La sicurezza WordPress è l’insieme di pratiche, strumenti e configurazioni che proteggono il tuo sito da hacker, malware e attacchi informatici. WordPress alimenta oggi il circa il 40% di tutti i siti web, ed è per questo che attira la maggior parte degli attacchi automatici. La buona notizia? La maggior parte delle violazioni non deriva da hacker geniali, ma da errori banali e prevenibili.
WordPress è sicuro? La risposta breve
Sì, WordPress è sicuro se lo mantieni aggiornato e lo configuri correttamente. Il problema non è il software in sé: sono i siti trascurati. La documentazione ufficiale e il team di sicurezza del progetto pubblicano costantemente patch e guide: il problema è chi non le applica. Secondo il report Patchstack State of WordPress Security 2026: la più grande intelligence sulle vulnerabilità WordPress, il 91% delle vulnerabilità scoperte nel 2025 riguarda i plugin, mentre nel core di WordPress sono stati trovati solo 6 problemi minori. La stragrande maggioranza degli attacchi sfrutta plugin obsoleti, password deboli e assenza di backup. Un sito curato con le basi della sicurezza è un bersaglio poco interessante: gli hacker cercano le porte aperte, non i sistemi blindati.
I numeri della sicurezza WordPress nel 2025
I dati qui sotto vengono dal whitepaper Patchstack “State of WordPress Security 2026” (pubblicato febbraio 2026, aggiornato 25 febbraio 2026), che analizza tutte le vulnerabilità scoperte nel 2025 nell’ecosistema WordPress:
| Dato | Valore 2025 | Cosa significa per te |
|---|---|---|
| Vulnerabilità totali scoperte | 11.334 (+42% vs 2024) | Il volume di attacchi non cala: la manutenzione conta più che mai |
| In plugin | 91% | Aggiornare i plugin è il singolo intervento più efficace |
| In WordPress core | 6 (tutte minori) | Il core è solido: il rischio sta attorno, non dentro |
| Ad alta severità | 1.966 (17%) | Più di 5 vulnerabilità gravi al giorno, spesso usate in attacchi di massa |
| Tempo mediano dalla pubblicazione allo sfruttamento di massa | 5 ore | Se aspetti la settimana per aggiornare, sei già nel mirino |
| Attacchi bloccati dagli hosting (pentest) | solo 26% | L’hosting da solo non basta: serve igiene sul sito |
Due interpretazioni da tenere a mente. Prima: le vulnerabilità altamente sfruttabili sono aumentate del 113% anno su anno, e più vulnerabilità gravi sono state scoperte nel 2025 che nei due anni precedenti messi insieme. Seconda: come mostra il pentest Patchstack, gli hosting bloccano in media solo il 26% degli attacchi: “ho un buon hosting” non è una strategia di sicurezza. La difesa vera è aggiornare, fare backup e usare password forti.
Un caso reale: una falla sfruttata in massa in cinque ore
Il copione è sempre lo stesso, e il whitepaper Patchstack lo documenta con i numeri: un plugin molto diffuso ha una falla di controllo degli accessi — la categoria più sfruttata del 2025 —, la falla diventa pubblica, i bot la scansionano e in mediana la sfruttano in massa entro 5 ore. Chi aggiorna «con calma nel weekend» arriva dopo. E gli hosting, da soli, bloccano in media solo il 26% degli attacchi. Nei siti che si salvano ci sono sempre le stesse due cose: aggiornamenti entro poche ore dal rilascio e un backup datato di ieri.
Perché i siti WordPress vengono hackerati: i 5 motivi reali
Capire come entrano gli hacker è il primo passo per chiudere loro la porta. Ecco le cinque vie d’accesso più sfruttate, in ordine di frequenza:
- Plugin e temi non aggiornati: ogni vulnerabilità scoperta viene patchata, ma se non aggiorni, la porta resta aperta. È la causa numero uno delle violazioni.
- Password deboli e attacchi brute force: i bot provano migliaia di combinazioni al secondo su /wp-login.php. “admin123” non regge un secondo.
- Plugin nullati o abbandonati: i plugin piratati spesso contengono backdoor incorporate. Se non ricevono aggiornamenti da anni, sono una bomba a orologeria.
- Assenza di backup: senza backup, una violazione diventa una catastrofe irreversibile: paghi il riscatto o perdi tutto.
- Utenti con permessi eccessivi: ogni account amministratore in più è una superficie d’attacco in più. Molte violazioni partono da un account secondario compromesso.
La discussione su Reddit r/WordPress è piena di utenti che scoprono il sito hackerato “all’improvviso”: nella maggior parte dei casi, il punto d’ingresso era un plugin dimenticato o una password riutilizzata altrove. La sicurezza non è magia: è igiene digitale.
La checklist di sicurezza WordPress in 12 passi
Ecco i 12 interventi che contano davvero, ordinati dal più importante al meno critico. Se fai solo questi, metti al sicuro il 90% del tuo sito.
| # | Azione | Difficoltà | Impatto |
|---|---|---|---|
| 1 | Aggiorna sempre core, plugin e temi | Facile | Critico |
| 2 | Backup automatici giornalieri | Facile | Critico |
| 3 | Password forti + autenticazione a due fattori (2FA) | Facile | Critico |
| 4 | Limita i tentativi di accesso | Facile | Alto |
| 5 | Cambia l’URL di login (wp-login.php) | Media | Medio |
| 6 | Installa un plugin di sicurezza con firewall | Facile | Alto |
| 7 | Disattiva la modifica di file dall’editor | Facile | Medio |
| 8 | Rimuovi plugin e temi inutilizzati | Facile | Medio |
| 9 | Attiva HTTPS/SSL obbligatorio | Facile | Alto |
| 10 | Limita i permessi utente al minimo necessario | Media | Alto |
| 11 | Proteggi wp-config.php e la cartella wp-content | Avanzata | Medio |
| 12 | Monitora i log e la scansione malware | Media | Medio |
Hardening del server: sicurezza a livello di configurazione
La sicurezza di WordPress non dipende solo da tema e plugin. Parte dal server e dalla sua configurazione. Con pochi interventi chiudi le porte che gli attaccanti usano più spesso.
Gli header di sicurezza
Gli header di sicurezza sono istruzioni che il server passa al browser. X-Frame-Options impedisce che il tuo sito venga mostrato dentro frame di altri siti: è la prima difesa contro il clickjacking. X-Content-Type-Options blocca la lettura dei file come HTML quando non lo sono. Referrer-Policy limita i dati che il sito invia ai domini esterni.
PHP, XML-RPC e permessi dei file
Poi ci sono le impostazioni di PHP e dei file. Se non usi XML-RPC, disattivalo: è un punto di accesso poco protetto e un bersaglio frequente degli attacchi di forza bruta. In produzione gli errori PHP vanno nascosti, non mostrati a schermo. I file del sito devono avere permessi 644, le cartelle 755. E tieni PHP aggiornato: le versioni vecchie non ricevono più aggiornamenti di sicurezza.
Se vuoi un quadro completo su come scegliere un ambiente WordPress solido, leggi la nostra guida all’hosting WordPress.
I migliori plugin di sicurezza WordPress: confronto onesto
Un buon plugin di sicurezza non è un lusso: è la base. Ma non tutti i plugin sono uguali, e molti vendono “teatro della sicurezza” più che protezione reale. Ecco il confronto onesto dei più usati:
Il confronto: cinque plugin, cosa fa ciascuno
| Plugin | Firewall | Scansione malware | 2FA | Versione gratuita | Ideale per |
|---|---|---|---|---|---|
| Wordfence Security | Sì | Sì | Sì | Sì (completa) | La scelta più bilanciata, firewall incluso gratis |
| Solid Security (ex iThemes) | No | No | Sì | Sì (base) | Hardening e 2FA, non fa scansione |
| All In One WP Security | Parziale | No | Sì | Sì | Checklist guidata per principianti |
| Sucuri / Cloudflare | Sì (cloud) | Sì | — | Parziale | Protezione a monte del server, WAF cloud |
| Jetpack Protect | No | Sì | Sì | Sì | Scansione semplice senza configurazione |
Il verdetto: da quale plugin iniziare
Il verdetto per la maggior parte dei siti: Wordfence è il miglior punto di partenza perché offre firewall e scansione malware nella versione gratuita. Solid Security è un’ottima aggiunta per l’hardening e la 2FA, ma da solo non scansiona il malware. Se gestisci un sito aziendale, considera anche un WAF cloud (Cloudflare o Sucuri) che blocca il traffico malevolo prima ancora che arrivi al tuo server. Per monitorare le vulnerabilità dei tuoi plugin, il database pubblico di WPScan è il punto di riferimento.
Backup WordPress: la tua rete di sicurezza
Il backup non impedisce l’attacco, ma rende la violazione un incidente gestibile invece che una tragedia. La regola d’oro è la 3-2-1: 3 copie dei dati, su 2 supporti diversi, 1 delle quali fuori sede (cloud o server esterno).
Per un sito WordPress, la frequenza minima consigliata è un backup giornaliero del database e settimanale dei file. I plugin come UpdraftPlus, BackupBuddy o la soluzione integrata dell’hosting gestito automatizzano tutto: una volta configurati, non devi pensarci più. E testa il ripristino almeno una volta: un backup che non si ripristina non è un backup, è un file inutile. Se vuoi la procedura completa, nella nostra guida al backup WordPress automatico trovi plugin, frequenze e configurazione passo passo.
2FA e password: la prima linea di difesa
L’autenticazione a due fattori è il singolo intervento più efficace contro il furto di credenziali. Anche se un hacker ruba la tua password, senza il secondo fattore (codice dal telefono, chiave hardware) non entra.
Attivala almeno per tutti gli account amministratore. Gli strumenti: Wordfence e Solid Security la includono, oppure plugin dedicati come WP 2FA. Per le password, usa un gestore (Bitwarden, 1Password) e mai la stessa password su più siti: la maggior parte delle violazioni parte da password riutilizzate dopo un data breach su un altro servizio.
Password: come si difende davvero un accesso
Tre delle dieci ricerche più frequenti su questo tema riguardano le password, e la confusione è enorme: maiuscole, simboli, cambiarla ogni 90 giorni. Le linee guida ufficiali dicono l’opposto.
La regola che conta è la lunghezza. Il NIST (SP 800-63B) chiede che una password usata da sola sia di almeno 15 caratteri e che se ne accettino almeno 64: una passphrase di quattro o cinque parole casuali è più forte di «P@ssw0rd!» e molto più facile da ricordare. Meglio ancora: una password diversa per ogni sito, tenuta in un gestore — il riutilizzo è la causa più comune di account violati dopo una violazione avvenuta su un altro servizio.
Poi c’è il lato attacco, quello che riempie i log. I bot provano migliaia di combinazioni al secondo su /wp-login.php e sull’XML-RPC: le difese che funzionano sono quattro, e sono tutte gratuite — lo dice la documentazione ufficiale di WordPress:
- Limita i tentativi di accesso (limit login attempts) e metti un CAPTCHA o un turnstile sulla pagina di login.
- Attiva il 2FA su tutti gli account amministratore: il core di WordPress non lo include, serve un plugin o il provider di identità.
- Proteggi o disattiva XML-RPC se non lo usi: è un bersaglio classico degli attacchi di forza bruta.
- Rate-limit al bordo (WAF o CDN) o sul server web: i tentativi li fermi prima che arrivino a WordPress.
Per le integrazioni (le app che parlano col tuo sito) non usare la password dell’amministratore: WordPress ha le Application Passwords, credenziali dedicate che revochi in un secondo. E se il pannello lo permette, le passkey sono oggi la forma di accesso più resistente al phishing.
I sintomi di un sito hackerato
Un sito compromesso difficilmente resta invisibile. I segnali ci sono, spesso davanti agli occhi. Molti li scambiano per problemi tecnici o errori del provider, e perdono tempo prezioso. Ecco gli otto sintomi più comuni da controllare.
- Il sito è lento senza un motivo chiaro o reindirizza a pagine che non hai mai creato.
- Compaiono pagine estranee, popup o banner pubblicitari che non hai inserito.
- Nell’elenco utenti del pannello trovi account admin che non riconosci.
- Google Search Console segnala malware o contenuti spam sul sito.
- I file risultano modificati senza motivo, con codice che non hai scritto.
- Il sito invia email strane ai tuoi clienti o ai tuoi contatti.
- Il browser mostra un avviso di sicurezza quando apri il sito.
- Nei file trovi backdoor: piccoli script che aprono un accesso da remoto.
Se noti anche solo uno di questi sintomi, non aspettare. Metti il sito in manutenzione, cambia tutte le password e fai una scansione completa. Ogni giorno in più lascia all’attaccante più tempo per fare danni.
Sito hackerato: cosa fare subito (in 6 passi)
Se il tuo sito è stato compromesso, niente panico. Segui questo ordine preciso, che è lo stesso che usano i professionisti:
- Isola il sito: mettilo in manutenzione o disconnettilo temporaneamente per fermare i danni e impedire che il malware infetti i visitatori.
- Cambia TUTTE le password: amministratori, hosting, FTP, database, email associata. Supponi che tutte siano compromesse.
- Analizza: usa la scansione malware di Sucuri SiteCheck o quella di Wordfence per individuare file infetti e backdoor.
- Ripristina da un backup pulito: se hai un backup precedente all’attacco, ripristina quello. È la soluzione più veloce e sicura.
- Pulisci e aggiorna: se non hai un backup, rimuovi i file infetti, re-installa core/temi/plugin puliti e aggiorna tutto.
- Indurisci e monitora: applica la checklist sopra, cambia l’URL di login e tieni d’occhio i log per le settimane successive.
Su Reddit, gli utenti di r/WordPress che hanno risolto velocemente le violazioni avevano tutti una cosa in comune: un backup recente. Quelli che hanno perso settimane di lavoro erano quelli senza backup. Ripetiamolo: il backup è la tua assicurazione.
Sicurezza su hosting condiviso: cosa cambia
Nell’hosting condiviso il tuo sito vive sullo stesso server di molti altri siti. Condividi CPU, memoria e configurazioni. La sicurezza del tuo sito dipende anche da come il provider isola gli account tra loro.
I provider seri separano ogni account con tecniche di isolamento. Ogni sito resta in una zona chiusa. Se un vicino viene compromesso, il problema non deve contagiare il tuo sito. Sui provider economici questa separazione è spesso debole o assente.
Quando la sicurezza diventa la tua priorità, l’hosting condiviso mostra i suoi limiti. Non puoi modificare la configurazione del server: niente header personalizzati, versioni di PHP scelte da te o permessi globali. Se hai bisogno di impostazioni specifiche o il sito riceve molto traffico, può essere il momento di passare a un VPS. Un server virtuale ti dà accesso completo alla configurazione, ma richiede più competenza e manutenzione.
Prima di scegliere, confronta le opzioni: dai un’occhiata alla nostra selezione dei migliori hosting WordPress in Italia.
Sicurezza WordPress gestita: hosting e manutenzione professionale
Se non hai tempo o voglia di gestire la sicurezza da solo, la soluzione è un hosting WordPress gestito o un servizio di manutenzione. Gli hosting gestiti (come quelli che abbiamo confrontato nella nostra guida al miglior hosting WordPress in Italia) includono di serie: backup automatici, aggiornamenti, firewall e monitoraggio 24/7. È il motivo per cui molti professionisti li consigliano: la sicurezza diventa responsabilità del provider, non tua.
In alternativa, un piano di manutenzione mensile copre aggiornamenti, backup, scansioni e intervento in caso di problemi. Per un sito aziendale, il costo di un piano di manutenzione è trascurabile rispetto al costo di una violazione.
Le API REST: la porta che dimentichi aperta
Ogni sito WordPress moderno espone un’interfaccia (/wp-json/) che serve al sito, all’editor e alle app collegate. Non si spegne «per sicurezza» e non serve spegnerla, ma due cose vanno chiuse se non le usi.
1. L’elenco degli utenti. L’endpoint /wp-json/wp/v2/users è pubblico e restituisce gli autori del sito con i loro identificativi: è materiale gratuito per chi prepara un attacco di forza bruta, perché trasforma «indovina il nome utente» in «il nome utente ce l’ho già». La contromisura è limitarlo (richiedere l’autenticazione) o bloccarlo dal firewall.
2. Gli endpoint che servono a scrivere. Le operazioni di modifica richiedono autenticazione, quindi qui il rischio non è leggere, ma quali credenziali usi: mai l’account amministratore dentro un’app di terze parti. Le Application Passwords servono esattamente a questo — credenziali separate, con permessi limitati, revocabili senza toccare la password principale (documentazione di hardening di WordPress). E i plugin che aggiungono endpoint propri vanno tenuti aggiornati: sono codice esposto come tutti gli altri.
Il resto lo fanno i firewall applicativi (Wordfence, Cloudflare), che limitano la frequenza delle richieste anche su /wp-json/: è la stessa logica del blocco dei tentativi di login.
Strumenti gratuiti per monitorare la sicurezza
Non serve controllare la sicurezza a mano ogni giorno. Esistono strumenti gratuiti che lo fanno per te. Ecco i quattro più utili per un sito WordPress.
Google Search Console è il primo da attivare. Ti avvisa quando Google trova malware o contenuti spam sul tuo sito. È anche il canale ufficiale per chiedere una revisione dopo la pulizia.
Sucuri SiteCheck esegue una scansione pubblica del sito in pochi secondi. Controlla malware, script malevoli e blacklist. Il piano gratuito dà un quadro immediato, senza installare nulla.
WPScan è il database delle vulnerabilità dei plugin e dei temi WordPress. Puoi verificare se una versione installata ha problemi noti. Si usa da riga di comando, ma esistono anche servizi online basati sullo stesso database.
Un monitor di uptime controlla se il sito è raggiungibile. Un calo improvviso può nascondere un attacco o un sovraccarico. Servizi gratuiti come UptimeRobot ti avvisano via email quando il sito non risponde.
Nessuno di questi strumenti sostituisce un backup. Ma insieme ti permettono di accorgerti di un problema prima che diventi grave.
Domande frequenti sulla sicurezza WordPress
- WordPress è davvero sicuro o è un colabrodo?
È sicuro se aggiornato e configurato bene. WordPress ha un team di sicurezza dedicato e patch rapide: il rischio reale sono i siti trascurati, non il software.
- Qual è il miglior plugin di sicurezza gratuito?
Wordfence è il più completo: firewall e scansione malware inclusi nella versione gratuita.
- Ogni quanto devo fare il backup?
Database ogni giorno, file ogni settimana. Con un plugin o un hosting gestito, è automatico.
- Il mio sito può essere hackerato anche se non vendo nulla?
Sì. I bot attaccano in automatico qualunque sito: usano il tuo server per inviare spam, ospitare malware o attaccare altri. Anche un blog piccolo è un bersaglio. E se stai ancora scegliendo su quale piattaforma costruire il tuo sito, il confronto WordPress vs Wix ti aiuta a capire quale delle due offre più controllo sulla sicurezza.
- Quanto costa proteggere un sito WordPress?
Le basi (aggiornamenti, backup, plugin gratuito, password forti) costano zero. Un piano di manutenzione professionale parte da circa 30-50€ al mese. Una violazione, invece, può costare migliaia di euro tra pulizia, downtime e reputazione.
Conclusioni: la sicurezza WordPress è una questione di abitudini
La sicurezza del tuo sito non si risolve con un singolo plugin magico: è un insieme di abitudini semplici e costanti. Aggiorna, fai backup, usa password forti e 2FA, limita gli accessi. Venti minuti al mese di manutenzione che ti evitano notti insonni.
E se tutto questo ti sembra troppo, ricorda che esistono hosting gestiti e professionisti che lo fanno per te. Il costo di prevenzione è sempre più basso del costo dell’emergenza. Proteggi il tuo sito oggi: è il tuo biglietto da visita digitale, e vale la pena difenderlo.
Lascia un commento