Immagina questa scena: accedi al pannello di amministrazione al mattino e vieni reindirizzato a una pagina di phishing. Oppure Google ti invia una notifica: «Il sito potrebbe essere compromesso». O ancora, il tuo hosting sospende silenziosamente il sito per invio di spam che non hai mai mandato. Non sono tattiche intimidatorie, sono scenari comuni per WordPress, che alimenta il 43% di internet e resta il bersaglio numero uno per gli attacchi automatizzati.

Il problema è che il codice malevolo sa stare nascosto. Non ti rompe il layout, non ti scrive su Telegram, ruba traffico poco alla volta, mostra annunci di casinò ai visitatori o mina criptovalute sull'hardware altrui. E spesso il proprietario lo scopre mesi dopo.

Abbiamo raccolto 8 strumenti gratuiti che controllano il tuo sito su decine di parametri e ti mostrano dove ci sono falle, dagli scanner online istantanei ai plugin con accesso ai file e al database. Tutti funzionano senza investimenti nella versione base e per partire bastano da pochi minuti a mezz'ora.

💡 Panoramica rapida:

• Scegli il tipo di scanner: remoto (veloce, senza installazione) o plugin (controlli approfonditi su file e database)
• Lancia uno scanner online come Sucuri SiteCheck, ispezione esterna immediata senza registrazione
• Installa un plugin (Wordfence o MalCare) per un audit completo lato server e scansioni automatiche programmate
• Esamina il report, tappa le falle trovate e imposta controlli ricorrenti

Metodi per la scansione di WordPress: remota o dall'interno

Prima di passare agli strumenti, è importante capire la differenza tra due approcci. Non sono in competizione, si completano a vicenda.

Gli scanner remoti funzionano come il crawler di un motore di ricerca: inserisci un URL nella pagina web del servizio e lo scanner analizza ciò che è visibile nel browser, la versione finale renderizzata delle pagine. Il metodo è veloce e sicuro: non si installa nulla, non si trasferiscono credenziali di accesso, nessun carico sul server. Ma non guarda dentro il server. Se il codice malevolo è nascosto nel database o in file fuori dall'area pubblica, uno scanner remoto non lo vede.

I plugin di sicurezza si installano direttamente in WordPress e ottengono accesso all'intero ambiente di hosting: core, temi, plugin, database e persino file non correlati a WordPress. È una scansione molto più approfondita, con regole personalizzabili e automazione. Il prezzo della profondità: il plugin consuma risorse del server, anche se le soluzioni moderne (MalCare) scaricano il lavoro sul cloud.

Per esperienza, lo stack minimo per la maggior parte dei siti: uno scanner online per controlli esterni rapidi e un plugin per audit approfonditi. Di seguito vediamo gli strumenti specifici.

1. MalCare

MalCare è uno scanner di sicurezza basato su cloud che scarica tutto il lavoro pesante sui propri server. Si installa un plugin gratuito, mentre la scansione vera e propria avviene in remoto, così l'hosting non viene caricato. Il plugin controlla tutti i file del sito e il database, inclusi i programmi malevoli nascosti che non sono visibili durante un'ispezione esterna.

In pratica questo significa che anche su un hosting condiviso debole, una scansione completa non ti butterà giù il sito. La versione gratuita include la scansione automatica giornaliera e un firewall di base. I piani premium aggiungono la rimozione del malware in un clic, CAPTCHA, blocco IP, protezione della cartella upload, disabilitazione dell'editor file e report white-label per le agenzie.

Pro: scansione cloud senza carico sul server, dashboard comoda, white-label per i clienti. Contro: rimozione malware solo nella versione premium, nessuna autenticazione a due fattori nella versione gratuita.

Prezzo: gratuito (scansione di base + firewall), premium in abbonamento, tariffe aggiornate sul sito.

🔗 MalCare su WordPress.org | 🔗 Sito MalCare

2. Sucuri SiteCheck

Sucuri è uno dei nomi più noti nella sicurezza web. Il suo scanner online gratuito SiteCheck verifica qualsiasi sito (non solo WordPress) per programmi malevoli noti, software obsoleto, errori di configurazione e presenza in blacklist.

Lo scanner confronta le pagine del sito con il database di firme di Sucuri e produce un report sulle anomalie. Vedrai anche lo stato del sito secondo Google Safe Browsing, AVG, McAfee, Norton e altri servizi, utile se sospetti che il sito possa essere già stato penalizzato. Nella nostra esperienza, SiteCheck funziona benissimo come «prima linea»: si avvia in 30 secondi, vedi subito se c'è qualcosa di critico e decidi.

Limite principale: la modalità remota non accede ai file sul server. Quindi SiteCheck va bene per un controllo rapido «dall'esterno», mentre per audit approfonditi Sucuri offre un plugin WordPress dedicato.

Pro: avvio immediato senza registrazione, verifica su tutte le blacklist, report dettagliato. Contro: solo ispezione esterna, nessun accesso lato server.

Prezzo: gratuito (scanner online), plugin con firewall in abbonamento, tariffe esatte sul sito.

🔗 Sucuri SiteCheck

3. WP Sec

WP Sec è uno scanner online specializzato, pensato esclusivamente per WordPress. A differenza di strumenti generici come Sucuri, monitora un database di vulnerabilità specifico per core, temi e plugin di WordPress.

Puoi scansionare un sito una tantum inserendo l'URL, oppure registrare un account gratuito per la scansione automatica settimanale. Per chi gestisce più siti, WP Sec offre una dashboard di monitoraggio unificata e notifiche email quando vengono rilevate vulnerabilità o sono necessari aggiornamenti.

Il database di WP Sec è costantemente aggiornato con nuove CVE e bug, le minacce più comuni vengono rilevate in modo affidabile. Il report di base mostra la vulnerabilità e come risolverla.

Pro: specializzazione WordPress, scansione automatica programmata, alert email. Contro: la protezione antibot può bloccare l'accesso da alcuni IP, report di base senza analisi approfondita.

Prezzo: gratuito (1 sito, scansione settimanale), premium in abbonamento, tariffe esatte sul sito.

🔗 WP Sec

4. HackerTarget WordPress Security Scan

HackerTarget offre un livello base gratuito e uno premium ampliato. Lo scanner esegue una serie di richieste HTTP alle pagine del sito e analizza il codice sorgente HTML, più o meno come farebbe un bot di ricerca.

La versione gratuita verifica: versione di WordPress e sua visibilità nel codice sorgente, reputazione dell'hosting, geolocalizzazione del server, reputazione del sito secondo i dati di Google Safe Browsing, link esterni, elenco plugin, indicizzazione delle directory dei plugin, presenza di iframe e JavaScript associato. Gli ultimi due punti sono particolarmente importanti: il codice malevolo viene spesso distribuito tramite iframe e script di terze parti.

Pro: controlli dettagliati di header e dipendenze esterne, rilevamento di script sospetti. Contro: solo analisi passiva dell'HTML, non verifica il lato server.

Prezzo: gratuito (scansione base), premium in abbonamento, tariffe esatte sul sito.

🔗 HackerTarget WordPress Security Scan, apri hackertarget.com e seleziona WordPress Security Scan dal menu strumenti

5. Security Ninja

Security Ninja esegue oltre 50 test di sicurezza automatici sul tuo sito WordPress. Controlla tutto: dalle cose ovvie come la versione PHP e il prefisso standard delle tabelle wp_ fino a impostazioni meno visibili, la disabilitazione di XML-RPC, la protezione del file wp-config.php, i permessi delle directory.

Il plugin non si limita a segnalare un problema, ma spiega come risolverlo, con passaggi specifici e link alla documentazione. La versione gratuita offre una scansione completa, dopodiché puoi esaminare ogni voce e chiudere le falle. È sufficiente per un audit una tantum di un sito che non è mai stato sottoposto a controlli di sicurezza.

La versione premium aggiunge correzioni automatiche con un clic, pianificazione delle scansioni e ulteriori test. Per sviluppatori e agenzie è disponibile un modulo con report per i clienti.

Pro: oltre 50 test in un unico plugin, istruzioni chiare per ogni voce, non appesantisce il server. Contro: versione gratuita limitata a una scansione, correzione automatica solo nella premium.

Prezzo: gratuito (1 scansione completa), premium in abbonamento, tariffe esatte sul sito.

🔗 Security Ninja su WordPress.org

6. Wordfence

Wordfence è il plugin di sicurezza gratuito più diffuso per WordPress: oltre 5 milioni di installazioni attive a metà 2025 secondo WordPress.org. Il plugin esegue la scansione del codice sorgente, dei file immagine, dei temi, dei plugin e, opzionalmente, dei file al di fuori di WordPress.

Il database delle firme di Wordfence contiene oltre 44.000 programmi malevoli noti, backdoor e URL di phishing. Lo scanner controlla non solo i file, ma anche commenti, articoli e pagine del sito. Una funzione separata confronta i file del core, del tema e dei plugin con le versioni originali presenti nel repository di WordPress: se un file è stato modificato, lo vedi immediatamente.

Il Web Application Firewall (WAF) integrato funziona a livello di endpoint e protegge da attacchi di forza bruta, XSS, SQL injection e altre minacce. Il Threat Defense Feed si aggiorna costantemente, le nuove regole arrivano sul sito in automatico.

Pro: copertura massima (file + DB + commenti), WAF già incluso, enorme database di firme. Contro: può appesantire sensibilmente gli hosting poco performanti durante le scansioni complete, interfaccia dispersiva per i principianti.

Prezzo: gratuito (scanner completo + WAF di base), premium in abbonamento, tariffe esatte sul sito.

🔗 Wordfence su WordPress.org

7. VirusTotal

VirusTotal non è uno scanner in senso tradizionale, è un aggregatore: passa l'URL del tuo sito attraverso oltre 70 motori antivirus e scanner di reputazione simultaneamente. Tra questi ci sono Avira, Comodo, Bitdefender, Kaspersky, oltre a Sucuri, Quttera e altri strumenti specializzati.

Il vantaggio principale di questo approccio è un consenso immediato. Se un solo motore considera un file malevolo mentre gli altri 69 restano silenti, probabilmente si tratta di un falso positivo. Se una dozzina di motori si accendono in rosso, è il momento di far suonare l'allarme. Nella nostra esperienza, VirusTotal ci ha salvato più di una volta quando SiteCheck risultava pulito ma uno dei motori antivirus trovava una shell nascosta.

VirusTotal non è legato a WordPress e funziona per qualsiasi sito. Nota importante: gli URL e i file inviati a VirusTotal vengono condivisi con i partner di sicurezza per migliorare i loro database. Per risorse interne riservate, tienilo presente.

Pro: oltre 70 motori simultaneamente, consenso immediato, rilevamento dei falsi positivi. Contro: non specifico per WP (non controlla le versioni dei plugin), dati accessibili ai partner.

Prezzo: gratuito.

🔗 VirusTotal

8. Quttera

Quttera utilizza un approccio ibrido: puoi eseguire una rapida scansione online senza installazione, oppure installare il plugin e ottenere accesso completo al controllo lato server. Il plugin cerca script sospetti, file media malevoli, minacce nascoste nel database e verifica se il sito è finito in blacklist.

La scansione vera e propria viene eseguita sui server remoti di Quttera, come con MalCare, riducendo il carico sull'hosting. Al termine ricevi un report in cui ogni elemento trovato è classificato come: Pulito, Potenzialmente sospetto, Sospetto o Malevolo. Per ogni voce c'è una raccomandazione per la correzione.

I report di Quttera sono pubblici, un aspetto positivo per la trasparenza, ma da tenere presente quando si controllano progetti sensibili.

Pro: formato ibrido (online + plugin), classificazione delle minacce per livelli, scansione cloud. Contro: report pubblici, i gestori AJAX del plugin richiedono un audit di sicurezza aggiuntivo.

Prezzo: gratuito (scansione di base), premium in abbonamento, tariffe esatte sul sito.

🔗 Quttera su WordPress.org

Scopri come WPScan, uno scanner professionale di vulnerabilità per WordPress, trova falle in pochi minuti, dall'installazione al primo report:

A proposito, abbiamo una guida dettagliata su come usare WPScan per trovare vulnerabilità WordPress: consultala se vuoi padroneggiare lo strumento più a fondo.

⁉️🤔 Domande frequenti

Uno scanner online gratuito basta per proteggere il mio sito?

Uno scanner online è un controllo rapido «dall'esterno». Mostra i problemi visibili: versione di WordPress obsoleta, codice malevolo noto nel sorgente della pagina, presenza in blacklist. Ma non vede cosa succede nel database e sul server. Per avere il quadro completo, abbina uno scanner online (Sucuri SiteCheck) a un plugin (Wordfence o MalCare): così copri sia il perimetro esterno sia quello interno. Per la massima profondità aggiungi un audit manuale con WPScan seguendo la nostra guida.

Ogni quanto dovrei scansionare il mio sito WordPress per le vulnerabilità?

La frequenza minima è una volta a settimana. È l'intervallo del piano gratuito di WP Sec, e non è casuale: nuove vulnerabilità in plugin e core vengono pubblicate di continuo. Se il sito accetta pagamenti o conserva dati utente, imposta una scansione giornaliera: MalCare e Wordfence possono farlo anche nelle versioni free. Dopo ogni aggiornamento di plugin o tema, una scansione non programmata è obbligatoria.

Quale scanner scegliere per un hosting debole?

MalCare è la scelta giusta. La scansione viene eseguita su server cloud, non sul tuo hosting. Anche su un hosting condiviso economico il sito non andrà giù. In alternativa, gli scanner online (Sucuri SiteCheck, WP Sec) non caricano affatto il server, ma la loro profondità di controllo è minore.

In cosa la scansione è diversa dalla protezione attiva (firewall)?

La scansione è diagnostica: individua problemi già esistenti (software malevolo, vulnerabilità, file sospetti). Un firewall (WAF) è prevenzione: blocca gli attacchi prima che raggiungano il sito. Wordfence include entrambi nella versione gratuita. MalCare è principalmente uno scanner (firewall nella versione premium). Gli scanner online sono solo diagnostica, senza protezione attiva.

Devo installare un plugin se uso uno scanner online?

Uno scanner online guarda il sito con gli occhi di un visitatore. Se il codice malevolo è nascosto in functions.php o nel database, uno scanner online non lo rileva. Perciò un plugin è necessario per avere il quadro completo. Stack minimo: uno scanner online per controlli rapidi + un plugin per audit approfonditi.

Cosa devo fare se uno scanner trova una vulnerabilità?

Prima di tutto, niente panico. Priorità: 1) aggiorna il plugin, il tema o il core problematico all'ultima versione (la maggior parte delle vulnerabilità note è già stata corretta dal fornitore); 2) se non ci sono aggiornamenti o il problema non è legato alla versione, disattiva temporaneamente il componente; 3) cambia tutte le password (amministratore WP, FTP, hosting, database); 4) esegui una scansione completa con un plugin come Wordfence per cercare eventuali conseguenze; 5) se il sito è già stato compromesso, contatta il supporto dell'hosting o uno specialista di pulizia.

Cosa usare nel 2026: in sintesi

Per la maggior parte dei siti consigliamo la combinazione: Wordfence (audit approfondito + WAF) + Sucuri SiteCheck (controllo esterno rapido). Entrambi gli strumenti sono gratuiti e coprono lato server e lato client.

Se l'hosting è debole, sostituisci Wordfence con MalCare, che non carica il server. Se devi controllare una volta sola un sito mai sottoposto ad audit, parti con Security Ninja (oltre 50 test in una scansione). E per monitorare decine di siti da una dashboard unificata, WP Sec con abbonamento premium.

Non rimandare: esegui subito almeno uno scanner online. Se ti serve aiuto per impostare una protezione approfondita, leggi il nostro articolo sui migliori plugin per la scansione di WordPress alla ricerca di programmi malevoli.