{"id":28962,"date":"2026-09-07T12:29:33","date_gmt":"2026-09-07T12:29:33","guid":{"rendered":"https:\/\/soccorsowp.it\/blog\/sito-wordpress-hackerato-cosa-fare\/"},"modified":"2026-09-07T12:29:33","modified_gmt":"2026-09-07T12:29:33","slug":"sito-wordpress-hackerato-cosa-fare","status":"publish","type":"post","link":"https:\/\/soccorsowp.it\/blog\/sito-wordpress-hackerato-cosa-fare\/","title":{"rendered":"Sito WordPress hackerato: cosa fare subito, nell&#8217;ordine giusto"},"content":{"rendered":"<p>Scoprire che il proprio sito \u00e8 stato violato mette fretta, e la fretta \u00e8 il motivo per cui molti recuperi vanno male. Le prime ore contano, ma contano <em>nell&#8217;ordine giusto<\/em>: fare le cose nella sequenza sbagliata pu\u00f2 cancellare le prove di come sono entrati, e senza quelle l&#8217;infezione torna.<\/p>\n<p>Questa guida spiega come riconoscere una violazione, cosa fare per prima cosa e \u2014 soprattutto \u2014 cosa non fare.<\/p>\n<h2>Come capire se il sito \u00e8 davvero compromesso<\/h2>\n<p>Non tutti i malfunzionamenti sono attacchi. Questi invece sono segnali concreti:<\/p>\n<ul>\n<li><strong>Redirect verso siti che non c&#8217;entrano.<\/strong> Spesso solo da mobile, o solo per chi arriva da Google: chi apre il sito digitando l&#8217;indirizzo non vede nulla di strano. \u00c8 fatto apposta perch\u00e9 il proprietario non se ne accorga.<\/li>\n<li><strong>Google mostra l&#8217;avviso &#8220;Sito ingannevole&#8221; o &#8220;Sito non sicuro&#8221;.<\/strong> A quel punto il traffico crolla di colpo.<\/li>\n<li><strong>Pagine che non hai mai creato<\/strong>, di solito in altre lingue e su temi lontanissimi dal tuo, che compaiono cercando <code>site:iltuosito.it<\/code> su Google.<\/li>\n<li><strong>Utenti amministratori che non riconosci<\/strong> nell&#8217;elenco utenti.<\/li>\n<li><strong>Il server manda spam<\/strong>: te ne accorgi quando le email legittime iniziano a rimbalzare o finiscono nello spam, perch\u00e9 l&#8217;indirizzo del server \u00e8 finito in blacklist.<\/li>\n<li><strong>File PHP sconosciuti<\/strong> dove non dovrebbero esserci: nella cartella <code>uploads<\/code>, che dovrebbe contenere solo immagini e documenti, oppure nella radice del sito.<\/li>\n<li><strong>L&#8217;hosting sospende il sito<\/strong> avvisando di attivit\u00e0 anomale.<\/li>\n<\/ul>\n<h2>Le prime mosse, in ordine<\/h2>\n<h3>1. Fai una copia dello stato attuale \u2014 s\u00ec, anche se \u00e8 infetto<\/h3>\n<p>Sembra controintuitivo, ed \u00e8 la mossa che quasi nessuno fa. Ma quella copia serve a due cose: se durante la pulizia si rompe qualcosa si pu\u00f2 tornare indietro, e soprattutto <strong>contiene le tracce di come sono entrati<\/strong>. Chi cancella tutto e ripristina un backup pulito rimette in piedi il sito e lascia aperta la stessa porta.<\/p>\n<h3>2. Cambia tutte le password, non solo quella di WordPress<\/h3>\n<p>Amministratori WordPress, pannello dell&#8217;hosting, FTP\/SFTP, database. Cambiarne una sola e lasciare le altre significa vederli rientrare il giorno dopo.<\/p>\n<h3>3. Rigenera le chiavi di sicurezza<\/h3>\n<p>In <code>wp-config.php<\/code> ci sono otto chiavi (<code>AUTH_KEY<\/code>, <code>SECURE_AUTH_KEY<\/code> e le altre). Sostituirle con valori nuovi <strong>invalida tutte le sessioni aperte<\/strong>: chi \u00e8 entrato e sta navigando come amministratore viene buttato fuori all&#8217;istante. \u00c8 un passaggio da trenta secondi che viene quasi sempre dimenticato.<\/p>\n<h3>4. Guarda i file modificati di recente<\/h3>\n<p>Via SSH:<\/p>\n<pre><code>find . -type f -name \"*.php\" -mtime -14 -ls<\/code><\/pre>\n<p>Elenca i file PHP toccati negli ultimi quattordici giorni. Su un sito che nessuno ha modificato, tutto quello che compare merita un&#8217;occhiata \u2014 in particolare sotto <code>uploads<\/code>, dove file PHP non dovrebbero proprio esistere.<\/p>\n<h3>5. Controlla dove si nascondono<\/h3>\n<p>I punti che vengono guardati per ultimi, e dove il codice malevolo sopravvive alle pulizie frettolose:<\/p>\n<ul>\n<li><strong><code>wp-content\/mu-plugins\/<\/code><\/strong>: i plugin qui dentro sono attivi sempre e <em>non compaiono nell&#8217;elenco plugin<\/em>. Se la cartella non l&#8217;hai creata tu, \u00e8 un ottimo posto dove guardare.<\/li>\n<li><strong>Le attivit\u00e0 pianificate<\/strong> di WordPress: un&#8217;attivit\u00e0 che reinstalla la backdoor ogni notte rende inutile qualsiasi pulizia.<\/li>\n<li><strong>Il database<\/strong>, non solo i file: nella tabella delle opzioni e negli articoli possono esserci script iniettati.<\/li>\n<li><strong><code>.htaccess<\/code><\/strong>: \u00e8 l\u00ec che vivono i redirect condizionali che scattano solo per certi visitatori.<\/li>\n<li><strong>Il file <code>wp-config.php<\/code><\/strong>, spesso con codice aggiunto in fondo, sotto molte righe vuote per non farsi notare aprendo il file.<\/li>\n<\/ul>\n<h2>Gli errori che peggiorano la situazione<\/h2>\n<ul>\n<li><strong>Ripristinare un backup e considerarla chiusa.<\/strong> Se il backup \u00e8 successivo alla violazione, l&#8217;infezione torna con lui. Se \u00e8 precedente, hai perso il lavoro nel frattempo <em>e<\/em> la falla \u00e8 ancora l\u00ec.<\/li>\n<li><strong>Cancellare tutto e reinstallare da zero<\/strong> senza aver capito da dove sono entrati. Se il punto d&#8217;ingresso era un plugin vulnerabile che reinstalli, torni al punto di partenza.<\/li>\n<li><strong>Installare tre plugin di sicurezza sperando che qualcuno trovi qualcosa.<\/strong> Su un sito gi\u00e0 compromesso spesso non riescono nemmeno a funzionare, e nel frattempo appesantiscono un sito gi\u00e0 in difficolt\u00e0.<\/li>\n<li><strong>Non avvisare l&#8217;hosting.<\/strong> Loro vedono cose che tu non vedi \u2014 accessi FTP anomali, processi che partono di notte \u2014 e possono dirti da dove \u00e8 arrivato l&#8217;attacco.<\/li>\n<li><strong>Dimenticare Google.<\/strong> Dopo la pulizia va chiesto il riesame da Search Console, altrimenti l&#8217;avviso &#8220;sito non sicuro&#8221; resta anche a sito pulito.<\/li>\n<\/ul>\n<h2>Dopo la pulizia: chiudere la porta<\/h2>\n<p>Un sito ripulito ma non messo in sicurezza viene ricompromesso, spesso nel giro di giorni. Servono almeno:<\/p>\n<ul>\n<li><strong>Tutto aggiornato<\/strong>, core, temi e plugin \u2014 nella grande maggioranza dei casi si entra da un componente non aggiornato con una vulnerabilit\u00e0 nota e pubblica.<\/li>\n<li><strong>Rimuovere ci\u00f2 che non si usa.<\/strong> Un tema disattivato e mai aggiornato \u00e8 comunque codice raggiungibile dall&#8217;esterno.<\/li>\n<li><strong>Autenticazione a due fattori<\/strong> sugli amministratori.<\/li>\n<li><strong>Verifica dell&#8217;uscita dalle blacklist<\/strong>, o le email continueranno a non arrivare anche a sito sistemato.<\/li>\n<li><strong>Monitoraggio<\/strong>, per accorgersi della prossima volta in ore invece che in settimane.<\/li>\n<\/ul>\n<h2>Quando chiamare qualcuno<\/h2>\n<p>Se il sito \u00e8 un negozio, se raccoglie dati di clienti, se l&#8217;hosting l&#8217;ha sospeso, o se dopo la pulizia i sintomi tornano, conviene farlo fare a chi lo fa di mestiere. Non \u00e8 una questione di capacit\u00e0 tecnica: \u00e8 che una violazione richiede di sapere <em>dove<\/em> guardare, e quella conoscenza si costruisce vedendone molte.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Scoprire che il proprio sito \u00e8 stato violato mette fretta, e la fretta \u00e8 il motivo per cui molti recuperi vanno male. Le prime ore&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Sito WordPress hackerato: cosa fare subito","_seopress_titles_desc":"Il tuo sito WordPress \u00e8 stato hackerato? I segnali da riconoscere, le prime mosse da fare nell'ordine giusto e gli errori che rendono il recupero pi\u00f9 difficile.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-28962","post","type-post","status-publish","format-standard","category-domande-frequenti"],"_links":{"self":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/28962","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/comments?post=28962"}],"version-history":[{"count":0,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/28962\/revisions"}],"wp:attachment":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media?parent=28962"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/categories?post=28962"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/tags?post=28962"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}