Proteggere WordPress da attacchi Hacker – trucchi e consigli

Proteggere WordPress da attacchi Hacker – trucchi e consigli

In questo articolo voglio darvi alcune dritte su come proteggere al meglio un sito web basato su CMS WordPress.
Il problema più grande è che si può essere attaccati e nemmeno accorgersene, rimanendo alloscuro di tutto.
Secondo la mia esperienza ho capito che la miglior difesa è in realtà avere una difesa, e se si mette la testa sotto la sabbia, prima o poi si viene sopraffatti!
Purtroppo (e dico purtroppo solo per questi casi) WordPress ha e sta avendo un grande successo.
Dato che sempre più persone lo stanno utilizzando, ci sono un sacco di vulnerabilità derivanti dallutilizzo di questa piattaforma e gli hacker sono sempre in agguato! Dal momento che circa il 20 % dei siti è sviluppato in WordPress, lo rende un obiettivo “appetitoso” per lhacking.
Secondo Sophos Labs, 30.000 nuovi siti al giorno vengono hackerati!
Questo è un numero impressionante, ma è abbastanza impreciso. Questa numerica coinvolge non solo attacchi hacker veri e propri, ma anche malware presenti sul sito oppure collegamenti spammosi.

Proteggi la tua pagina di login

Uno dei metodi più comuni per gli hacker per ottenere laccesso al tuo sito è attraverso la “forza bruta”, ovvero passando attraverso il nome utente e la password.
Ci sono alcune opzioni che possono essere utilizzate o combinate per ridurre il rischio di furto di password.

Bloccare laccesso a wp-login.php

Il modo migliore per proteggere la vostra pagina di login di WordPress da attacchi di forza bruta è quello di impedire agli utenti non autorizzati di accedere alla pagina di login.
Ciò richiederà qualche modifica del file .htaccess; se si sta utilizzando Apache, oppure il file di configurazione se si utilizza Nginx.
La maggior parte dei siti permettono laccesso. E ora di prendere provvedimenti e rendere la loro vita più difficile!
Il primo medoto che affronteremo è quello di limitare laccesso alla directory wp-admin utilizzando un filtro tramite indirizzo IP.
Questo metodo deve essere utilizzato solo se si sa quali indirizzi IP accedono regolarmente al sito.
Usa il codice qui sotto come esempio per bloccare laccesso in base allindirizzo IP.
Il codice include anche una sezione che sblocca alcuni file che possono essere necessari da alcuni dei vostri plugins. Se si utilizza un server Apache, inserire questo codice in un file .htaccess allinterno della directory wp-admin :

# Bloccare laccesso alla directory wp-admin - sostituisci x.x.x.x e y.y.y.y con il tuo indirizzo IP.
order deny,allow
allow from x.x.x.x 
allow from y.y.y.y
deny from all

# Permetti laccesso alla directory wp-admin/admin-ajax.php

Order allow,deny
Allow from all
Satisfy any

Se utilizzi Gnix, invece, sostituisci x.x.x.x e y.y.y.y con il tuo indirizzo IP

error_page  403  http://example.com/forbidden.html;
location /wp-admin {
  deny    192.168.1.1;
  allow   x.x.x.x;
  allow   y.y.y.y;
  deny    all;
}
location /wp-admin/admin-ajax.php {
    allow all;
}

Un altro metodo che blocca laccesso è quello di proteggere con password la pagina di accesso a livello di server.
Ciò si traduce in un ulteriore livello di accesso, ma è solo un inconveniente molto minore.
Basta generare un file .htpasswd e caricarlo sul server ; preferibilmente non in una directory accessibile al pubblico .
Una volta generato il file e caricato sul server, e se si sta utilizzando Apache, basta aggiungere il seguente codice al file .htaccess nella directory wp-admin (o creare il file se non esiste).
Assicurati di aggiornare il percorso AuthUserFile /path/to/your/.htpasswd mettendo quello
corretto :

AuthUserFile /path/to/your/.htpasswd
AuthName "Login Required"
AuthType Basic
require valid-user

Se usi Nginx

location /wp-login.php {
auth_basic "Administrator Login";
auth_basic_user_file .htpasswd;
}

Utilizzo di plugin

Wordfence: Questo plugin ha la funzione di firewall a livello supplementare sulla vostra installazione di WordPress. Vi è una vasta gamma di opzioni di sicurezza di accesso disponibili

Più Plugins = Meno sicurezza

Basti pensare a ciò che è accaduto a causa di Revolution Slider.
Questo plugin è stato incluso in un gran numero di temi molto popolari, ma ha avuto un problema di protezione che ha finito per causare oltre 100000 attacchi verso i siti dove era installato! Oltre 100.000 siti sono stati violati a causa di un solo plugin.
Questo non è lunico plugin che ha causato problemi. WP Super Cache e W3TC entrambi avevano grandi problemi di sicurezza che li ha resi vulnerabili.
Fortunatamente, quelli sono stati aggiornati in modo rapido, ma non tutti i plugin hanno le attenzioni e le manutenzioni necessarie.
Ecco che cosa si dovrebbe fare per limitare la vulnerabilità dei plugin:
[custom_list style=”list-1″]

• Eliminare plugin e temi non utilizzati. Che senso ha installare un tema e non usarlo ? Eliminatelo e avrete una probabilità in meno di essere attaccati!
• Non installare plugin non attendibili; assicurarsi sempre della provenienza e della fama del plugin in questione.
• Aggiornare sempre temi e plugin con frequenza.
• Fare piani di backup per essere sempre coperti!

[/custom_list]

Creazione Password sicure od almeno poco rintracciabili

Creare password sicure sia pef FTP che per accesso alla pagina di WordPress è di notevole importanza.
Ovviamente non si dovrebbe mai utilizzare come nome utente admin e password troppo semplici! E come tirarsi la zappa sui piedi da soli.
Qui potrete creare la vostra password tramite un tool di Norton.

Qualche dubbio o suggerimento? Avete esperienze passate da raccontare e pratiche che avete adottato? Lascia un commento e parliamone.