Come verificare se un tema WordPress è sicuro prima di installarlo

Non tutti i temi WordPress sono uguali in termini di sicurezza. Un tema scaricato da una fonte non affidabile può contenere malware, backdoor, link nascosti, codice offuscato o vulnerabilità che mettono a rischio l’intero sito. Anche temi apparentemente legittimi possono avere problemi di codice che li rendono vulnerabili ad attacchi. In questa guida ti mostro come verificare la sicurezza di un tema WordPress prima di installarlo, proteggendo il tuo sito da minacce nascoste.

I rischi di un tema insicuro

Un tema compromesso può causare danni enormi al tuo sito senza che tu te ne accorga per settimane o mesi:

• Backdoor: codice nascosto che permette a un attaccante di accedere al sito in qualsiasi momento, anche dopo che hai cambiato tutte le password.
• SEO spam: link nascosti verso siti di gambling, farmaci o altri contenuti spam inseriti nel footer o nel codice del tema. Google penalizza il tuo sito per questi link.
• Redirect malevoli: il tema reindirizza i visitatori verso siti truffa o di phishing, ma solo in determinate condizioni (visitatori da Google, mobile, primo accesso) per sfuggire ai tuoi controlli.
• Furto di dati: il tema intercetta i dati inseriti nei form (credenziali, dati di pagamento) e li invia a server esterni.
• Vulnerabilità XSS e SQL injection: codice scritto male che permette attacchi cross-site scripting o injection nel database.

Fonti sicure per i temi WordPress

La prima regola è scaricare temi solo da fonti affidabili:

• Repository ufficiale WordPress.org: ogni tema nel repository ufficiale viene revisionato manualmente dal team di WordPress prima della pubblicazione. È la fonte più sicura in assoluto. I temi vengono controllati per malware, link nascosti, uso corretto delle API e rispetto degli standard di codifica.
• Marketplace affidabili: ThemeForest (Envato), Elegant Themes, StudioPress, Flavor (flavor) e gli store degli sviluppatori noti (Astra, GeneratePress, Kadence) sono fonti affidabili. I marketplace hanno processi di revisione e politiche di rimborso.
• Sito ufficiale dello sviluppatore: scarica sempre dal sito ufficiale del tema, non da siti terzi che offrono la stessa versione.

Mai scaricare temi premium da siti che li offrono gratuitamente. I temi “nulled” (versioni piratate di temi premium) sono la fonte principale di malware per WordPress. Quasi il 100% dei temi nulled contiene codice malevolo — non è una questione di “se” ma di “quale tipo di malware”.

Controllare il codice con Theme Check

Il plugin Theme Check è uno strumento ufficiale che analizza il codice di un tema e verifica il rispetto degli standard di WordPress. Dopo l’installazione:

1. Vai su Aspetto → Theme Check.
2. Seleziona il tema da analizzare.
3. Clicca “Check it!”.

Theme Check verifica: la presenza di funzioni deprecate, l’uso corretto delle funzioni di escape e sanitizzazione, la struttura dei file, la presenza di codice base64 offuscato (spesso indice di malware), link hardcoded e l’aderenza agli standard di codifica di WordPress.

Se il tema supera Theme Check con solo warning minori, è un buon segnale. Se genera errori critici o trova codice base64, è un segnale di allarme forte.

Scansione antimalware

Per un’analisi più approfondita, usa strumenti di scansione antimalware specifici per WordPress:

• Wordfence: se già installato, esegui una scansione completa dopo aver installato il nuovo tema. Wordfence confronta i file con il suo database di malware noti.
• Sucuri SiteCheck: scansione gratuita online su sitecheck.sucuri.net che analizza il sito per malware, blacklist e anomalie.
• VirusTotal: puoi caricare il file ZIP del tema su virustotal.com per una scansione con decine di engine antimalware prima ancora di installarlo sul server.

La scansione preventiva su VirusTotal è particolarmente raccomandata: analizzi il tema prima di installarlo, eliminando il rischio alla fonte.

Segnali di allarme nel codice

Se hai competenze tecniche minime, puoi cercare manualmente alcuni segnali di allarme nei file del tema:

• Funzione eval(): usata per eseguire codice arbitrario. Raramente necessaria in un tema legittimo.
• Codice base64: le funzioni base64_decode() e base64_encode() vengono usate per offuscare codice malevolo. La presenza di lunghe stringhe base64 nel codice PHP è un segnale di allarme.
• Funzioni di connessione esterna: curl_exec(), file_get_contents() con URL esterni nel codice del tema possono indicare comunicazione con server remoti per inviare dati o ricevere istruzioni.
• File .php in cartelle insolite: file PHP nella cartella delle immagini o in sottocartelle con nomi casuali sono quasi sempre backdoor.
• Link nascosti nel footer: controlla il file footer.php per link con display:none o dimensioni zero — sono link SEO spam invisibili ai visitatori ma visibili a Google.

Verificare reputazione e recensioni

Prima di installare un tema, fai una ricerca sulla sua reputazione:

• Cerca “[nome tema] vulnerability” su Google per verificare se sono state segnalate vulnerabilità note.
• Controlla WPScan Vulnerability Database (wpscan.com/search) per vulnerabilità registrate.
• Leggi le recensioni: sia nel repository WordPress che su siti indipendenti. Cerca menzioni di malware, redirect sospetti o comportamenti anomali.
• Verifica lo sviluppatore: un tema pubblicato da uno sviluppatore con un portfolio di plugin e temi è più affidabile di uno pubblicato da un account sconosciuto con un solo prodotto.

Cosa fare dopo l’installazione

Anche dopo aver verificato la sicurezza del tema, mantieni queste precauzioni:

1. Aggiorna il tema regolarmente: gli aggiornamenti correggono vulnerabilità scoperte dopo il rilascio. Un tema non aggiornato diventa progressivamente meno sicuro.
2. Usa un tema child: le modifiche al tema vanno fatte in un tema child per non essere sovrascritte dagli aggiornamenti.
3. Monitora il sito: dopo l’installazione di un nuovo tema, monitora il sito per le prime settimane. Controlla Google Search Console per avvisi di sicurezza e usa Wordfence per scansioni periodiche.
4. Mantieni un backup: prima di cambiare tema, crea un backup completo. Se il nuovo tema causa problemi, puoi tornare indietro in pochi minuti.

Temi gratuiti vs premium: quale è più sicuro?

Contrariamente a quanto si potrebbe pensare, un tema gratuito dal repository ufficiale WordPress.org non è meno sicuro di un tema premium. Anzi, i temi del repository passano attraverso una revisione manuale rigorosa che molti temi premium venduti su marketplace minori non subiscono. La differenza non è tra gratuito e premium, ma tra fonte affidabile e fonte non affidabile. Un tema premium scaricato dal sito ufficiale dello sviluppatore è sicuro. Lo stesso tema scaricato da un sito pirata è quasi certamente infetto. Investi nel tema, non solo nel prezzo ma nella tranquillità di sapere che il codice è pulito e supportato.

Hai installato un tema sospetto?

Se sospetti che il tema del tuo sito contenga malware o codice sospetto, o se hai installato un tema da una fonte non verificata e vuoi accertarti che sia sicuro, il team di SoccorsoWP può eseguire una scansione approfondita del tema e dell’intero sito, rimuovere eventuali malware e consigliarti un tema sicuro e performante. Apri un ticket e proteggi il tuo sito.