Nel 2026, gli attacchi ai siti WordPress non sono più mirati: bot automatici con intelligenza artificiale scansionano migliaia di siti al minuto alla ricerca di vulnerabilità note. Un plugin non aggiornato, una password debole o un hosting senza firewall sono tutto ciò di cui hanno bisogno. La buona notizia: mettere in sicurezza WordPress richiede meno lavoro di quanto pensi, se lo fai nel modo giusto e scegliendo il provider giusto come punto di partenza.
Plugin obsoleti
€250+/ora
Gratuito
Obbligatorio
Essenziale
Gratuito
Perché la Sicurezza Hosting è la Prima Linea di Difesa
La sicurezza di WordPress inizia dall’hosting, non dall’applicazione. Se il provider non offre isolamento degli account, firewall server e malware scanning automatico, qualsiasi plugin di sicurezza installato è una difesa incompleta. In un hosting condiviso senza isolamento, la compromissione di un sito vicino può propagarsi al tuo.
Scegli provider con: isolamento degli account (CloudLinux), firewall a livello server, scanning malware automatico, aggiornamenti software server e WAF integrato. SiteGround, Kinsta e WP Engine implementano queste misure di default.
1. Aggiorna Tutto, Sempre
La causa numero uno degli hack su WordPress nel 2026 sono plugin, temi e versioni WordPress obsolete. Le vulnerabilità vengono pubblicate nel momento in cui una patch è disponibile: chi non aggiorna diventa un bersaglio immediato. Attiva gli aggiornamenti automatici per WordPress core, plugin e temi. Per i plugin premium, aggiorna entro 48 ore dalla release.
Plugin nulled: plugin e temi piratati vengono distribuiti deliberatamente con malware. Non installarli mai, neanche per test: una singola installazione può compromettere l’intero hosting.
2. Protezione Login: 2FA e Limit Login Attempts
L’area wp-admin è il bersaglio principale degli attacchi brute force. Tre misure fondamentali che devi implementare subito:
Protezione Login — Da implementare subito
- Two-Factor Authentication — Plugin: WP 2FA o Google Authenticator
- Limit Login Attempts — blocca l’IP dopo 3–5 tentativi falliti
- Cambia URL wp-admin — Plugin WPS Hide Login elimina il 90% degli attacchi brute force
- Password robuste — minimo 16 caratteri con caratteri speciali, gestite con Bitwarden
3. Backup: La Tua Assicurazione contro il Disastro
Il backup è l’unica misura che garantisce il recupero completo in ogni scenario, incluso ransomware. Regola fondamentale: il backup deve essere su un servizio separato dall’hosting. Se il server viene compromesso e i backup sono sullo stesso server, l’attaccante può eliminarli.
Strategia Backup 2026
- Backup giornaliero automatico con UpdraftPlus o BlogVault
- Storage remoto: Google Drive, Dropbox o Amazon S3
- Backup manuale prima di ogni aggiornamento importante
- Test di ripristino periodico: un backup che non si ripristina non ha valore
4. WAF e Firewall: Blocca gli Attacchi all’Edge
Un Web Application Firewall (WAF) analizza il traffico e blocca le richieste malevole prima che raggiungano WordPress. Nel 2026 i WAF cloud-based sono i più efficaci perché operano all’edge, prima che il traffico raggiunga il tuo server.
| WAF | Prezzo | Tipo | Punto di forza |
|---|---|---|---|
| Cloudflare | Gratuito | DNS-level | Setup immediato, 330+ PoP |
| Sucuri | €199/anno | DNS-level | Malware cleanup garantito incluso |
| Wordfence | Gratuito/Premium | Plugin PHP | Scanner malware real-time |
5. SSL e HTTPS
Nel 2026, un sito senza HTTPS non è solo insicuro: Chrome e Firefox mostrano avvisi ai visitatori e Google lo penalizza nel ranking. Let’s Encrypt (gratuito, rinnovo automatico ogni 90 giorni) è incluso su quasi tutti gli hosting moderni. Configura il redirect forzato da HTTP a HTTPS tramite .htaccess o il plugin Really Simple SSL. Per approfondire: guida completa SSL e HTTPS per WordPress.
6. Scansione Malware Regolare
Molti siti vengono hackerati senza che il proprietario se ne accorga per settimane. Plugin consigliati per la scansione: Wordfence (scansione settimanale automatica), Sucuri Security (scansione remota) o MalCare (rilevamento ML). Se Google Search Console mostra warning “Sito potenzialmente pericoloso”, il sito è già compromesso.
7. Gestione Utenti e Permessi File
Permessi corretti: cartelle 755, file 644, wp-config.php 600. Disabilita l’editor file dal dashboard WordPress aggiungendo define('DISALLOW_FILE_EDIT', true); al wp-config.php. Rimuovi utenti admin non necessari e monitora l’attività con un plugin di audit log.
Aggiorna immediatamente WordPress core, plugin e temi. Attiva 2FA sull’account admin e configura backup automatici su storage remoto: queste tre azioni eliminano la maggior parte dei rischi comuni.
Aggiungi Cloudflare (WAF gratuito + SSL + CDN), installa Wordfence o Sucuri per il malware scanning, cambia l’URL di wp-admin. Non installare mai plugin o temi nulled: è la causa più frequente di compromissione nei siti italiani.
Un hosting managed WordPress con sicurezza integrata (WAF, malware scanning, backup automatici, isolamento account) elimina gran parte del lavoro manuale. SiteGround è uno dei provider con il miglior track record sulla sicurezza nel mercato italiano.
Domande Frequenti (FAQ)
Come faccio a sapere se il mio sito WordPress è stato hackerato?
Segnali comuni: rallentamento improvviso, avvisi di sicurezza in Google Search Console, visitatori reindirizzati a siti esterni, nuovi utenti admin non creati da te, consumo anomalo di risorse segnalato dal provider. Sucuri SiteCheck (gratuito) esegue una scansione rapida dall’esterno.
Devo pagare per un certificato SSL nel 2026?
No. Let’s Encrypt fornisce certificati SSL/TLS gratuiti, validi 90 giorni e rinnovabili automaticamente, accettati da tutti i browser moderni. Quasi tutti gli hosting li includono automaticamente. I certificati a pagamento (OV, EV) hanno senso solo per e-commerce che trattano dati sensibili.
Wordfence o Sucuri: quale scegliere?
Wordfence (gratuito) è ideale per blog e siti personali: scanner malware e firewall tutto-in-uno installato sul server. Sucuri (€199/anno) offre WAF cloud-level che blocca prima del server, con garanzia di malware cleanup illimitato incluso. Per siti di business, Sucuri offre una protezione più robusta.
Con quale frequenza fare backup di WordPress?
Per un blog con aggiornamenti rari, backup settimanali sono accettabili. Per un e-commerce o sito aggiornato quotidianamente, backup giornalieri (o real-time per transazioni critiche). L’importante è che i backup siano archiviati in una location separata dall’hosting.
L’hosting condiviso è sicuro per WordPress?
Dipende dal provider. Con isolamento CloudLinux (ogni sito in ambiente separato) è ragionevolmente sicuro. Senza isolamento, la compromissione di un vicino può propagarsi al tuo sito. Verifica sempre che il provider usi isolamento degli account prima di affidarti a un piano condiviso.