Il sito aziendale non è una vetrina isolata: è collegato a email, dominio, hosting, fornitori, strumenti di marketing, pagamenti e dispositivi delle persone che lo amministrano. Proteggere soltanto la pagina di accesso WordPress lascia quindi scoperti molti percorsi attraverso i quali un attaccante può interrompere il servizio, rubare dati o danneggiare la reputazione.
Una strategia efficace combina prevenzione e capacità di recupero. Nel 2023 il Cybersecurity Framework NIST 1.1 organizza questo ciclo in cinque funzioni: identificare, proteggere, rilevare, rispondere e recuperare. Usiamo la stessa logica per costruire un programma proporzionato anche a una piccola impresa, senza ridurre la sicurezza all’acquisto di un plugin.
1. Identificare ciò che sostiene il sito
Create un inventario di dominio e registrar, DNS, hosting, CDN, WordPress, tema, plugin, database, caselle email, analytics, pagamenti, backup e servizi esterni. Per ogni elemento annotate proprietario, referente, rinnovo, accessi, dipendenze e criticità. Un account dimenticato può essere più pericoloso di un componente visibile.
Mappate anche i dati: quali informazioni raccoglie il modulo, dove arrivano, chi le consulta e per quanto tempo rimangono. Stabilite quali funzioni devono tornare operative per prime. Questa priorità guida investimenti, backup e procedure di emergenza invece di applicare gli stessi controlli a tutto.
2. Rendere l’azienda proprietaria degli account
Dominio, hosting, proprietà Analytics, Search Console e account pubblicitari devono essere intestati e accessibili all’azienda. Fornitori e collaboratori ricevono utenti separati con i permessi necessari, non la password principale. Conservate codici di recupero e contatti aggiornati in un luogo protetto.
Quando termina una collaborazione, revocate accessi, chiavi, token e caselle condivise. Controllate inoltri email e applicazioni collegate. La proprietà formale senza possibilità di recupero non garantisce continuità: provate periodicamente che responsabili autorizzati sappiano riprendere il controllo.
3. Proteggere identità ed email
Usate password lunghe, uniche e conservate in un gestore. Attivate il secondo fattore su email, registrar, hosting, WordPress e servizi critici, preferendo metodi resistenti al phishing quando disponibili. Non condividete un unico utente amministratore: impedisce di attribuire azioni e rende difficile revocare una persona.
L’email è spesso il percorso di recupero degli altri account e merita protezione prioritaria. Formate chi gestisce fatture, rinnovi e richieste urgenti a verificare mittente, dominio e canale alternativo. Un falso messaggio del fornitore può sottrarre credenziali senza attaccare direttamente WordPress.
4. Aggiornare con un processo controllato
Core, tema, plugin, PHP e sistema del server devono ricevere aggiornamenti compatibili. Prima inventariate componenti e provenienza, eliminate quelli inutilizzati e verificate avvisi di sicurezza. Scaricate WordPress e le estensioni soltanto da fonti affidabili; software nulled o abbandonato introduce codice non controllabile.
Backup e staging precedono gli aggiornamenti a maggiore rischio. Dopo il rilascio provate pagine, moduli, login, pagamenti, cache e tracciamenti. Gli aggiornamenti automatici possono ridurre la finestra di esposizione per componenti appropriati, ma richiedono monitoraggio e possibilità di ripristino.
5. Ridurre privilegi e superficie d’attacco
Assegnate a ogni utente il ruolo minimo: chi pubblica non deve installare plugin. Rimuovete account inattivi, temi di prova, estensioni duplicate e funzioni non utilizzate. Limitate accessi amministrativi e al database secondo l’architettura, evitando modifiche improvvisate che impediscano gli aggiornamenti.
Disabilitare un endpoint o cambiare l’indirizzo di login può ridurre rumore ma non corregge credenziali deboli o vulnerabilità. Rate limiting, firewall e protezioni dell’hosting sono livelli aggiuntivi. Devono essere configurati e controllati per non bloccare utenti legittimi o lasciare eccezioni dimenticate.
6. Proteggere moduli, upload e integrazioni
Convalidate input sul server, limitate tipi e dimensioni dei file e conservate upload in modo sicuro. Non fidatevi del nome o dell’estensione forniti dal browser. Moduli e API devono applicare autorizzazione, protezione da richieste automatizzate e messaggi di errore che non rivelino dettagli interni.
Chiavi di API e servizi non devono essere pubblicate nel tema o nel repository. Ruotatele quando vengono esposte o cambia un fornitore. Verificate webhook, plugin CRM, chat, newsletter e pagamenti: ogni integrazione amplia dipendenze e superficie, anche quando il sito principale è aggiornato.
7. Backup separati e ripristino verificato
Un backup utile comprende database, file, configurazione e informazioni necessarie al ripristino. Deve avere copie separate dall’hosting, versioni precedenti, controllo degli accessi e protezione adeguata. Se l’unica copia risiede nello stesso account compromesso, può essere eliminata o cifrata insieme al sito.
Definite quanto dato potete perdere e quanto tempo potete rimanere offline; questi obiettivi determinano frequenza e procedura. Eseguite prove di ripristino in un ambiente isolato, verificando pagine, utenti, ordini e moduli. La scritta “backup completato” non dimostra che l’archivio sia integro o recuperabile.
8. Rilevare anomalie prima della segnalazione dei clienti
Monitorate disponibilità, modifiche ai file, nuovi amministratori, login, invii anomali, errori, risorse del server e cambi DNS. Centralizzate gli avvisi essenziali e stabilite chi li riceve. Un sistema rumoroso che invia centinaia di notifiche ignorate non offre una vera capacità di rilevamento.
Controllate Search Console per problemi di sicurezza e pagine sconosciute, risultati di ricerca per spam e blacklist pertinenti. Conservate log per un periodo proporzionato e proteggeteli da alterazioni. Imparate il comportamento normale del sito, così picchi di traffico, email o processi diventano riconoscibili.
9. Preparare la risposta agli incidenti
La procedura deve indicare contatti, autorità decisionali, accessi di emergenza e ordine delle azioni. In caso di compromissione evitate di cancellare subito ogni file: isolate il sistema, preservate prove quando possibile, valutate impatto e bloccate la diffusione. Cambiare soltanto password o ripristinare una copia può lasciare la causa attiva.
Preparate comunicazioni interne ed esterne senza minimizzare o dichiarare fatti non verificati. La valutazione di eventuali obblighi richiede competenze adeguate. Registrate orari, modifiche e decisioni: durante l’urgenza questa cronologia aiuta tecnici e responsabili a coordinarsi.
Eseguite almeno una simulazione: chi viene chiamato fuori orario, chi può sospendere il sito, dove si trovano backup e credenziali di emergenza, come si pubblica un avviso se l’amministrazione non è disponibile. La prova trasforma un documento teorico in una procedura utilizzabile e fa emergere dipendenze che nessuno aveva registrato.
10. Recuperare senza reinserire la vulnerabilità
La bonifica richiede identificazione del vettore, rimozione di persistenza, sostituzione dei componenti compromessi con copie attendibili, rotazione delle credenziali e aggiornamento dell’intero ambiente. Controllate dispositivi amministrativi e account collegati. Un backup precedente può contenere già la compromissione.
Dopo il ripristino monitorate con maggiore attenzione, verificate indicizzazione, avvisi e funzionalità e documentate le lezioni apprese. Aggiornate inventario, controlli e tempi di recupero. Per il percorso completo consultate cosa fare con un sito WordPress hackerato.
11. Gestire fornitori e manutenzione continuativa
Chiedete a hosting, sviluppatori e servizi esterni come gestiscono accessi, aggiornamenti, backup, incidenti e uscita dal contratto. Stabilite responsabilità e tempi, senza presumere che “gestito” includa ogni livello. Conservate export e documentazione necessari a cambiare partner.
Programmate controlli mensili e verifiche più ampie periodiche. La manutenzione WordPress deve produrre prove: versioni, esiti dei test, backup verificati, anomalie e interventi. Sicurezza e operatività non sono attività una tantum.
Checklist essenziale per l’azienda
- Inventariate asset, dati, proprietari e dipendenze.
- Attivate account individuali, password uniche e secondo fattore.
- Eliminate componenti e utenti non necessari.
- Aggiornate con backup, staging e test.
- Proteggete moduli, upload, API e dispositivi amministrativi.
- Mantenete copie separate e provate il ripristino.
- Monitorate sito, account, DNS, log e Search Console.
- Documentate un piano di risposta con contatti e autorità.
- Verificate fornitori e continuità contrattuale.
- Revisionate il programma dopo ogni cambiamento o incidente.
La cybersecurity del sito è un processo aziendale: identifica cosa conta, riduce il rischio, rileva anomalie e rende possibile tornare operativi. Approfondite gli errori di sicurezza più comuni e la protezione dagli attacchi brute force. LBCOMPANY interviene in tutta Italia su prevenzione, bonifica e continuità: scoprite i servizi.
Domande frequenti sulla cybersecurity del sito aziendale
Un plugin di sicurezza basta a proteggere WordPress?
No. Può aggiungere controlli, ma servono anche account sicuri, aggiornamenti, hosting, backup, monitoraggio, dispositivi protetti e risposta agli incidenti.
Quali account devono avere il secondo fattore?
Almeno email, registrar, DNS, hosting, WordPress e servizi critici. L’email è prioritaria perché spesso consente il recupero degli altri account.
Quanto spesso bisogna fare il backup?
Dipende da quanto dato l’azienda può perdere. Un e-commerce richiede frequenze diverse da un sito statico; in entrambi i casi il ripristino va provato.
Come si capisce se il sito è stato compromesso?
Tra i segnali ci sono pagine sconosciute, nuovi utenti, reindirizzamenti, email anomale, file modificati, avvisi del browser o di Search Console e risorse elevate.
Ripristinare un backup elimina sempre il malware?
No. La copia può essere già infetta e la vulnerabilità può rimanere. Occorre identificare e chiudere la causa, ruotare accessi e monitorare il sistema.
Chi deve possedere dominio e hosting?
L’azienda deve risultare proprietaria e conservare accessi e recupero. I fornitori ricevono utenti nominativi con privilegi limitati e revocabili.
Sapreste recuperare il sito dopo un attacco?
Verifichiamo asset, accessi, aggiornamenti, backup, monitoraggio e procedure prima che un incidente fermi l’attività.