I consigli per proteggere il tuo sito dagli hacker vengono spesso presentati come una lunga checklist. Il problema è che non tutte le voci della lista pesano allo stesso modo. Poche misure coprono la maggior parte dei punti d'attacco che portano a vere compromissioni, e sapere quali mettere al primo posto fa la differenza tra una sicurezza efficace e una che ne ha solo l'aspetto.
Gli attacchi ai siti sono quasi tutti automatici. Gli scanner controllano milioni di siti in una volta, cercando vulnerabilità note nelle versioni del software, password comuni e file di configurazione esposti. Un sito non deve avere molto traffico o essere famoso per essere preso di mira. Gli basta essere online e usare qualcosa con un difetto noto. Per il quadro completo di cosa si rischia quando queste misure mancano, leggi l'articolo su perché la sicurezza del sito è importante.
Come proteggere il tuo sito dagli hacker con un'autenticazione forte
Gli attacchi alle credenziali sono tra i modi più comuni con cui gli aggressori entrano nei siti. Una password forte da sola non basta. Ciò che ferma davvero gli strumenti automatici a forza bruta è unire una password forte, un limite ai tentativi e un secondo fattore di autenticazione.
Password forti e uniche
- Le password degli account di amministratore devono essere lunghe, casuali e uniche per il sito. Non riutilizzate da nessun altro servizio
- Le password corte e quelle basate su parole o schemi comuni vengono provate per prime dagli strumenti automatici a forza bruta, che possono tentare migliaia di combinazioni al minuto
- Un gestore di password genera e conserva credenziali forti senza che tu debba memorizzarle
Autenticazione a due fattori
- L'autenticazione a due fattori richiede un secondo passaggio di verifica oltre alla password quando accedi al pannello di amministrazione
- Anche se una password viene rubata con una violazione di dati o un attacco di phishing, l'autenticazione a due fattori impedisce all'aggressore di usarla senza controllare anche il secondo fattore
- Attivarla su ogni account di amministratore è una delle singole modifiche più efficaci per la sicurezza del sito
Limiti ai tentativi di accesso
- Gli strumenti a forza bruta provano migliaia di password in rapida successione. Un limite al numero di tentativi di accesso falliti prima di bloccare un indirizzo IP ferma questo approccio
- Molte piattaforme per siti web includono il limite ai tentativi di accesso come impostazione integrata o tramite un'estensione di sicurezza
Rimuovere gli account inutilizzati
- Ogni account di amministratore attivo con una password debole o riutilizzata è un possibile punto di ingresso
- Gli account creati per ex dipendenti, collaboratori o sviluppatori vanno rimossi non appena non servono più
Come proteggere il tuo sito dagli hacker con un software in ordine
Il software non aggiornato è la categoria di vulnerabilità più sfruttata nei siti. Quando un difetto di sicurezza viene trovato e corretto, i dettagli di solito vengono pubblicati insieme alla correzione. I siti che usano ancora la vecchia versione diventano così un bersaglio noto e documentato.
Applica gli aggiornamenti appena sono disponibili
- Gli aggiornamenti della piattaforma del sito, di plugin, temi e integrazioni vanno applicati subito. Spesso includono correzioni di sicurezza, e rimandarli lascia aperte vulnerabilità note
- Impostare gli aggiornamenti in modo che si applichino in automatico, dove possibile, elimina il rischio di perdere una correzione critica
Rimuovi plugin e temi inutilizzati
- I plugin e i temi inattivi e non aggiornati restano vulnerabili anche quando non sono attivi sul sito
- Rimuoverli riduce la superficie di attacco senza toccare nulla del sito online
Usa solo software da fonti affidabili
- Plugin, temi ed estensioni da fonti non ufficiali sono un veicolo comune per diffondere malware
- Usare solo software dal marketplace ufficiale della piattaforma o da sviluppatori affermati e affidabili riduce il rischio di installare codice già infetto
Come protegge il tuo sito HTTPS?
Un certificato SSL e HTTPS sono requisiti di base. Proteggono i dati in transito e dicono ai motori di ricerca che il sito rispetta gli standard minimi di sicurezza. Per i dettagli su come attivarne uno, leggi l'articolo su cos'è un certificato SSL e come funziona.
Cosa fa HTTPS
- HTTPS cifra i dati che i visitatori inviano tramite moduli, pagine di accesso e processi di pagamento, e impedisce che si possano leggere se vengono intercettati in transito
- Il certificato SSL verifica anche l'identità del sito, e protegge da alcune forme di intercettazione del traffico e di impersonificazione
Cosa non fa HTTPS
- HTTPS non impedisce gli attacchi al sito stesso. SQL injection, cross-site scripting, tentativi di accesso a forza bruta e iniezione di malware non vengono fermati da HTTPS
- È un livello di protezione, non un sostituto degli altri
Come aiuta un web application firewall?
Cosa fa
- Un web application firewall si trova tra il traffico in arrivo e il sito e ispeziona le richieste prima che arrivino al server
- Filtra le richieste che corrispondono a schemi di attacco noti, inclusi tentativi di SQL injection, contenuti di cross-site scripting e traffico da fonti dannose note
- Gli attacchi che non arrivano mai al server non possono sfruttare le vulnerabilità del codice del sito
Firewall a livello di rete e a livello di applicazione
- I firewall a livello di rete filtrano il traffico a livello di infrastruttura prima che arrivi al server. Di solito li offrono le società di hosting e i fornitori di CDN
- I firewall a livello di applicazione operano a livello del sito e possono essere più precisi su quali richieste far passare in base ai contenuti e al comportamento del sito
- I due tipi hanno scopi diversi e si possono usare insieme
Perché i backup fanno parte della protezione del sito dagli hacker
Nessuna misura di sicurezza elimina ogni rischio. Quando qualcosa riesce comunque a passare, un backup pulito decide quanto in fretta ti riprendi e quanto perdi.
Cosa fanno i backup che le misure di prevenzione non possono fare
- Gli attacchi ransomware che cifrano i file del sito fanno molto meno danni quando esiste un backup pulito e recente. Ripristinare dal backup toglie del tutto all'aggressore il suo potere di ricatto
- Un backup pulito dà anche un punto di riferimento verificato con cui confrontare, per capire cosa ha cambiato un aggressore
Cosa rende utile un backup
- I backup vanno conservati separatamente dal server del sito. Un backup sullo stesso server viene compromesso o cifrato insieme a tutto il resto in un attacco
- La frequenza dei backup deve corrispondere a quanto spesso cambia il sito. Un sito aggiornato ogni giorno ha bisogno di backup giornalieri
- Verificare che un backup si possa davvero ripristinare è importante quanto averlo. Un backup che non funziona al ripristino non è un backup
Per una guida completa su come impostare e gestire i backup del sito, leggi l'articolo su come fare il backup del tuo sito. Per cosa fare se il malware è già sul tuo sito, leggi l'articolo su cos'è il malware di un sito e come rimuoverlo.
Come WEMASY gestisce la protezione del sito
L'infrastruttura di hosting di WEMASY include protezione firewall e mitigazione degli attacchi DDoS a livello di rete. I certificati SSL sono inclusi in ogni piano e applicati in automatico, così tutti i siti vengono serviti in HTTPS per impostazione predefinita. Gli aggiornamenti del software sono gestiti a livello di piattaforma, e il proprietario del sito non deve occuparsi di applicare le correzioni.
I backup sono inclusi in tutti i piani e gestiti in automatico, con opzioni di ripristino disponibili dalla dashboard. L'autenticazione a due fattori è disponibile per l'accesso all'account WEMASY e l'attività di accesso viene monitorata a livello di piattaforma.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Come entrano gli hacker nei siti?
La maggior parte delle compromissioni dei siti avviene per tre strade: lo sfruttamento di vulnerabilità note nel software non aggiornato, l'accesso tramite password di amministratore deboli o rubate e l'iniezione di codice dannoso tramite plugin o script di terze parti vulnerabili. Strumenti automatici scansionano di continuo grandi quantità di siti in cerca di queste vulnerabilità e le sfruttano senza che nessuno prenda di mira quel sito in particolare. Tenere il software aggiornato e le credenziali di amministratore forti e uniche copre i punti di ingresso più comuni. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Qual è il passo più importante per proteggere un sito dagli hacker?
Tenere aggiornato tutto il software e usare password forti e uniche con l'autenticazione a due fattori sugli account di amministratore, insieme, coprono la maggior parte degli attacchi riusciti. Gli aggiornamenti del software chiudono le vulnerabilità note prima che gli aggressori possano sfruttarle. Un'autenticazione forte impedisce l'accesso tramite attacchi alle credenziali anche quando una password è compromessa altrove. I backup non prevengono gli attacchi ma limitano il danno quando uno riesce, e per questo sono una parte necessaria di ogni strategia di protezione completa.
La dimensione del sito influisce sul rischio di essere hackerato?
No. Gli attacchi ai siti sono quasi tutti automatici. Gli scanner controllano milioni di siti in cerca di vulnerabilità note e credenziali deboli, qualunque sia la dimensione, il traffico o il settore del sito. Un piccolo sito portfolio con software non aggiornato è esposto quanto una grande piattaforma con la stessa vulnerabilità. Le misure che proteggono un sito sono le stesse, qualunque sia la sua dimensione.
Cos'è un web application firewall e mi serve?
Un web application firewall filtra il traffico in arrivo sul sito e blocca le richieste che corrispondono a schemi di attacco noti prima che arrivino al server. Può bloccare in automatico tentativi di SQL injection, contenuti di cross-site scripting e traffico da fonti dannose note. Se ti serve un web application firewall a sé dipende da come è configurato il tuo hosting. Molti provider di hosting includono la protezione firewall a livello di rete, che gestisce una buona parte degli attacchi automatici senza alcuna configurazione da parte del proprietario del sito.
Ogni quanto devo fare il backup del mio sito?
La frequenza giusta dipende da quanto spesso cambiano i contenuti del sito. Un sito aggiornato ogni giorno con nuovi contenuti, ordini o invii ha bisogno di backup giornalieri. Un sito che cambia di rado può essere salvato meno spesso, ma va comunque salvato prima di qualsiasi aggiornamento importante o cambio di piattaforma. I backup vanno conservati separatamente dal server del sito e testati ogni tanto per confermare che si possano davvero ripristinare.
Posso proteggere il mio sito dagli hacker senza competenze tecniche?
Sì. Le misure di protezione più efficaci non richiedono competenze tecniche. Usare una password forte e unica sugli account di amministratore, attivare l'autenticazione a due fattori e applicare gli aggiornamenti del software con gli strumenti integrati della piattaforma coprono la maggior parte dei punti d'attacco più comuni. Scegliere un provider di hosting o una piattaforma per siti web che includa protezione firewall, SSL e backup automatici a livello di piattaforma gestisce la sicurezza a livello di infrastruttura senza che tu debba configurare nulla.