Se stai leggendo questo articolo, probabilmente, è perché il titolo ti ha incuriosito e magari hai un sito sviluppato con WordPress. L’altro motivo, decisamente meno piacevole, è perché il tuo sito si comporta come indicato nel titolo dell’articolo stesso. Che fare in questo caso?
Considerato che non si tratta solo di curiosità ma di necessità…andiamo alle cose pratiche e utili. Un sito sviluppato in WordPress, da quello che ho potuto vedere tramite il mio lavoro e non solo, di solito viene hackerato in 4-5 modi diversi. Vediamo quali sono e come evitarli.
Plugin obsoleti. Sembra inutile continuare a dirlo ma, a quanto pare, ripeterlo non basta mai. Aggiorniamo i plugin installati (dopo un backup del sito) quando riceviamo le notifiche. Non renderà il nostro sito inattaccabile, ma almeno renderemo la vita difficile a chi vuole farlo.
Backend. Impostare una password molto complessa per l’accesso al backend del tuo sito è importantissimo! Evita, considerato che si tratta dell’interfaccia che usi per modificare/aggiungere i contenuti del sito, password contenenti nomi di battesimo, date di nascita e simili.
Ftp. Quanto detto per il backend, anche se scontato, vale anche per l’accesso allo spazio web via ftp. L’utilizzo di una password semplice aumenta il rischio che un malintenzionato possa inserire files che con il cms non c’entrano proprio nulla. Quindi…password complesse e protocollo SFTP.
Pannello hosting provider. Si tratta di una strada meno utilizzata ma comunque percorribile. I pannelli forniti dagli hosting provider, di solito, permettono il caricamento di files e cartelle. Imposta anche qui una password complessa e non comunicarla a nessuno.
Mi spiace essermi dilungato così tanto sull’argomento “password” ma, quando consiglio di impostarne una di almeno 8 caratteri con caratteri (maiuscoli e minuscoli) alfanumerici, spesso vengo visto come paranoico o mi dicono “Come sei esagerato! Tutto questo per una password?”…si!
Tema. Ne esistono centinaia (free e a pagamento) o forse più. Cerca di trovarne uno che faccia al caso tuo e, anche se free, che venga costantemente aggiornato. Di recente ho visto siti bucati grazie a temi aggiornati l’ultima volta nel 2014 e con i siti dei produttori non visibili.
Un paio di giorni fa, però, mi sono imbattuto in una situazione diversa. Nessuna attività strana via ftp, via backend e tramite il pannello dell’hosting provider. Anche il database, per quello che ho potuto vedere, mi sembrava pulito e senza accessi strani. Che si fa?
Ho fatto quello che, solitamente, lascio come ultima manovra perché non è molto piacevole e a volte fa impiegare parecchio tempo. Come dico io in questi casi, fatti i soliti controlli, iniziamo a giocare a “Indovina chi”. Quel gioco da tavolo tanto in voga diversi anni fa.
Puoi disattivare tutti i plugin in un solo colpo agendo dalla tabella “wp_options” o spegnerli singolarmente agendo sul contenuto della voce “active plugin” sempre della stessa tabella. Se hai tanti plugin installati, però, sappi che dovrai armarti di tanta pazienza.
Nel mio caso ho potuto vedere che il plugin responsabile era quello menzionato nel titolo. Ti suggerisco questo articolo di Wordfence.com che spiega molto bene come viene sfruttato il plugin. Si tratta di un articolo in lingua inglese ma di facile comprensione.
Il consiglio che posso darti in questo caso è quello di rimuovere immediatamente il plugin e di cercarne un altro simile per funzione. Sicuramente potrai trovarne uno nella directory dei plugin di WordPress a questo indirizzo.