Mettere in sicurezza un sito web è fondamentale perché le minacce sono sempre all’orizzonte. In alcuni casi può essere fondamentale modificare l’URL del login WordPress e limitare il numero di accessi falliti. Di sicuro dobbiamo puntare su un hosting con server sicuri, certificati NIS2. Ma è fondamentale anche applicare il principio del privilegio minimo (Least Privilege) su WordPress. Cosa significa esattamente?
Limitiamo i rischi affidando a ogni utente solo l’accesso necessario. Questo passaggio è fondamentale soprattutto quando lavoriamo su progetti che includono un gran numero di collaboratori.
In questi casi (ma non solo) il principio del privilegio minimo può fare la differenza. Ecco qualche consiglio per fare in modo che la sicurezza del tuo sito WordPress sia al primo posto delle tue priorità come webmaster.
Iniziamo dalle presentazioni e dalle definizioni. Il principio del privilegio minimo – noto anche con l’acronimo POLP – è quella buona pratica di cybersecurity che limita le possibilità da affidare ai singoli utenti. In modo da garantire che ogni operatore disponga esclusivamente dei permessi minimi necessari per svolgere le proprie funzioni.
Noi sappiamo che ogni utente WordPress può avere dei permessi e dei ruoli standard predefiniti dalla piattaforma, poi ci sono dei plugin che permettono di personalizzare questo aspetto ma la base è semplice: puoi decidere quali sono i privilegi da affidare a chi può avere accesso al backend. Secondo la logica del Least Privilege, invece, tutto questo dovrebbe essere limitato come suggerisce anche la logica del NIS2.
Da leggere: certificazione ISO 14001 e DNSH per Serverplan
Ogni utente con privilegi specifici può essere un varco di accesso per i cybercriminali e le minacce malevole che si trovano online. Soprattutto se non c’è attenzione nello scegliere password sicure, i malintenzionati possono sfruttare l’accumulo eccessivo di privilegi da parte di un utente che si traduce in quello che, tecnicamente, conosciamo come Privilege Creep. Ovvero, una condizione in cui gli utenti ricevono nuove condizioni.
Senza, però, che i privilegi obsoleti vengano revocati. Esempio tipico: un consulente SEO riceve il ruolo di amministratore per intervenire sul sito, poi chiude il lavoro ma rimane presente come admin. Oppure, un web writer che deve solo scrivere un contenuto può operare come Editor e intervenire anche su attività altrui.
Oltre a scegliere un provider sicuro, attivare un firewall e scegliere delle soluzioni avanzate (tipo Bitninja) devi anche operare su questo fronte. Quali sono le strade da seguire per inserire il POLP nella tua routine per mettere in sicurezza il tuo portale? Le regole da seguire sono quelle del bravo webmaster attento ai dettagli:
A tutto questo dobbiamo aggiungere una base di partenza solida: scelta di nome utente e password difficili da intercettare. Inoltre, può essere decisivo un plugin come Limit Login Attempts Reloaded che ti permette di bloccare i tentativi ripetuti di login e proteggere il sito contro gli attacchi insidiosi di brute force.
La buona notizia per i clienti Serverplan: se utilizzi un hosting con WordPress già installato e gestito (da oggi anche con Intelligenza Artificiale che ti aiuta a creare il tuo sito web) trovi questo plugin già pronto all’uso. Un passaggio in più per garantire la sicurezza del tuo sito internet realizzato con questo CMS.
Hosting WordPress preinstallato e gestito con SiteBuilder AI incluso
Per semplificare questo percorso, come anticipato, puoi sfruttare alcuni plugin fondamentali che ti consentono di gestire al meglio i ruoli utenti in modo da rimuovere privilegi non necessari. Uno dei tool migliori è Members – Membership & User Role Editor Plugin che ti permette di settare tutti i permessi necessari per dare a ogni utente le opzioni necessarie per lavorare al meglio.
Da leggere: come affrontare i Distributed Denial of Service o DDoS
L’idea di inserire il principio del privilegio minimo su WordPress può limitarsi a un uso coscienzioso dei permessi utente. Ma se devi consentire l’accesso a sezioni specifiche, puoi intervenire anche su alcuni setting.
Ad esempio, puoi creare un account FTP con permessi limitati, eliminando poi quelli che non servono più. Inoltre, potrebbe essere una buona idea gestire i permessi ottimali per il file wp-config.php con valori 400 o 440 per aumentare la sicurezza. Ovviamente, il consiglio è di operare su questo fronte solo se hai la giusta competenza.
