Brevissimi suggerimenti…
Sicurezza WordPress e non solo, ne parliamo spesso, leggiamo, ci studiamo su e troviamo soluzioni a volte adeguate e a volte insufficienti in alcune situazioni.
„La sicurezza assoluta per i nostri siti WordPress, Joomla o altro CMS probabilmente non esiste, esiste tenere aggiornati WordPress, Joomla e gli altri CMS ad ogni nuova release″
Quindi come possiamo proteggere il nostro sito anche quando la nostra versione di WordPress, di Joomla, Drupal o Magento ecce ecc è aggiornata ?
„Sono del personale parere che l’aspetto sicurezza sia una branca specifica e se devo essere sincero in progetti di una grande importanza ma anche di media importanza preferirei affidare la questione ad un team di professionisti specializzati solo in sicurezza”
Spesso si valutano diverse necessarie strategie legate a ciò che dovrà comunicare e vendere il sito.
L’ottica di partenza pone attenzione sul lato UX del sito, la sua indicizzazione e particolare lavoro per quanto concerne il lato SEO nell’ottica di ottenere successo nelle azioni di Web Marketing.
Bene, tutto molto bene…La strategia è fondamentale !
Ci sarebbe però a monte da considerare identica o meglio, maggiore importanza da dedicare alla sicurezza del sito web ovviamente anche questo ha un costo !
I dati parlano chiaro !
Secondo un’analisi eseguita tra il 2014 e 2015, su un campione di 5.500 aziende che comprendono 15.000 siti web e le scansioni eseguite su oltre 1,9 milioni di file, quasi la metà delle applicazioni web scansionate conteneva una vulnerabilità di alta sicurezza’ come XSS o SQL Injection, mentre oltre 4 su 5 applicazioni web sono state colpite da una vulnerabilità di sicurezza media.
Nel complesso, i risultati hanno confermato che le vulnerabilità delle applicazioni web pongono gravi minacce per la sicurezza complessiva delle aziende, come la perdita di dati o alterazione di questi, i tempi di inattività, la perdita di reputazione e spesso pesanti sanzioni.
„La Sicurezza del sito dovrebbe essere una priorità in qualsiasi organizzazione, ma rimane l’aspetto più trascurato da parte dell’azienda.
Gli hacker continuano a concentrare i propri sforzi su applicazioni web-based poiché spesso non hanno accesso diretto ai dati back-end come i database dei clienti”
. Questo quanto emerso dall’analisi di Acunetix nella sua relazione.
Secondo il rapporto, sia le applicazioni web che server sono a rischio vulnerabilità di alta e media sicurezza.
Quasi il 10 per cento dei server sottoposti a scansione sono stati trovati vulnerabili a rischi elevati di sicurezza e il 50 per cento aveva una vulnerabilità di media sicurezza.
Tutto ciò riguarda sia WorPress che altri CMS, come dire: “Chi esegue un attacco poco si cura di quale sia il CMS utilizzato, gli interessa solo danneggiare o modificare, nessun CMS gli sta particolarmente simpatico o meno.
Finita la premessa e dato che non tutti possono disporre dell’ovvio budget necessario per ricorrere ad un team di esperti in sicurezza informatica, vediamo come proteggere almeno in parte il nostro sito realizzato con WordPress.
I rudimenti sono certamente evitare il classico “admin” come username e password del tipo “1234567” o data di nascita (su questo argomento vi sono centinaia di pubblicazioni e dunque sorvolerò proprio.
Mantenere temi e plugin aggiornati e sempre provenienti da fonti sicure, accertarsi che vi siano aggiornamenti recenti.
Questi sono spesso la principale fonte di falle che possono compromettere il nostro sito web.
Sui temi vorrei sottolineare, evitiamo di risparmiare se si tratta si un progetto per terzi ma anche se si tratta di un nostro sito o se vogliamo creare un nostro blog.
Vale la pena di spendere qualche dollaro e affidarsi a temi Premium, ve ne sono a partire da poco più di 20 $.
Tra i migliori posso suggerire quelli offerti da Elegant-Theme, Woo-Themes e i template e temi di Gavick
Abbiamo accertato che username e password siano sicuri, quindi sarà difficile per i malintenzionati accedere direttamente dal backend di WordPress.
Possiamo stare tranquilli…Anche no !
Gli attacchi “Brute Force” sono determinati da software (Bot) che cercano ripetutamente di violare l’accesso al pannello di amministrazione, attacchi che possono durare giorni e a nostra insaputa, sino a riuscire nell’intento.
Possiamo ricorrere a uno dei tanti plugin, rammentiamo che verranno eseguite delle modifiche ad alcuni file: wp-config e htaccess.
In alternativa cambiare la posizione di wp-admin.
Suggerisco un backup del database e il salvataggio dei file indicati prima dell’installazione del plugin
Il plugin è ITHEMES SECURITY per WordPress
Richiede: 4.1 o superiore
Compatibile fino a: 4.4.1
Ultimo aggiornamento: 2 settimane fa
Installazioni attive: 700.000+
Giusto “pochi” aspetti da configurare e avremmo una buona protezione e un sistema di alert via Email, inoltre oltre un dato numero di tentativi di accesso si può determinare il blocco dell’indirizzo IP.
Insomma un buon plugin che ci garantisce qualche sonno tranquillo.
Altra ottima soluzione è Clef Two-Factor Authentication
Compatibile fino a: 4.4.1
Ultimo aggiornamento: 4 giorni fa
Installazioni attive: 600.000+
Altro plugin per WordPress è WordFence di cui già vi ho parlato in un precedente articolo
Non vorrei fare una lista di tutti i plugin disponibili anche perchè alcuni sono abbastanza difficoltosi nella configurazione, inoltre anche gli stessi plugin che garantiscono sicurezza potrebbero paradossalmente costituire porte di ingresso a malintezionati.
A proposito di plugin verificare lo stato di vulnerabilità o eseguire una ricerca sui plugin che usate sul vostro sito WordPress qui: wpvulndb.com/plugins
La scelta dell’hosting ha fondamentale rilevanza, spesso si cerca di risparmiare a discapito della sicurezza.
Esistono alcuni strumenti che ci consentono di verificare eventuali vulnerabilità.
Uno di questi è il servizio offerto anche nella versione trial di 14 giorni da Acunetix OVS
Sarà sufficiente creare un account, inserire indirizzo IP del server ove si trova il sito o l’url del sito.
Scaricare e trasferire un file nello spazio web
Appurata la proprietà del sito si può procedere alla scansione.
Concludo …
Dato che come funghi vengono fuori corsi su come tenere un corso, corsi su come scrivere un corso, guida su come guidare un corso…
Non sarebbe male iniziare a lavorare seriamente su Corsi atti a garantire la sicurezza informatica.
Non parlo di corsi da poche ore e sbamm sfondi, no, parlo di figure specifiche senza tuttologia alcuna, figure veramente preparate in tal senso ed in questo specifico campo, Professionisti (si con la maiuscola) che possano offrire adeguato supporto in materia di sicurezza.
Buon lavoro
