Apri il pannello di amministrazione una mattina e vedi un redirect verso un sito di phishing. Oppure Google contrassegna in rosso l’intera scheda nei risultati di ricerca: «Questo sito potrebbe essere stato hackerato». O ancora il tuo provider di hosting ti invia un’email per carico eccessivo perché uno script sta inviando spam dal tuo server.

Il codice malevolo in WordPress raramente si annuncia in modo vistoso. Per mesi raccoglie silenziosamente password, inietta link nascosti e mina criptovalute sui processori dei visitatori. Secondo una ricerca sulla sicurezza di WordPress, il 96% delle vulnerabilità nell’ecosistema WordPress proviene da plugin e temi, e il tempo medio tra la scoperta di una vulnerabilità e il suo sfruttamento attivo è sceso a 48 ore. Senza una scansione regolare, sarai l’ultimo a sapere di un problema, dopo che i motori di ricerca avranno bannato il tuo dominio e il tuo host avrà sospeso l’account.

La buona notizia: qualsiasi amministratore può verificare la presenza di virus e codice sospetto su un sito senza competenze approfondite di cybersecurity. Bastano il plugin giusto e 15 minuti. Di seguito trovi tre strumenti principali che svolgono questo compito, più un piano passo passo nel caso in cui un’infezione sia già confermata.

💡 Panoramica rapida:

• Installa Sucuri Scanner per controlli rapidi di integrità dei file e monitoraggio delle modifiche; confronta lo stato attuale dei file core e dei plugin con il repository ufficiale.
• Esegui Wordfence per una scansione approfondita: backdoor, URL malevoli, firme di infezioni note e un firewall applicativo integrato.
• Usa Anti-Malware Security (GOTMLS) per una scansione completa di tutte le cartelle e i file, inclusi .htaccess e directory nascoste, con verifica manuale dei risultati.
• Se vengono rilevati virus: cambia le password → crea un backup → esegui una pulizia professionale o segui la checklist nella sezione finale.

Segnali che il tuo sito WordPress ha bisogno di una scansione

Il momento migliore per la prima scansione è adesso. La maggior parte dei proprietari di siti rimanda l’installazione di uno scanner «a dopo», mentre il codice malevolo fa il suo lavoro. La scansione settimanale è un’operazione di base, come i backup o gli aggiornamenti.

Tuttavia, alcuni indicatori richiedono una scansione completa immediata:

• Google Search Console invia avvisi su contenuti malevoli o pagine di phishing che non hai pubblicato.
• Un picco improvviso di carico del server senza crescita del traffico: uno script di terzi sta minando criptovalute o inviando spam.
• Amministratori sconosciuti nella sezione Utenti, specialmente con permessi che non hai concesso.
• Redirect spontanei verso siti di terze parti, in particolare per i visitatori che arrivano dai motori di ricerca.
• File sospetti nella root del sito o nella cartella /wp-content/uploads/ con estensioni non standard come .php in mezzo alle immagini.
• File core modificati che non hai toccato: WordPress stesso ti avviserà quando proverai a fare un aggiornamento.

Anche se non compare nessuno di questi segnali, la scansione settimanale intercetta le minacce nella fase di infiltrazione, prima che danneggino la tua reputazione e il posizionamento sui motori di ricerca.

1. Sucuri Security: audit di integrità e monitoraggio delle modifiche

Sucuri è uno degli strumenti più autorevoli nell’ecosistema della sicurezza WordPress. La versione gratuita del plugin copre tre compiti chiave: monitoraggio dell’integrità dei file (confronto degli hash con lo standard del repository), rilevamento di codice sospetto e blocco rigoroso di diversi vettori di attacco tramite hardening della sicurezza.

Il plugin esegue la scansione dei file core, dei temi e dei plugin alla ricerca di discrepanze rispetto alle versioni ufficiali. Se un file è stato modificato, vedi la riga specifica e puoi decidere se si tratta di una modifica legittima o di un’iniezione. Sucuri controlla anche la presenza di iframe nascosti, link malevoli nei contenuti e attività anomale nei log di accesso.

Vantaggi:

• Scansione gratuita dell’integrità e monitoraggio delle modifiche senza limitazioni.
• I piani a pagamento includono un firewall DNS che blocca gli attacchi prima che raggiungano il server; questo è più efficace dei firewall a livello applicativo.
• I piani a pagamento includono la pulizia manuale del sito da parte degli specialisti Sucuri senza costi aggiuntivi, un aspetto critico per le aziende.

Svantaggi:

• Firewall e rimozione malware sono disponibili solo nella versione a pagamento (a partire da $199 all'anno).
• Il plugin gratuito non rimuove automaticamente le minacce rilevate; devi intervenire manualmente.

Sucuri su WordPress.org | Sito ufficiale Sucuri

2. Wordfence: scansione approfondita e firewall a livello applicativo

Wordfence è installato su oltre 4 milioni di siti ed è tra i cinque plugin WordPress più scaricati di sempre. Il suo vantaggio principale è la combinazione di uno scanner approfondito e un firewall endpoint in un unico plugin gratuito.

Lo scanner di Wordfence verifica i file core, i temi e i plugin confrontandoli con il repository ufficiale, cerca firme malware note, backdoor (eval, base64_decode) e URL sospetti nei contenuti e nei commenti. Al termine della scansione ricevi un report con i risultati raggruppati: critici, avvisi e informativi.

Il firewall opera a livello applicativo: analizza le richieste in ingresso prima che WordPress le elabori, bloccando attacchi brute-force, scansioni di vulnerabilità e tentativi di exploit mirati a falle note dei plugin. La versione premium aggiunge firme delle minacce in tempo reale (le regole si aggiornano istantaneamente anziché con 30 giorni di ritardo).

Vantaggi:

• Scansione approfondita e firewall sono gratuiti; una rarità sul mercato.
• Ripristino automatico dei file core e dei plugin modificati: sostituzione in un clic con l'originale dal repository.
• Report dettagliati con raccomandazioni per ogni voce.

Svantaggi:

• La versione gratuita riceve le firme del firewall con 30 giorni di ritardo; gli utenti a pagamento vedono le nuove regole all'istante.
• Un firewall a livello applicativo gira dentro WordPress: se il server è compromesso a livello di hosting, Wordfence non può aiutare.

Wordfence su WordPress.org | Sito Wordfence

3. Anti-Malware Security (GOTMLS): scansione completa file per file

Anti-Malware Security di GOTMLS è uno scanner meno conosciuto ma estremamente meticoloso. Non si limita alle directory standard di WordPress: il plugin controlla tutti i file e le cartelle della tua installazione, inclusi .htaccess, directory nascoste e file di configurazione del server.

L'algoritmo cerca pattern di infezione noti, script malevoli, codice offuscato, iniezioni eval nascoste e anomalie nella struttura dei file. L'autore aggiorna attivamente il database delle definizioni: nuove firme compaiono non appena vengono scoperte minacce in circolazione.

L'aspetto principale da considerare è l'elevata sensibilità. Il plugin genera spesso falsi positivi, specialmente su temi e plugin personalizzati con architettura non standard. Ogni segnalazione richiede un confronto manuale con l'originale, il che richiede un certo livello di competenza tecnica e tempo.

Vantaggi:

• Esegue la scansione di tutte le directory del server, non solo di WordPress.
• Definizioni malware aggiornate attivamente; il database è mantenuto e ampliato settimanalmente.
• Include un'opzione di firewall a livello applicativo nella versione gratuita.

Svantaggi:

• Molti falsi positivi: la verifica manuale dei rilevamenti è inevitabile.
• L'interfaccia è spartana; i report sono meno dettagliati rispetto a Wordfence o Sucuri.
• Richiede che l'amministratore conosca la struttura dei file di WordPress.

Anti-Malware Security su WordPress.org

Cosa fare se lo scanner trova virus: piano di pulizia passo dopo passo

Lo scanner mostra risultati critici. Niente panico. Un'azione metodica a mente fredda ti farà recuperare il sito più velocemente che cancellare file a caso.

Passo 1: Cambia tutte le password. Aggiorna immediatamente gli account amministratore di WordPress, le credenziali di accesso al pannello di hosting, FTP/SFTP e la password del database. Se l'attaccante ha ottenuto l'accesso tramite una password compromessa, questo passaggio termina la sua sessione.

Passo 2: Crea un backup completo. Copia i file via FTP e il database via phpMyAdmin, anche se infetti. Se qualcosa va storto durante la pulizia, avrai un punto di ripristino. Crea il backup prima di qualsiasi altra azione.

Passo 3: Isola il sito. Attiva la modalità manutenzione tramite un plugin o il file .maintenance. Se il tuo hosting lo consente, limita temporaneamente l'accesso al sito per IP, consentendo solo il tuo. Questo blocca l'ulteriore diffusione dell'infezione ai visitatori.

Passo 4: Esegui una pulizia professionale. Non è il momento di risparmiare. Servizi come Sucuri (nei piani a pagamento) e Wordfence Care includono la pulizia manuale da parte di specialisti: trovano e rimuovono ogni traccia dell'intrusione, incluse le backdoor nascoste che un occhio non esperto non vedrebbe. Costo: da $199 all'anno (Sucuri) a $490 all'anno (Wordfence Care), paragonabile a uno o due giorni di fermo attività.

Passo 5: Pulizia fai-da-te (se sei sicuro delle tue competenze). Ripristina il core di WordPress da una distribuzione pulita, sostituisci tutti i plugin e i temi con le versioni originali dal repository, controlla manualmente /wp-content/uploads/ alla ricerca di file PHP e rimuovi tutto ciò che non dovrebbe esserci. Dopo la pulizia, esegui un'altra scansione: il sito deve risultare pulito.

Passo 6: Rafforza le difese. Imposta l'autenticazione a due fattori per tutti gli amministratori, limita i tentativi di login, disabilita XML-RPC se non ti serve e configura gli aggiornamenti automatici per i file core e i plugin. Un firewall a livello DNS (Sucuri o Cloudflare) fornisce un ulteriore strato di difesa davanti al tuo server.

⁉️🤔 Domande frequenti

I plugin gratuiti bastano per la protezione o servono quelli premium?

Le versioni gratuite di Wordfence e Sucuri Scanner gestiscono bene il rilevamento delle minacce; trovano la maggior parte delle infezioni. Ma la rimozione automatica, il firewall in tempo reale e la pulizia manuale da parte di specialisti sono disponibili solo nei piani a pagamento. Se il tuo sito genera ricavi, il premium si ripaga con il primo attacco prevenuto.

Ogni quanto dovrei eseguire le scansioni?

Una volta a settimana è l'igiene minima per qualsiasi sito WordPress. Se installi attivamente nuovi plugin o accetti contenuti generati dagli utenti, è meglio impostare la scansione automatica giornaliera in Wordfence o Sucuri. Entrambi i plugin possono inviare report via email.

Posso usare due scanner contemporaneamente?

Tecnicamente sì, ma in pratica i firewall di due plugin potrebbero entrare in conflitto e la doppia scansione crea un carico server non necessario. La configurazione ottimale: un plugin principale con firewall (Wordfence) più un controllo incrociato periodico con un secondo scanner (Sucuri Free o GOTMLS) una volta al mese per un secondo parere.

Cosa devo fare se il codice malevolo ricompare dopo la pulizia?

Una reinfezione dopo la pulizia indica una backdoor rimasta. Controlla wp-config.php per costanti sconosciute, la cartella /wp-content/mu-plugins per must-use plugin nascosti e i cron job via WP-CLI (wp cron event list). Reimposta tutte le chiavi API e i salt in wp-config.php. Se il problema persiste dopo questi passaggi, coinvolgi gli specialisti di Sucuri o Wordfence: dare la caccia a una backdoor sofisticata da soli può richiedere giorni.

Un plugin di sicurezza influisce sulla velocità del sito?

Un firewall a livello DNS (Sucuri, Cloudflare) in realtà accelera il tuo sito tramite caching e CDN, perché le richieste non raggiungono il tuo server. Un firewall a livello applicativo (Wordfence) aggiunge 50-150 ms all'elaborazione della richiesta sulle pagine non in cache. La scansione programmata carica il server solo durante l'esecuzione (di solito di notte), senza alcun impatto sui visitatori.

Conviene scansionare il sito manualmente o affidarsi a un plugin?

Controllare manualmente ogni file PHP alla ricerca di backdoor è possibile ma inutile: il codice malevolo moderno si maschera da costrutto legittimo, usa offuscamento a più stadi e si nasconde in stringhe base64 dentro i file media. Un plugin scanner con un database di firme attivo fa questo lavoro in pochi secondi e non si lascia sfuggire i pattern noti.

In pratica, lo stack ottimale per la maggior parte dei siti è questo: Wordfence come scanner e firewall principale (scansione approfondita, notifiche istantanee, riparazione automatica gratuita dei file core), più Sucuri Free per un controllo incrociato dell'integrità una volta al mese. Se il budget lo consente, la piattaforma Sucuri a $199/anno elimina ogni preoccupazione: firewall DNS, monitoraggio, rimozione malware e CDN in un unico pacchetto.

Esegui la tua prima scansione oggi. Anche se il sito è pulito, stabilirai una baseline, un punto di riferimento per tutti i controlli futuri. E se lo scanner trova un problema, lo saprai prima che lo scopra Google.