Un plugin di sicurezza aiuta, ma non mette al sicuro un sito da solo. La maggior parte dei siti WordPress violati ha la stessa storia: plugin non aggiornati, password deboli, nessun backup recente. Prima di scegliere il plugin conviene sistemare queste basi.
Le protezioni che contano più del plugin
- Aggiornamenti di WordPress, temi e plugin, fatti con regolarità e con un controllo dopo (vedi cosa controllare quando aggiorni WordPress).
- Versione di PHP supportata sul server (vedi quale versione di PHP usare).
- Backup automatici conservati fuori dal server, e provati: un backup mai ripristinato è una speranza, non una garanzia.
- Password robuste e verifica in due passaggi per tutti gli amministratori.
- Meno plugin possibile: ogni plugin inutilizzato è codice in più da tenere aggiornato. Va eliminato, non solo disattivato.
- Utenti con i permessi minimi: chi scrive articoli non ha bisogno di essere amministratore.
- Hosting serio, con firewall, isolamento tra siti e backup del server (vedi come scegliere l’hosting).
I plugin di sicurezza più usati
| Plugin | Punti forti |
|---|---|
| Wordfence Security | Firewall applicativo, scansione malware, protezione del login con verifica in due passaggi |
| Kadence Security (un tempo iThemes Security, poi Solid Security) | Rafforzamento delle impostazioni, protezione dagli attacchi al login, verifica in due passaggi |
| Sucuri Security | Registro delle attività, scansione e rafforzamento; il firewall in cloud è un servizio a parte, a pagamento |
| All-In-One Security (AIOS) | Molte protezioni configurabili in un solo plugin, firewall e protezione del login |
| Jetpack Protect | Avvisi sulle vulnerabilità note di plugin e temi installati e scansione |
Ne basta uno. Due plugin di sicurezza insieme spesso si ostacolano, rallentano il sito e danno falsi allarmi. Se l’hosting ha già un buon firewall, un plugin leggero per login e verifica in due passaggi può essere sufficiente.
Plugin piccoli ma utili
- Two Factor: aggiunge la verifica in due passaggi al login di WordPress.
- Limit Login Attempts Reloaded: blocca chi prova molte password di fila.
- UpdraftPlus: backup automatici verso servizi esterni come Google Drive o Dropbox.
Se il sito è già stato violato
- Non cancellare nulla di corsa: fai una copia dello stato attuale.
- Cambia tutte le password: WordPress, hosting, database, FTP, email.
- Ripristina un backup pulito o fai ripulire il sito da chi sa farlo.
- Trova come sono entrati (plugin vecchio, password, utente dimenticato) e chiudi quella porta.
- Controlla in Google Search Console se il sito è segnalato e chiedi la revisione.
Checklist minima
- Aggiornamenti regolari con controllo dopo.
- Backup automatici esterni, provati almeno una volta.
- Verifica in due passaggi per gli amministratori.
- Un solo plugin di sicurezza, configurato.
- Plugin e utenti inutili eliminati.
Seguiamo aggiornamenti, backup e sicurezza dei siti WordPress dei nostri clienti. Vedi gestione e servizi hosting o chiedici un controllo con il percorso guidato.
