CyberAngel's Blog

WordPress è la piattaforma di blog più user-friendly che esiste attualmente. Ma cosa accadrebbe se il nostro prezioso blog venisse hackerato? Sicuramente atti di panico e frustrazione per la probabile perdita irreversibile dei nostri post. Si può però rendere le cose più difficili agli hacker e tutto si basa sulla prevenzione. Ma per prevenire questi attacchi bisogna prima di tutto conoscere come un hacker può danneggiare il nostro sito.

Essi conoscono infatti:

• i punti deboli della sicurezza del tuo sito
• le directory importanti che sono aperte e accessibili in scrittura
• le versioni di WordPress che hanno problemi di sicurezza
• come superare i plugin non garantiti
• come lanciare attacchi di forza bruta ai dati di accesso del sito. Infatti sanno che WP usa “admin” come username dell’amministratore, così possono generare password casuali e tentare di accedervi

E allora come evitare queste situazioni? Beh semplicemente rafforzando la protezione del proprio blog. Questi pratici consigli vi proteggeranno da eventuali attacchi fraudolenti. In verità, ogni protezione può essere aggirata, ma il punto non è quello di curare, ma prevenire.

Ecco perciò di seguito un piccolo vademecum per aumentare la sicurezza del blog.

1. Conoscenza: fare i backup ad intervalli regolari della vostra installazione di WordPress. Utilizzate il plugin WP-DB-Backup per pianificare i backup del database.
2. Mantenere aggiornata l’installazione di WordPress e dei plugin: le versioni più recenti di WP hanno la notifica automatica se c’è un aggiornamento per il vostro blog e i vostri plugin. Essere aggiornati è un punto fondamentale!
3. Rinominare l’account amministrativo: si può fare con il seguente comando MySQL:
   update tableprefix_users
set user_login='altro-nome'
where
user_login='admin';
   oppure leggendo le istruzioni in quest’altro mio articolo.
4. Utilizzare password forti: la creazione di una password forte che è anche memorizzabile è una delle difese più facili contro gli attacchi. Evitate il nome del proprio cane, la data di nascita o il colore preferito. Leggete questo articolo per maggiori info sul “password cracking”.
5. Disattivare l’esplorazione delle directory: un utente malintenzionato può rivelare i vostri file perché sono stati indicizzati dai motori di ricerca. Possiamo disabilitarli con una semplice riga di codice all’interno del file .htaccess
   Options -Indexes Options-Indexes
   oppure usare un file robots.txt che impedisce agli spider dei motori di ricerca di indicizzare il contenuto delle sottocartelle. Ecco un esempio di file robots.txt:
   User-agent: *
Disallow: /cgi-bin/
Disallow: /wp-content/
Disallow: /wp-admin/
Disallow: /wp-includes/

6. I permessi dei file: Alcune delle interessanti caratteristiche di WordPress è la possibilità di scrittura dei file sul server web. Tuttavia lasciare l’accesso in scrittura ai file è una cosa pericolosa, soprattutto in un ambiente pubblico. È meglio, dal punto di vista della sicurezza, bloccarne le autorizzazioni per quanto possibile o creare cartelle speciali con restrizioni più blande da usare, ad esempio, per il caricamento delle immagini.
7. Non pubblicizzare la versione di WordPress installata: Se si utilizza una vecchia versione WordPress con vulnerabilità note, non è saggio far visualizzare queste informazioni al pubblico. Perché semplicemente non nascondere la versione di WordPress del tutto? Anche se i pacchetti di aggiornamento vengono rilasciarti il più presto possibile, ci sarà sempre un sufficiente tempo per un hacker di effettuare un attacco. Tuttavia, la modifica in tutti i luoghi in cui compare la versione di WP può essere tediosa. Un modo più semplice per farlo è la Replace WP-Version (nuovo, migliore e con più funzioni è Secure WP).
8. Rimanere aggiornati sulle patch: Iscriversi al WordPress Development blog. Quando una nuova versione di WordPress viene rilasciata, il primo ad annunciarlo è proprio questo blog. Se vedi una patch di sicurezza è buona norma applicarla.
9. Utilizzare ove possibile Captcha: le soluzione Captcha per i commenti ed il login, integrate anche in form di contatto come Contact Form 7 o CFORMS II. Questo terrà lontano gli spam bot.
10. Limitare l’accesso alla vostra directory wp-admin: proteggete la directory wp-admin tramite indirizzi IP o password, se si utilizza CPanel è possibile utilizzare lo strumento di protezione cartelle.
11. Limitare l’accesso al vostro wp-config.php: il file wp-config.php contiene il tuo nome utente e la password del database. Evitare che il file sia leggibile dall’esterno è molto importante. Pertanto create un file .htaccess all’interno della directory principale, se non c’è n’è già uno, e aggiungere quanto segue:
    deny from all
12. Usare il plugin AskApache Password: questo plugin è stato appositamente progettato per bloccare tentativi di intrusione che sfruttano possibili vulnerabilità del blog.
13. Utilizzare il security scanner online WordPress: questo plugin esegue un controllo di versioni e controlli XSS sul vostro template e sui plugin in cerca di vulnerabilità.
14. Utilizzare un file .htaccess: i dettagli qui.