Un sito WordPress hackerato si riconosce raramente da un messaggio esplicito. Più spesso compaiono redirect verso pagine sconosciute, avvisi di Google Chrome “sito ingannevole”, email di spam inviate dal dominio, pagine in lingua straniera nei risultati di ricerca o un accesso all’area amministrativa che non funziona più.
La reazione istintiva è cancellare tutto e ripartire. Nella maggior parte dei casi non serve: un intervento ordinato permette di ripulire il sito, capire da dove è entrato l’attaccante e chiudere quella porta. Da webmaster freelance a Cagliari gestisco queste situazioni per attività sarde di ogni dimensione; in questa guida spiego cosa fare nelle prime ore e cosa aspettarsi dall’intervento.
Come capire se il sito WordPress è stato davvero compromesso?
Un sito è compromesso quando qualcuno ha modificato file, database o accessi senza autorizzazione. I segnali più frequenti sono questi:
- Redirect indesiderati: aprendo il sito da telefono o da un risultato di Google si finisce su pagine di gioco, farmaci o premi.
- Avviso di sicurezza del browser o messaggio “Questo sito potrebbe essere compromesso” in Search Console.
- Pagine sconosciute indicizzate, spesso in giapponese, inglese o con nomi di prodotti che non vendi (il classico “Japanese keyword hack”).
- Nuovi utenti amministratori in Utenti che non hai creato tu.
- File modificati di recente in
wp-content,wp-includeso nella radice, con nomi anonimi o codice offuscato. - Email respinte perché il dominio è finito in blacklist per invio di spam.
- Hosting che sospende l’account per consumo anomalo di risorse o segnalazioni di abuso.
Un sito lento o con un errore 500 non è automaticamente hackerato: spesso la causa è un plugin in conflitto, come spiego nella guida sito WordPress lento: cause e soluzioni. Il segnale distintivo di un attacco è la presenza di contenuti, utenti o file che non hai creato.
Cosa fare nelle prime ore?
Le prime ore servono a limitare i danni e a conservare le prove, non a riparare. L’ordine è importante:
- Non cancellare nulla. Scarica dal pannello hosting un backup completo dello stato attuale (file e database): serve per l’analisi e per non perdere contenuti recenti.
- Cambia le password di WordPress, hosting, FTP/SFTP, database e email collegate, da un dispositivo che ritieni pulito.
- Metti il sito in manutenzione o, se il redirect danneggia i visitatori, chiedi all’hosting di limitare temporaneamente l’accesso pubblico.
- Controlla gli utenti in WordPress ed elimina gli amministratori sconosciuti.
- Annota tutto: da quando hai notato il problema, quali plugin hai installato o aggiornato di recente, chi ha le credenziali.
Se non hai un backup precedente all’attacco, non è la fine: si può ripulire anche partendo dal sito compromesso, ma il lavoro richiede più attenzione.
Come si ripulisce un sito WordPress hackerato?
La pulizia si fa per strati, dal più prevedibile al più nascosto. Il metodo che uso è questo:
| Fase | Che cosa faccio | Perché |
|---|---|---|
| 1. Analisi | Confronto dei file core con la versione ufficiale di WordPress, ricerca di codice offuscato, controllo di .htaccess, wp-config.php, uploads e cron |
Individuare tutti i punti infetti, non solo il sintomo visibile |
| 2. Sostituzione | Reinstallazione pulita di core, tema e plugin dalle fonti ufficiali, nella stessa versione o aggiornata | Eliminare backdoor nascoste nei file senza dover leggere ogni riga |
| 3. Database | Ricerca di script, link e utenti iniettati in post, opzioni e tabelle | Molti attacchi inseriscono il codice nei contenuti, non nei file |
| 4. Chiusura della porta | Identificazione della vulnerabilità (plugin obsoleto, password debole, altro sito sullo stesso hosting) e correzione | Senza questa fase il sito viene reinfettato in pochi giorni |
| 5. Verifica | Scansione esterna, controllo Search Console, richiesta di revisione a Google se c’era un avviso | Rimuovere l’etichetta “sito compromesso” dai risultati |
La fase 4 è quella che distingue una pulizia da una riparazione temporanea. Nella mia esperienza la causa più comune non è WordPress in sé ma un plugin non aggiornato da mesi, seguito da password riutilizzate e da hosting condivisi con altri siti infetti.
Quanto tempo serve e quanto costa?
Un intervento su un sito vetrina con infezione circoscritta si chiude in genere in una giornata lavorativa; siti grandi, e-commerce o infezioni con più backdoor richiedono più tempo perché ogni componente va verificato. Il costo dipende dall’estensione dell’infezione e dallo stato dei backup, quindi lo definisco dopo una prima analisi, che è gratuita.
Il confronto utile non è con il prezzo dell’intervento urgente, ma con quello della prevenzione: un contratto di assistenza WordPress parte da 30–50 € al mese e include aggiornamenti regolari, backup e monitoraggio, cioè proprio le tre attività che riducono la probabilità di trovarsi in questa situazione. Per un’attività di Cagliari o della Sardegna che vive di contatti dal sito, la differenza tra le due spese si misura in giorni di sito offline.
Come evitare che il sito venga hackerato di nuovo?
Dopo la pulizia il sito non è “protetto per sempre”: è pulito oggi. La protezione è una routine, non un prodotto. Le misure che applico e consiglio:
- Aggiornamenti settimanali di WordPress, tema e plugin, con backup prima di ogni aggiornamento.
- Rimozione dei plugin inutilizzati: un plugin disattivato ma presente sul server è comunque attaccabile.
- Password lunghe e autenticazione a due fattori per tutti gli amministratori; utenti con il ruolo minimo necessario.
- Backup automatici fuori dal server, conservati per almeno 30 giorni, con prova di ripristino.
- Limite ai tentativi di accesso e spostamento o protezione della pagina di login.
- Hosting con PHP aggiornato e isolamento tra account: un hosting economico condiviso con decine di siti è spesso il vero punto debole.
- Monitoraggio di uptime, modifiche ai file e stato in Search Console, per accorgersi del problema in ore e non in settimane.
Queste attività sono esattamente il contenuto della manutenzione siti web a Cagliari: chi le affida a un tecnico non deve ricordarsene ogni settimana. Per gli interventi singoli e le urgenze c’è invece la pagina assistenza WordPress a Cagliari, con risposta entro le fasce orarie del livello scelto.
Serve rifare il sito dopo un attacco?
Di solito no. Il rifacimento diventa sensato quando il sito era già obsoleto prima dell’attacco: tema abbandonato, plugin non più sviluppati, PHP vecchio. In quel caso la pulizia rischia di essere un costo ripetuto e conviene valutare il percorso descritto in rifare un sito web vecchio: quando conviene. Se invece il sito è recente e ben strutturato, pulizia e messa in sicurezza sono la strada più rapida ed economica.
Se il tuo sito mostra uno dei segnali descritti, scrivimi dalla pagina contatti indicando cosa hai notato e da quando: la prima analisi è gratuita e serve a capire l’estensione del problema prima di qualunque preventivo.
Domande frequenti
Il mio sito è hackerato ma io non vedo niente di strano: è possibile?
Sì. Molti attacchi mostrano contenuti diversi a Google e ai visitatori da telefono rispetto all’amministratore che accede da computer. Controlla il sito da un dispositivo non collegato al tuo account e la sezione Sicurezza di Search Console.
Basta ripristinare un backup?
Solo se il backup è sicuramente precedente all’infezione e se poi si chiude la vulnerabilità che l’ha causata. Ripristinare un backup già infetto o senza aggiornare il plugin vulnerabile porta a una nuova infezione in pochi giorni.
Google ha messo l’avviso “sito compromesso”: quanto ci vuole a toglierlo?
Dopo la pulizia si richiede una revisione da Search Console; Google in genere risponde entro alcuni giorni. La rimozione dell’avviso dipende dal fatto che la pulizia sia completa.
Il plugin di sicurezza non basta a proteggermi?
Aiuta, ma non sostituisce aggiornamenti, backup e password solide. Un plugin di sicurezza su un sito con componenti obsoleti segnala il problema, non lo previene.
Lavori anche su siti fuori Cagliari?
Sì: la pulizia e la messa in sicurezza si fanno da remoto, quindi seguo attività di tutta la Sardegna e del resto d’Italia con le stesse modalità.
Leggi anche
- Sito WordPress lento: cause e soluzioni
- Contratto assistenza WordPress: costo e cosa include
- Assistenza WordPress a Cagliari: quando serve un tecnico
Piero Delfino
Webmaster freelance a Cagliari
