggiornamento automatico pertanto mantenere up-to-date il sito è abbastanza facile. E’ importante provvedere sempre a fare gli aggiornamenti quanto prima possibile dal loro rilascio in quanto a volte, se si tratta di patch di sicurezza, potrebbero esserci hacker in azione alla ricerca di siti non ancora aggiornati così da poter sfruttare la vulnerabilità. Quindi aggiornate sempre e comunque!

Plugins/Temi non sicuri

La pratica di usare plugin o temi a pagamento reperiti tramite canali non leciti è ancora abbastanza utilizzata. C’è però da domandarsi se l’opportunità di usare “gratis” un plugin/tema a pagamento sia veramente “gratis”. Chi provvede alla diffusione di tale materiale in chiave free spesso nasconde all’interno del codice o dei banner o delle backdoors così che il sito che lo utilizza possa essere accessibile ai malintenzionati in qualsiasi momento.

O per rubare i dati o per sfruttarlo come “ponte” per attaccare altri nascondendosi dietro il vostro sito. Per verificare che il nostro template non presenti possibili codici malevoli ci viene in aiuto i plugins Antivirus ed Exploit Scanner che consentono analizzare ogni singolo file e record del Database alla ricerca di malware o di funzioni Php tipicamente usate dagli hacker.

Impostazioni default WordPress

Chiunque abbia un minimo di conoscenza di WordPress, anche solo come utilizzatore, avrà imparato che la struttura di questo CMS è ben definita. Ci sono le tre cartelle wp-content, wp-includes, wp-admin e altri “punti di riferimento” noti come il prefisso delle tabelle “wp_”, l’utente “admin” e via dicendo. Sono tutte informazioni che rendono il WordPress, come anche tutti gli altri CMS, riconoscibile da pochi semplici check pertanto, dove possibile, è bene andare a cambiare le impostazioni di base.

In questo caso il plugin da utilizzare è Wp Security Scan che permette di attuare tutta una serie di modifiche alla configurazione di default del WordPress: cambia il prefisso della tabella, rimuove i meta tag che rivelano l’utilizzo del WordPress, permette di proteggere il login all’area Admin e altre utili operazioni per la messa in sicurezza di WordPress.

Backup

La pratica di effettuare un backup dello spazio o del Db non è ancora abbastanza diffusa ma spesso è l’ultima nostra “ancora di salvataggio” quando si subiscono attacchi hacker. Il consiglio è quindi di schedulare un backup periodico del Db e dello spazio così da avere una copia quanto più aggiornata in caso di spiacevoli inconvenienti.

Password Robuste

L’utilizzo di password robuste, per quanto a volte possono essere difficili da ricordare, garantisce di per sé una sicurezza in più in quanto rende difficile l’esecuzione di attacchi brute force. Per prevenire questi attacchi utilizzate quindi password alfanumeriche di almeno 8 caratteri e, per una maggiore sicurezza ancora, potete applicare il plugin User Locker che blocca l’account dopo un numero definito di tentativi di login falliti.

Postazione di Lavoro

Attivare le misure di sicurezza sul nostro sito in WordPress è una pratica che permette di prevenire da possibili attacchi Web. Molti però non sanno che spesso gli attacchi vengono eseguiti bypassando l’interno CMS ed utilizzando direttamente i dati di accesso ftp al nostro spazio Web. Come è possibile? I malware in circolazione mirano sempre di più alla sottrazione di dati sensibili (account social, mail, ftp; carte di credito, etc) e pertanto spesso emerge che gli attacchi vengono effettuati via Ftp. Per tale motivo oltre alla messa in sicurezza è necessario utilizzare i medesimi accorgimenti anche per il PC con il quale si lavora installando e mantenendo aggiornato l’Antivirus e, sarebbe consigliato, affiancarlo con un Anti Malware.

Spam

Un’altro dei grandi problemi dei blog è lo spam sui commenti. Come detto in precedenza trattandosi di un CMS con una struttura nota e open gli spammers hanno creato tool ad hoc per “bombardare” di messaggi spam quanti più siti possibili. Per prevenire ondate di spam o di registrazioni di account fake un’ottimo rimedio sono Akismet e WangGuard.

Akismet permette di analizzare in automatico i contenuti dei commenti ed evitare che quelli di spam vengano pubblicati. WangGuard, invece, permette di aggiungere un controllo sulle registrazioni dando anche la possibilità di inserire un captcha così da limitare al minimo le registrazioni da email fake.

L’applicazione di questi accorgimenti è una buona abitudine in generale per qualunque utilizzatore del Web od i un Pc. Va detto che tali plugins non garantiranno la sicurezza al 100% del proprio sito ma sicuramente lo renderanno molto più “ostico” da penetrare portando, in molti casi, l’hacker a desistere. Se volete rimanere aggiornati sulla sicurezza del vostro sito web vi consigliamo la lettura del blog tematico capn3m0.org.

 

Tags: plugin, sicurezza, Wordpress