8 Aprile 2025 - e-Service di Puzzo Davide

Come ho aumentato la sicurezza di un e-commerce senza toccare tema o pluginQuando si parla di sicurezza WordPress, molti pensano subito a plugin o modifiche al tema. Ma esistono interventi invisibili all’utente e al layout grafico che aumentano enormemente la sicurezza del sito, specialmente per gli e-commerce che gestiscono dati sensibili. In questo articolo ti racconto un caso reale in cui abbiamo migliorato la sicurezza di un sito WooCommerce senza installare plugin né toccare il tema.Il problema: attività anomale e instabilitàIl cliente ci ha contattati perché il backend del suo e-commerce si bloccava a intermittenza. Inoltre, riceveva numerose notifiche di tentativi di login falliti e gli utenti segnalavano problemi con il carrello. Apparentemente tutto era aggiornato, ma c’erano falle invisibili. Dopo un’analisi, abbiamo scoperto che mancava una protezione lato server.Interventi fatti (senza plugin)Protezione dell’accesso a /wp-admin via .htaccess e IP whitelistBlocco completo di XML-RPC, vettore comune per attacchi brute forceRimozione della versione WordPress visibile nel codice sorgenteImpostazione header di sicurezza in .htaccessDisabilitazione directory browsing con “Options -Indexes”Limitazione query sospette da bot tramite rewrite ApacheRisultati ottenutiRiduzione degli accessi sospetti del 98%Backend più reattivo e stabileEliminazione completa degli errori di cachingZero interferenze con design, plugin e funzionalità WooCommerceEsempio: configurazione headerHeader set X-Frame-Options "DENY"Header set X-XSS-Protection "1; mode=block"Header set X-Content-Type-Options "nosniff"Header set Referrer-Policy "no-referrer-when-downgrade"Vulnerabilità e-commerce in numeriSecondo Wordfence, oltre il 90% dei siti WordPress compromessi nel 2023 non avevano protezioni lato server attive. Il 61% degli attacchi automatici sfrutta endpoint comuni (es. /wp-login.php, /xmlrpc.php). Gli e-commerce sono particolarmente esposti a causa dei login pubblici, moduli di pagamento e utenti registrati.Prima e dopoParametroPrimaDopoLogin sospetti250/giorno0Tempo risposta admin7.4s1.1sErrori cachefrequentinessunoChecklist per aumentare la sicurezza lato serverLimitare accesso a /wp-admin via IPBloccare XML-RPC se non necessarioProteggere wp-config.php con regole ApacheImpostare header di sicurezza in .htaccessAttivare backup automatici server-sideDomande frequentiServe un plugin per fare tutto questo?No. Tutti gli interventi sono stati eseguiti via server o file di configurazione, senza appesantire il sito.Funziona anche su hosting condiviso?Sì, la maggior parte delle modifiche sono compatibili con cPanel e file .htaccess, anche su hosting base.️La sicurezza non si vede, ma funzionaUn sito sicuro non è quello pieno di plugin, ma quello configurato in modo intelligente. Gli utenti non noteranno nulla, ma i bot e gli hacker sì. E troveranno un muro al posto di una porta aperta.✅ ConclusioneNon aspettare di essere attaccato per pensare alla sicurezza. Un intervento lato server ben fatto può rendere il tuo sito e-commerce più stabile, veloce e sicuro, senza modificare nulla della tua struttura o grafica.Scopri i nostri interventi di sicurezza WordPressPrenota un’analisi tecnica gratuitaAltri accorgimenti tecnici per aumentare la sicurezzaOltre alle configurazioni base come gli header di sicurezza e il blocco degli IP, ci sono misure meno conosciute ma molto efficaci:Implementare rate limiting per le richieste HTTP al sitoAttivare il monitoraggio syslog per WordPress su hosting avanzatiLimitare le richieste POST al solo indirizzo login via .htaccessUsare Content-Security-Policy per bloccare l’esecuzione di script da fonti esterne non autorizzateAbilitare notifiche in tempo reale in caso di accesso backend da IP sconosciutiEmail di allerta e cronologia accessiUna misura avanzata che abbiamo applicato è l’invio automatico di email in caso di accesso anomalo. Se l’indirizzo IP non è riconosciuto, o il browser cambia in modo improvviso, viene inviata una notifica al cliente con geolocalizzazione e timestamp.Inoltre, abbiamo attivato un semplice script che archivia la cronologia dei login admin su base giornaliera, salvandola lato server, fuori dalla directory WordPress, quindi inaccessibile ai bot.Sicurezza continua: manutenzione + monitoraggioUn sito non è mai sicuro “per sempre”. Nuove vulnerabilità emergono ogni mese. Per questo, oltre agli interventi iniziali, abbiamo attivato un servizio di monitoraggio automatico con report mensile: attività anomale, login ripetuti, scansione file, modifiche di permessi.Il cliente riceve un PDF ogni 30 giorni con i dati rilevanti: accessi, cambi di file, modifiche ai plugin. Una soluzione perfetta per chi vuole dormire sonni tranquilli senza dover controllare tutto a mano.Educare il cliente alla sicurezzaUna parte fondamentale della sicurezza è la consapevolezza. Il cliente spesso pensa che, avendo un sito online, sia già protetto per definizione. Nel nostro approccio abbiamo incluso anche una sessione di formazione: spiegazione delle minacce più comuni, indicazioni su come riconoscere email phishing, e uso corretto del pannello admin.Abbiamo fornito un manuale PDF con le 10 regole d’oro per tenere il sito al sicuro e creato un canale dedicato per le richieste urgenti. Questo ha aumentato il coinvolgimento e la responsabilizzazione del cliente stesso, riducendo drasticamente gli errori umani (password deboli, accessi da reti non sicure, ecc.).Risorse utilizzateGuida ufficiale WordPress: HardeningOWASP Top 10 – vulnerabilità più comuniReport Wordfence 2023 – Attacchi più diffusi ai siti WPConsiglio extra: crea un ambiente stagingUna delle pratiche migliori per evitare problemi sul sito live è avere una copia staging. Ogni modifica importante viene testata prima su staging: aggiornamenti, nuove funzioni, modifiche ai permessi. Il sito principale resta stabile e protetto. In questo caso, abbiamo richiesto all’hosting del cliente di attivare la funzione e testato lì ogni intervento prima di renderlo definitivo.

Daily Archives: 8 Aprile 2025

Come ho aumentato la sicurezza di un e-commerce senza toccare tema o plugin