Apri l’elenco utenti del tuo sito e conta quanti hanno il ruolo di amministratore. Se sono più di due o tre, e se tra questi c’è qualcuno con cui non lavori da anni, hai già trovato la falla più comune e più sottovalutata dei siti WordPress.
Non serve un attacco sofisticato per entrare in un sito: nella maggior parte dei casi basta una credenziale valida rimasta in giro.
I ruoli, in due minuti
WordPress ne prevede cinque, dal più ampio al più limitato:
- Amministratore — può fare tutto: installare plugin, modificare codice, creare e cancellare utenti, cambiare le impostazioni. Chi ha questo ruolo può prendere il controllo del sito.
- Editore — gestisce tutti i contenuti, anche quelli scritti da altri, ma non tocca plugin, temi o impostazioni.
- Autore — scrive e pubblica solo i propri contenuti.
- Collaboratore — scrive ma non pubblica: qualcuno deve approvare.
- Sottoscrittore — legge e gestisce il proprio profilo. Su un sito senza area riservata è di fatto inutile.
Su WooCommerce se ne aggiungono altri due: il gestore del negozio, che amministra ordini e prodotti senza toccare il resto, e il cliente.
L’errore che fanno quasi tutti
Dare a tutti il ruolo di amministratore “così non ci sono problemi”.
Succede perché è la strada che non richiede di pensare: la persona che scrive gli articoli non riesce a fare qualcosa, la si promuove ad amministratore e il problema sparisce. Ma il risultato è che chi doveva scrivere un articolo ora può disinstallare il sito.
Il costo non si vede finché non succede qualcosa: una password riutilizzata altrove e finita in una fuga di dati, un computer infetto, un rapporto che finisce male. In tutti questi casi il danno è proporzionale ai permessi.
Nella pratica: chi scrive contenuti deve essere Editore o Autore. Amministratore serve a chi gestisce davvero il sito, e sono una o due persone.
Gli account da controllare adesso
Apri l’elenco utenti e cerca:
- L’agenzia o il freelance che ha fatto il sito e non lavora più con te. Il loro accesso è quasi sempre ancora lì, ed è ancora amministratore.
- Ex collaboratori e dipendenti. Quando qualcuno va via si revocano email e badge, quasi mai l’accesso al sito.
- Account di prova con nomi tipo “test” o “demo”, creati per una verifica e mai rimossi.
- L’utente “admin”. È il primo nome che prova chiunque: se esiste, metà del lavoro di chi tenta di entrare è già fatta.
- Utenti che non riconosci. Se ce n’è anche solo uno, il problema non è organizzativo: il sito è stato violato.
Come si rimuove un utente senza perdere i suoi contenuti
Cancellando un utente WordPress chiede cosa fare degli articoli che ha scritto: si possono riassegnare a un altro utente. Scegli sempre quella, mai “elimina tutti i contenuti” — è il modo più rapido per far sparire anni di lavoro.
Se preferisci non cancellare, l’alternativa è abbassare il ruolo a sottoscrittore e cambiare la password: l’account resta, ma non può più fare nulla.
Oltre i ruoli: gli altri accessi
L’elenco utenti di WordPress è solo una delle porte. Vanno controllate anche:
- Gli accessi FTP/SFTP, spesso creati uno per fornitore e mai rimossi.
- Il pannello dell’hosting, che tipicamente ha un unico accesso condiviso da chiunque abbia lavorato al sito.
- Le password applicazione di WordPress, usate da app e servizi esterni: restano valide anche cambiando la password principale, e vanno revocate a parte.
- Le chiavi API dei plugin collegati a servizi esterni.
Due misure che valgono più di qualunque plugin di sicurezza
- Autenticazione a due fattori su tutti gli amministratori. Rende inutile una password rubata. È la singola misura con il miglior rapporto tra fatica e protezione.
- Una revisione degli accessi una volta l’anno. Dieci minuti: apri l’elenco, e per ogni persona chiediti se le serve ancora quel ruolo. È noioso, e nessuno lo fa: per questo funziona.
Il caso del fornitore che se ne va
Quando cambi chi si occupa del sito, la lista è breve ma va fatta tutta: revocare l’accesso WordPress, cambiare le credenziali di hosting e FTP, rigenerare le chiavi di sicurezza in wp-config.php (invalida le sessioni ancora aperte), e verificare che dominio e backup siano intestati a te.
Quest’ultimo punto è quello che crea più problemi: scoprire che il dominio è registrato a nome di qualcun altro, nel momento in cui i rapporti si sono già raffreddati, è una situazione difficile da risolvere in fretta.