Proteggere WordPress

La pagina Sicurezza WordPress (gruppo Sicurezza e backup del menu, oppure il pulsante Sicurezza accanto al sito) controlla il sito e propone le protezioni da attivare. Ogni voce spiega cosa fa e se conviene.

In alto vedi la percentuale di protezione e quanti interventi sono consigliati. Le schede dividono le funzioni: Panoramica, Protezioni, Firewall, Bot, Accesso, Controlli, Vulnerabilità, Plugin e temi, Debug.

Sistemare tutto in una volta#

Nella Panoramica premi Sistema tutto: il pannello attiva le protezioni che si applicano con un clic. In alternativa premi Attiva sulle singole voci, per esempio:

• Elenco dei file nascosto: chi apre una cartella senza pagina iniziale non vede i file che contiene;
• wp-config.php protetto: il file con le password del database non si apre dal browser;
• Niente programmi tra i caricamenti: blocca i file PHP in wp-content/uploads, il nascondiglio preferito dei virus;
• XML-RPC chiuso: chiude un vecchio accesso molto usato negli attacchi.

Le protezioni sono regole nel file .htaccess del sito: WordPress, i suoi file e il database non vengono modificati. Se una protezione dà problemi, la spegni dalla stessa pagina.

Spostare la pagina di accesso#

I robot provano per primo tuodominio.it/wp-login.php. Nella scheda Accesso puoi sceglierne uno tuo.

1. In Nuovo indirizzo scrivi una parola di 3-50 caratteri (lettere minuscole, numeri, - e _). Evita nomi ovvi come admin o login.
2. Premi Attiva protezione.

Da quel momento wp-login.php e /wp-admin rispondono «pagina non trovata» a chi non è passato dal nuovo indirizzo. Il browser da cui entri se lo ricorda per 30 giorni.

Importante

Salva il nuovo indirizzo nei preferiti e comunicalo a chi gestisce il sito con te. L'accesso con Entra in WordPress del pannello continua a funzionare.

Bloccare un indirizzo IP#

Nella scheda Firewall scrivi l'indirizzo da bloccare in Blocca un indirizzo e premi Blocca. Vanno bene indirizzi IPv4 e IPv6 singoli e intervalli come 192.0.2.0/24.

Vulnerabilità, plugin e debug#

Le schede Vulnerabilità e Plugin e temi segnalano versioni con problemi noti: la cura è aggiornarle, dalla finestra Plugin e impostazioni della pagina WordPress. Debug mostra se la modalità debug di WordPress è accesa: va spenta sul sito online.