La sicurezza WordPress nel 2027 si riduce a un breve elenco di abitudini: mantenere aggiornati core, plugin e temi, proteggere gli accessi con password robuste e autenticazione a due fattori, eliminare ciò che non usi e conservare backup verificati lontano dal server. Quasi ogni attacco riuscito a un sito WordPress passa da una di queste porte aperte, non da qualche falla esotica di WordPress stesso.
Ultimo aggiornamento: 20 ottobre 2026.
Questa guida tratta le minacce principali, una tabella dei rimedi con l’impegno che richiede ciascuno, una checklist di hardening numerata, le norme UE che toccano il tuo sito e cosa fare nelle prime ore dopo una violazione.
WordPress è sicuro?
Il core di WordPress è curato da un grande team dedicato alla sicurezza, riceve per impostazione predefinita gli aggiornamenti minori automatici ed è sottoposto a revisione continua. Da solo è una base solida. Il rischio viene da ciò che gli si aggiunge e da come viene gestito: plugin e temi di molti autori, account amministratore con password deboli, vecchie versioni di PHP, hosting economico senza isolamento tra i siti e nessuno che controlla.
In breve: WordPress è sicuro quanto il modo in cui è costruito e mantenuto. Un sito essenziale, con pochi plugin ben scelti, software aggiornato e accessi controllati, è un bersaglio difficile. Un sito con quaranta plugin, cinque dei quali abbandonati, e una password di amministrazione condivisa è un bersaglio facile. La differenza raramente sta nella piattaforma; sta nella cura che le si dedica.
In Odduel, agenzia creativa e tecnologica con sedi a Barcellona e São Paulo, realizziamo siti WordPress con temi a blocchi nostri e il minor numero possibile di plugin, in parte per la velocità e in parte perché ogni plugin è codice di cui ti devi fidare. Se stai progettando un nuovo sito, il nostro lavoro di realizzazione siti web parte proprio da questa domanda: di cosa ha davvero bisogno questo sito per funzionare?
Quali sono le principali minacce alla sicurezza di WordPress?
Gli attacchi a WordPress sono per lo più automatizzati. I bot scandagliano il web alla ricerca di vulnerabilità note e le provano su ogni sito che trovano, quindi il sito di una piccola azienda ha le stesse probabilità di essere sondato di uno grande. Queste sono le cinque minacce che contano di più.
Plugin e temi non aggiornati
È la via d’ingresso più comune. Si scopre una falla in un plugin, viene rilasciata una correzione, i dettagli diventano pubblici e i bot cominciano a provare la falla su ogni sito che non si è aggiornato. Il tempo tra la correzione e i primi attacchi può essere breve. I plugin abbandonati sono peggio: non verranno mai corretti.
Accessi deboli e password rubate
La pagina di accesso `/wp-login.php` è pubblica su ogni sito. I bot provano le password più comuni e quelle trapelate da altri servizi (credential stuffing). Un account amministratore con una password riutilizzata, o con il nome utente predefinito «admin», consegna a un attaccante l’intero sito senza bisogno di alcuna falla.
XML-RPC e altri punti d’ingresso obsoleti
XML-RPC è una vecchia interfaccia per la pubblicazione da remoto. La maggior parte dei siti non ne ha più bisogno, ma resta attiva per impostazione predefinita e permette a un attaccante di provare molte password con una sola richiesta. Lo stesso vale per l’elenco pubblico dei nomi utente nella REST API, che consegna ai bot la prima metà di ogni accesso.
Caricamento di file
Qualsiasi modulo o plugin che accetta file può diventare un modo per mettere uno script sul server. Se poi il server esegue PHP dalla cartella dei caricamenti, l’attaccante ha una backdoor. I moduli di contatto con allegati, i profili utente e i plugin per i media sono i soliti sospetti.
Catena di fornitura
Un plugin di cui ti fidi può cambiare proprietario. Un nuovo proprietario, o un attaccante che ha preso il controllo dell’account dell’autore, può distribuire un aggiornamento con codice nascosto a ogni sito che lo installa in automatico. I plugin e i temi premium «nulled» (piratati) sono per definizione un attacco alla catena di fornitura: spesso arrivano con il malware già dentro.
Minacce, rimedi e impegno in sintesi
La tabella abbina a ogni minaccia il rimedio che la neutralizza e un’idea approssimativa dell’impegno richiesto per un sito tipico.
| Minaccia | Rimedio | Impegno |
|---|---|---|
| Plugin e temi non aggiornati | Aggiornamenti settimanali, test in staging, rimozione dei plugin abbandonati | Basso, continuo |
| Accessi deboli | Password uniche, autenticazione a due fattori, limiti ai tentativi di accesso | Basso, una tantum |
| XML-RPC ed elenchi di utenti | Disattivare XML-RPC e l’elenco pubblico degli utenti | Basso, una tantum |
| Caricamento di file | Bloccare PHP nei caricamenti, limitare i tipi di file, analizzare i file caricati | Medio, una tantum |
| Catena di fornitura | Pochi plugin di autori noti, niente codice nulled, verifica degli aggiornamenti | Medio, continuo |
| Compromissione del server | Hosting isolato, PHP aggiornato, firewall, permessi sui file ridotti al minimo | Medio, una tantum |
| Perdita di dati dopo un attacco | Backup esterni, con versioni, verificati | Basso, continuo |
Nota che la maggior parte del lavoro richiede poco impegno. La parte costosa della sicurezza WordPress non sono i rimedi; è la bonifica quando sono stati trascurati.
Checklist di sicurezza WordPress in dieci passi
Usa questa checklist di hardening su un sito nuovo prima del lancio e su un sito esistente come audit. Seguila in ordine: i primi passi chiudono le porte che gli attaccanti provano più spesso.
- Aggiorna tutto. Core, plugin, temi e PHP. Attiva gli aggiornamenti minori automatici del core, prova prima gli aggiornamenti dei plugin su una copia di staging e fissa un ritmo settimanale per il resto.
- Elimina ciò che non usi. Cancella i plugin e i temi inattivi, non limitarti a disattivarli. Sostituisci qualsiasi plugin che non riceve aggiornamenti da un anno.
- Rivedi i ruoli degli utenti. Dai a ogni persona un account personale con il ruolo più basso che le permette di fare il suo lavoro. Gli editor non hanno bisogno di essere amministratori. Elimina gli account di ex dipendenti e agenzie il giorno stesso in cui se ne vanno.
- Attiva l’autenticazione a due fattori. Rendila obbligatoria almeno per gli amministratori. Aggiungi password robuste e uniche, conservate in un password manager.
- Limita i tentativi di accesso. Applica un limite di frequenza a `/wp-login.php` sul server o sul firewall e nascondi i nomi utente dagli archivi pubblici e dalla REST API.
- Disattiva XML-RPC a meno che non serva a un servizio da cui dipendi, e disabilita la modifica dei file dal pannello di amministrazione (`DISALLOW_FILE_EDIT`).
- Tieni i backup fuori dal server. Giornalieri, con versioni, conservati altrove e ripristinati almeno una volta in un test, così sai che funzionano.
- Aggiungi un firewall. Un web application firewall presso l’hosting o davanti al sito filtra gli attacchi noti prima che raggiungano WordPress.
- Invia gli header di sicurezza. HTTPS ovunque con HSTS, più `X-Content-Type-Options`, la protezione dai frame, una referrer policy e, quando sei pronto, una content security policy.
- Scegli un hosting che isola i siti. Ogni sito con il proprio utente di sistema, PHP aggiornato, PHP bloccato nei caricamenti e accesso al server solo con chiave.
La sicurezza fa parte anche dei controlli prima del lancio. La nostra checklist lancio sito web raccoglie i test da fare prima che un sito vada online, e in quel passaggio la sicurezza sta accanto a velocità, accessibilità e moduli.
Come mettere in sicurezza un sito WordPress con l’hosting giusto?
L’hosting decide quanta parte della checklist puoi davvero applicare. Su un hosting condiviso di base spesso non puoi impostare gli header del server, bloccare PHP in una cartella o consultare i log. Su un hosting WordPress gestito o su un server ben amministrato puoi.
Fai quattro domande a un fornitore di hosting. Ogni sito è isolato dagli altri sulla stessa macchina? Quali versioni di PHP sono disponibili, e con quale rapidità passano a quelle nuove? I backup sono conservati fuori dal server, e puoi ripristinarne uno da solo? C’è un firewall con un limite ai tentativi di accesso a livello di server?
Se le risposte sono vaghe, l’hosting fa parte del tuo rischio. Conta anche la scelta della piattaforma: la nostra guida Quale CMS scegliere confronta WordPress con altre opzioni quando sicurezza e manutenzione pesano molto.
Quali norme UE riguardano la sicurezza di WordPress?
Negli articoli sulla sicurezza si citano spesso due recenti leggi UE, ed entrambe vengono spesso sopravvalutate. Ecco cosa dicono davvero per un sito WordPress tipico.
Il Cyber Resilience Act
Il Cyber Resilience Act, regolamento (UE) 2024/2847, stabilisce regole di sicurezza per i prodotti con elementi digitali immessi sul mercato UE. Gli obblighi di segnalazione delle vulnerabilità sfruttate attivamente si applicano dall’11 settembre 2026 e la maggior parte degli altri obblighi dall’11 dicembre 2027. Si rivolge ai produttori di software e di prodotti connessi, quindi riguarda soprattutto le aziende che vendono plugin o temi. Un’azienda che si limita a gestire il proprio sito web non diventa per questo un produttore, ma ne trarrà vantaggio man mano che i plugin che acquista rientreranno nelle regole.
NIS2
La direttiva NIS2 si applica alle organizzazioni medie e grandi dei settori elencati, come energia, trasporti, sanità, infrastrutture digitali e parte del manifatturiero, attraverso la legge nazionale di ogni Stato membro. Se la tua organizzazione rientra, il sito web fa parte dei sistemi che devi proteggere e i tuoi obblighi di notifica degli incidenti vanno oltre il sito. Se non rientra, la NIS2 non si applica al tuo sito.
GDPR
La norma che vale per quasi tutti è il GDPR. Un sito WordPress che conserva le risposte dei moduli, account clienti o ordini contiene dati personali, e una loro violazione è una violazione di dati personali. Questo comporta una scadenza precisa, descritta più sotto.
Cosa fare dopo una violazione di un sito WordPress?
Contano più la rapidità e l’ordine che gli strumenti. Segui questi passi quando sospetti che il sito sia stato compromesso.
- Contieni. Metti il sito in manutenzione o portalo offline e cambia le password di ogni amministratore, dell’account di hosting, del database e di ogni servizio collegato.
- Conserva le prove. Copia file, database e log del server prima di ripulire qualsiasi cosa, così puoi scoprire come è entrato l’attaccante.
- Valuta i dati personali. Verifica se risposte dei moduli, account o ordini sono stati esposti. Da questo dipendono i tuoi obblighi legali.
- Notifica, se necessario. Secondo l’articolo 33 del GDPR, una violazione di dati personali va notificata all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne sei venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone. Se il rischio per le persone è elevato, vanno informate anche loro.
- Ripulisci o ripristina. Ripristina da un backup precedente all’attacco, oppure reinstalla core, plugin e temi da fonti ufficiali e ripulisci il database. Non fidarti dei file che erano sul server durante l’attacco.
- Chiudi la porta. Trova e correggi la via d’ingresso, di solito un plugin non aggiornato o una password rubata, altrimenti l’attaccante tornerà nel giro di pochi giorni.
- Monitora. Nelle settimane successive tieni d’occhio i log, le modifiche ai file e i risultati di ricerca alla ricerca di pagine di spam, e chiedi una revisione in Google Search Console se il sito è stato segnalato.
Tieni traccia scritta di ogni passo e di ogni decisione. Il GDPR chiede di documentare ogni violazione, anche quella che non eri tenuto a notificare.
Le domande più comuni
WordPress è sicuro per il sito web di un’azienda?
Sì, se è costruito in modo essenziale e mantenuto. Il core di WordPress ha un team dedicato alla sicurezza e aggiornamenti regolari. La maggior parte delle violazioni nasce da plugin non aggiornati o abbandonati, password di amministrazione deboli e hosting scadente. Un sito con pochi plugin ben scelti, autenticazione a due fattori, PHP aggiornato e backup esterni è un bersaglio difficile per gli attacchi automatizzati che costituiscono la maggior parte delle minacce.
Ogni quanto vanno aggiornati i plugin di WordPress?
Controlla gli aggiornamenti almeno una volta alla settimana e applica le correzioni di sicurezza appena vengono rilasciate, perché gli attacchi spesso cominciano poco dopo che una falla diventa pubblica. Prova prima gli aggiornamenti più grandi su una copia di staging. Qualsiasi plugin rimasto un anno senza aggiornamenti va sostituito, perché un plugin abbandonato non riceverà mai una correzione.
Mi serve un plugin di sicurezza?
Non sempre. Molte protezioni, come i limiti ai tentativi di accesso, il blocco di PHP nei caricamenti, gli header di sicurezza e un firewall, funzionano meglio a livello di server o di hosting, dove fermano gli attacchi prima che WordPress si carichi. Un plugin di sicurezza può aiutare su un hosting che non offre nulla di tutto questo, ma non sostituisce aggiornamenti, accessi robusti e backup verificati.
Conviene disattivare XML-RPC in WordPress?
Nella maggior parte dei casi sì. XML-RPC è una vecchia interfaccia di pubblicazione da remoto di cui pochi siti hanno ancora bisogno, e permette agli attaccanti di provare molte password con una sola richiesta. Disattivala sul server o con una semplice impostazione, a meno che un servizio da cui dipendi, come una vecchia app di pubblicazione da mobile, ne abbia ancora bisogno. Verifica prima di disattivarla.
Il Cyber Resilience Act si applica al mio sito WordPress?
Di solito non direttamente. Il Cyber Resilience Act impone obblighi ai produttori di software e prodotti connessi immessi sul mercato UE, quindi riguarda soprattutto le aziende che vendono plugin, temi o software. Un’azienda che gestisce il proprio sito web non è per questo un produttore, ma ne trae vantaggio perché i plugin commerciali devono rispettare i nuovi requisiti di sicurezza.
Entro quanto devo notificare una violazione di dati su WordPress?
Se sono stati esposti dati personali, il GDPR ti impone di notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne sei venuto a conoscenza, a meno che sia improbabile che metta a rischio le persone. Se il rischio per le persone è elevato, devi informare anche loro. Documenta ogni violazione, notificata o no.
Se il tuo sito è cresciuto un plugin alla volta, o non sai bene chi l’ha aggiornato l’ultima volta, il punto di partenza è un breve audit sulla base della checklist qui sopra; la nostra guida allo sviluppo di siti web spiega come si pianifica un sito essenziale fin dal primo brief. Se vuoi un sito WordPress sicuro fin dall’inizio, scopri il nostro servizio di realizzazione siti web oppure parlaci del tuo progetto.
Per approfondire: Next.js o React per il sito web aziendale, Webflow o WordPress nel 2027: quale scegliere per la tua azienda, Quanto costa la manutenzione di un sito web: cosa includono i piani.
