La sicurezza del proprio sito dovrebbe essere uno dei primi pensieri di ogni proprietario di sito. Non importa se il tuo sito \u00e8 grande o piccolo: se \u00e8 importante per la tua attivit\u00e0, devi tenerlo al sicuro. In qualit\u00e0 di proprietario di un sito WordPress, ho creato una lista che esamino ogni volta che creo un nuovo sito per me o per un cliente. La condivider\u00f2 con te nella speranza che tu possa captare alcune nuove idee. Diamo un’occhiata a cosa serve per proteggere un sito web.<\/p>\n\n\n\n
Dovrebbe essere ovvio, ma la sicurezza inizia con il tuo fornitore di hosting. Ho usato di tutto, dagli “hosting fai-da-te” agli “hosting premium”. Il trucco \u00e8 trovare il servizio di cui hai bisogno e il supporto con cui ti senti a tuo agio.<\/p>\n\n\n\n
La prima cosa che faccio quando considero un nuovo hosting \u00e8 controllare il supporto che offre e i tempi di risposta. Mi iscrivo per provarlo, creo un sito e quindi contatto il supporto per porre una domanda. La rapidit\u00e0 con cui rispondono e quanto bene capiscono la domanda mi d\u00e0 indizi su cosa posso aspettarmi se ospiter\u00f2 il mio sito con loro.<\/p>\n\n\n\n
Controllo quindi il loro sito web e i piani di hosting per vedere quali strumenti e funzionalit\u00e0 di sicurezza forniscono. Ricerco cose essenziali come un certificato SSL<\/strong> per crittografare e proteggere i dati del mio sito web, la privacy del dominio<\/strong> per nascondere le mie informazioni personali dai database Whois pubblici, l\u2019autenticazione a 2 fattori<\/strong> per proteggere il mio sito web da accessi non autorizzati, backup distribuiti geograficamente<\/strong> per avere una copia di sicurezza del mio sito web nel caso qualcosa vada storto.<\/p>\n\n\n\n Un’altra misura di sicurezza chiave che vorrei venisse usata dal mio hosting provider \u00e8 un Web Application Firewall<\/strong> (un software che si trova davanti al mio sito web e lo protegge dal traffico dannoso) per mantenere il mio server al sicuro da exploit software. Controllo se viene fornita una protezione dagli attacchi DDOS e brute-force<\/strong> e un’opzione per gli aggiornamenti automatici alle ultime versioni di PHP e WordPress<\/strong> per proteggere il sito dai malware.<\/p>\n\n\n\n Se l’hosting fornisce pi\u00f9 strumenti di sicurezza, meglio ancora. Ad esempio, oltre a tutte queste funzionalit\u00e0, disponibili sulla piattaforma SiteGround<\/strong><\/a>, offrono anche il servizio Site Scanner<\/strong><\/a> e un plugin di sicurezza gratuito e integrato per WordPress, SiteGround Security<\/strong><\/a>, per assicurarsi che il tuo sito sia il pi\u00f9 sicuro possibile.<\/p>\n\n\n\n Il terzo passaggio, quando seleziono un hosting, \u00e8 sempre leggere gli ultimi 5 articoli nel loro blog.<\/p>\n\n\n\n No, non tutti gli articoli riguarderanno la sicurezza, ma \u00e8 meglio che riesca a trovarne uno recente. Il panorama della sicurezza cambia rapidamente, quindi \u00e8 necessario pubblicare regolarmente.<\/p>\n\n\n\n Infine, controllo le loro fasce di prezzo cercando di capire in quale potrebbe ricadere il mio sito. Il prezzo \u00e8 l’ultima cosa che controllo perch\u00e9 se i primi due punti del mio elenco non sono soddisfatti, il prezzo non ha importanza. Potrebbero darti il servizio gratuitamente e non lo userei comunque.<\/p>\n\n\n\n Una volta che hai gettato le basi per il tuo sito, \u00e8 il momento di iniziare a costruirlo. Ad ogni passaggio, devi assicurarti che la sicurezza sia “integrata” e non inclusa a forza quando possibile.<\/p>\n\n\n\n La sicurezza \u00e8 integrata quando ci pensi prima di iniziare a costruire il tuo sito web.<\/p>\n\n\n\n Non lo \u00e8 quando invece crei l’intero sito e decidi poi di aggiungere semplicemente un plugin incentrato sulla sicurezza per prendere precauzioni.<\/p>\n\n\n\n La soluzione integrata \u00e8 sempre<\/strong> la migliore.<\/p>\n\n\n\n Cosa significa integrare la sicurezza?<\/p>\n\n\n\n Non aspettare di essere pronto a pubblicare il tuo sito prima di ricordarti di installare il tuo certificato SSL. Al giorno d’oggi un sito web sicuro in pochi click. Prenditi del tempo per farlo subito e poi assicurati di forzare tutto il traffico affinch\u00e9 sia tramite https. Per quegli utenti che ospitano il sito con SiteGround, il Site Tools semplifica la configurazione e la forzatura dell’SSL. Pochi click e sei pronto.<\/p>\n\n\n\n Le password sono il lucchetto sulla porta d’ingresso del tuo sito. Quando crei il tuo sito, metti una serratura resistente alla porta d’ingresso richiedendo a tutti gli utenti di utilizzare password complesse. Se lo fai prima di consentire agli utenti di iniziare a entrare nel tuo sito, ti assicurerai che nessun utente imposti password deboli.<\/p>\n\n\n\n S\u00ec, una password complessa \u00e8 importante per chiunque debba accedere al sito, ma per ottenere accesso a cose come informazioni finanziarie o gestione degli utenti, dovresti impostare anche una seconda serratura di rinforzo. Mantieni il tuo sistema sicuro implementando la 2FA per tutti i tuoi amministratori. Il plugin SiteGround Security<\/a> semplifica la configurazione della 2FA.<\/p>\n\n\n\n Hai bisogno di un sistema di backup di 30 giorni implementato dal giorno 1. Non 1 giorno, non 7 giorni, 30 giorni. Il motivo \u00e8 che se il tuo sito viene hackerato, potresti non accorgertene immediatamente. Una volta che te ne sarai accorto, vorrai pulire il tuo sito e uno dei modi migliori per farlo \u00e8 ripristinare il sito da un backup pulito.<\/p>\n\n\n\n Il Site Tools di SiteGround fornisce uno strumento intuitivo per la pianificazione dei backup notturni e il loro ripristino quando necessario.<\/p>\n\n\n\n Gi\u00e0 che parliamo di backup, non dimenticare di fare un backup prima di qualsiasi aggiornamento, redesign del sito o installazione di un nuovo plugin. Non fa mai male avere un nuovo backup nel caso le cose vadano male.<\/p>\n\n\n\n Prima di iniziare a far entrare gli utenti nel tuo sistema, pensa ai ruoli che svolgeranno. Un ruolo \u00e8 un insieme di autorizzazioni o privilegi e quello che devi dare a ciascun utente \u00e8 il livello minimo assoluto di privilegio di cui ha bisogno per utilizzare il tuo sito<\/p>\n\n\n\n Regolarmente, almeno una volta all’anno, rivedi questi privilegi per assicurarti che siano ancora validi e che a nessun ruolo sia stato concesso un privilegio di cui non ha bisogno.<\/p>\n\n\n\n La maggior parte degli utenti non cerca di fare cose nocive, ma dobbiamo presumere che lo farebbero se potessero. Aderire al principio del privilegio minimo<\/a> aiuter\u00e0 a garantire che malintenzionati o utenti curiosi non possano fare nel tuo sito ci\u00f2 che non dovrebbero.<\/p>\n\n\n\n Nello sviluppo del software, come nella costruzione di una casa, la reputazione del tuo fornitore \u00e8 fondamentale per il successo del tuo progetto. Se utilizzi un fornitore di basso livello per i materiali della tua casa, l’intero progetto ne risentir\u00e0. Peggio ancora, risolvere in seguito questi problemi ti coster\u00e0 di pi\u00f9 che acquistare in principio buoni materiali.<\/p>\n\n\n\n Creare il tuo sito con materiali di qualit\u00e0 come plugin e temi di fornitori affidabili di solito ti coster\u00e0 denaro nel breve periodo. Tuttavia, sapere che ci sono aziende che stanno dietro ai loro prodotti e li aggiornano quando sorgono problemi vale il denaro speso. S\u00ec, puoi scegliere un plugin o un tema gratuito su cui costruire una funzionalit\u00e0 critica del tuo sito web. Tuttavia, cosa fai se scopri che c’\u00e8 un difetto di sicurezza? Peggio ancora, cosa fai quando scopri quel difetto e che l’autore ha abbandonato il progetto? A quel punto hai 2 opzioni, nessuna delle due buona.<\/p>\n\n\n\n Entrambe possono essere proposte costose, che potrebbero essere evitate semplicemente facendo scelte sagge all’inizio.<\/p>\n\n\n\n SiteGround ha recentemente esaminato i dati di molti siti web compromessi. Quello che hanno scoperto \u00e8 che la maggior parte dei siti web \u00e8 stata compromessa perch\u00e9 usava plugin senza patch che presentavano difetti di sicurezza. Per la maggior parte si trattava di versioni gratuite di plugin a pagamento scaricati da fonti inaffidabili. Scarica plugin e temi solo da siti affidabili come WordPress.org o fornitori di cui ti fidi.<\/p>\n\n\n\n La repository dei plugin di WordPress \u00e8 una fonte affidabile. WordPress.org ha implementato un processo di revisione per aiutare a filtrare i plugin che presentano potenziali problemi di sicurezza o violano in altro modo la policy di WordPress.<\/p>\n\n\n\n Proprio come implementi un sistema di sicurezza nella tua casa, vorrai impostare uno scanner di sicurezza per il tuo sito web non appena lo crei. Gli scanner di sicurezza esaminano il tuo sito sia internamente che esternamente per assicurarsi che non vi siano vulnerabilit\u00e0 note. Nessuno scanner per la sicurezza \u00e8 perfetto, proprio come nessun sistema di sicurezza domestica \u00e8 perfetto. Ma il tuo sito web sar\u00e0 pi\u00f9 sicuro usandone uno.<\/p>\n\n\n\n Un buon scanner cercher\u00e0 cose come le vulnerabilit\u00e0 di Cross Site Scripting tra le altre cose. Queste vulnerabilit\u00e0 possono far s\u00ec che il tuo sito venga usato per attacchi ad altri siti o attacchi all’utente finale stesso.<\/p>\n\n\n\n SiteGround ha un ottimo sistema di scansione. Ricevo regolarmente email che mi dicono quali siti ha scansionato e anche se sono tutti puliti o se c’\u00e8 un problema che devo risolvere…immediatamente.<\/p>\n\n\n\n Una volta che hai costruito una nuova casa, non dai le chiavi a chiunque te le chieda, anche se afferma di avere una buona ragione per volerle. Allo stesso modo, vorrai assicurarti che se ricevi un’email che afferma provenire dal tuo sito, non clicchi automaticamente sul link.<\/p>\n\n\n\n Dovresti conoscere ogni email che il tuo sistema \u00e8 in grado di inviare. Quando ne ricevi una che non ricordi di aver impostato, devi indagare. Non cliccare, inizia a revisionarla. Controlla le intestazioni, guarda l’URL esatto a cui puntano tutti i link. Soprattutto, metti in quarantena l’email utilizzando il tuo software di rilevamento dei virus.<\/p>\n\n\n\n Le email sconosciute che fingono di provenire dal tuo sito sono solo un altro modo in cui gli hacker cercano di entrare nel tuo sito. Questi attacchi di phishing provengono da server che non sono sotto il tuo controllo, quindi non puoi fermarli. Puoi tuttavia prestare attenzione, in modo che una volta ricevuti, li elimini. In quasi tutti i casi, se non clicchi, l’email stessa non pu\u00f2 causare alcun danno.<\/p>\n\n\n\n Mantenere sicuro un sito WordPress non deve essere un lavoro a tempo pieno se integri la sicurezza fin dall’inizio. Per fare ci\u00f2, ci sono un paio di strumenti che utilizzo su quasi tutti i siti WordPress che ho.<\/p>\n\n\n\nControlla il blog del provider<\/h3>\n\n\n\n
Controlla il prezzo<\/h3>\n\n\n\n
<\/span>Crea il tuo sito in modo che sia sicuro fin dall’inizio<\/span><\/h2>\n\n\n\n
Installa un certificato SSL non appena hai configurato il sito web<\/h3>\n\n\n\n
Imposta una policy di password complessa prima di iniziare ad aggiungere utenti<\/h3>\n\n\n\n
Richiedi l’autenticazione a 2 fattori (2FA) per qualsiasi utente che disporr\u00e0 di diritti di amministrazione<\/h3>\n\n\n\n
Configura un sistema di backup che eseguir\u00e0 regolarmente il backup dell’intero sito e memorizzer\u00e0 i backup in modo sicuro<\/h3>\n\n\n\n
Rispetta il principio del privilegio minimo<\/h3>\n\n\n\n
Utilizza solo software attendibili<\/h3>\n\n\n\n
<\/p>\n\n\n\nScansiona il tuo sito regolarmente<\/h3>\n\n\n\n
Fai attenzione alle truffe di phishing relative al tuo sito<\/h3>\n\n\n\n
<\/span>Strumenti che utilizzo regolarmente per integrare la sicurezza nei miei siti<\/span><\/h2>\n\n\n\n