Analisi del rischio IT per WordPress: un metodo semplice
Analisi del rischio IT per siti WordPress: elencare asset, individuare minacce, valutare su scala 1–3, scegliere misure e responsabili, con registro di esempio.
Melike Görel
Melike Görel scrive le guide di secaudit.eu sulla sicurezza di WordPress e sulla conformità alle norme UE per AngelForce OÜ, l’azienda di software di Tallinn che sta dietro a secaudit.eu.
Articoli di Melike Görel
WordPress HTTPS: risolvere mixed content e redirect
WordPress HTTPS fatto bene: certificato gratuito, sostituzione sicura degli URL con WP-CLI, un solo redirect 301, loop dietro proxy, mixed content e scadenza.
WordPress hackerato di nuovo? Come trovare la backdoor
WordPress viene hackerato di nuovo dopo la pulizia? Dove si nascondono le backdoor: auto_prepend_file, mu-plugins, plugin falsi, cron, siti vicini, accessi aperti.
Enumerazione utenti WordPress: REST API e URL autore
Enumerazione utenti WordPress: verifica quali nomi di login espone il sito tramite REST API, URL autore, sitemap e errori di accesso, e applica correzioni sicure.
Permessi dei file WordPress: 644, 755 e proprietario
Permessi dei file WordPress: cosa significano 755 e 644, chi deve essere proprietario, come ripristinarli in sicurezza e perché 777 non risolve gli errori di upload.
Accordo sul trattamento dei dati per agenzie web (art. 28 GDPR)
Quando un'agenzia web deve stipulare un accordo sul trattamento dei dati (art. 28 GDPR): allegato di sicurezza, sub-responsabili, incidenti e fine del contratto.
Redirect hack WordPress: trovare e rimuovere i redirect spam
Redirect hack WordPress: riprodurre i redirect condizionali con curl e strumenti per sviluppatori, trovarli in .htaccess, PHP, database o CDN e impedirne il ritorno.
Hardening di wp-config.php: 10 impostazioni da controllare
Hardening di wp-config.php in 10 controlli: salt univoci, debug in produzione, FORCE_SSL_ADMIN, permessi dei file, backup dimenticati e modifica sicura.
Sigilli di sicurezza per siti web: cosa può provare un badge
Cosa può e cosa non può dimostrare un sigillo di sicurezza per siti web: tipi di sigilli, perché i badge statici non valgono nulla e come verificarne uno in un minuto.
Sicurezza dei ruoli utente WordPress: pulire gli account admin
Sicurezza dei ruoli utente WordPress: trovare tutti gli admin, eliminare accessi di ex staff e agenzie, revocare le password applicazione, revisione trimestrale.
Backup WordPress che si ripristinano davvero
Piano di backup WordPress pensato per il ripristino: file e database, regola 3-2-1 con copia off-site immutabile, cifratura, test di restore e art. 32 GDPR.
Header di sicurezza WordPress: CSP, HSTS e altri
Header di sicurezza WordPress spiegati: valori iniziali sicuri per HSTS, CSP, Referrer-Policy e Permissions-Policy, dove impostarli e come evitare malfunzionamenti.
Protezione brute force WordPress: cosa può fermare un plugin
Protezione brute force WordPress a livelli: limitazione dei login, XML-RPC multicall, enumerazione utenti via REST e perché un plugin non ferma un attacco DDoS.
PHP2Shell: cosa fare subito se il sito usa WordPress
PHP2Shell (CVE-2026-109618, CVE-2026-109619) consente di eseguire codice su PHP non aggiornato: verificare la versione, aggiornare, riavviare, vigilare.
DISALLOW_FILE_EDIT: disattivare l'editor file di WordPress
Come aggiungere DISALLOW_FILE_EDIT a wp-config.php, cosa non impedisce e quando conviene DISALLOW_FILE_MODS senza compromettere gli aggiornamenti di WordPress.
Verificare i checksum di WordPress: file core modificati
Come verificare i checksum di WordPress con WP-CLI o l'API di WordPress.org, leggere gli avvisi su file modificati o extra, controllare i plugin e reinstallare il core.
Web shell WordPress in uploads: come trovarle e bloccarle
Come trovare le web shell WordPress in wp-content/uploads con comandi sicuri, bloccare l'esecuzione di PHP su Apache e nginx, rivedere i permessi e chiudere l'ingresso.
SEO spam WordPress: trovare link nascosti di casinò e farmaci
SEO spam su WordPress: come trovare link nascosti di casinò e farmaci, vedere ciò che vede Googlebot, pulire database e file e richiedere il riesame a Google.
Report di audit di sicurezza WordPress: quali prove conservare
Come costruire un report di audit di sicurezza WordPress: i sei registri da conservare, come devono essere le prove, domande di fornitori e assicurazioni, modello.
Sito WordPress hackerato: 12 segnali e come verificarli
Dodici segnali di un sito WordPress hackerato, dagli amministratori sconosciuti ai redirect nascosti: come verificarli uno per uno e cosa fare nella prima ora.
Rimuovere il malware da WordPress: piano passo per passo
Rimuovere il malware da WordPress in otto passaggi: isolare il sito, salvare le prove, trovare la falla, ripulire da fonti sicure e cambiare tutte le credenziali.
Plugin WordPress vulnerabili: verificare, aggiornare, sostituire
Come gestire le vulnerabilità dei plugin WordPress: inventario, aggiornamenti rapidi, via i plugin inutilizzati o abbandonati e cosa fare se una correzione non c'è.
OWASP Top 10:2025 spiegata per WordPress
L'OWASP Top 10:2025 applicata a WordPress: come si presenta ogni rischio in plugin, temi e impostazioni e quali controlli possono fare titolari e sviluppatori.
NIS2 e siti WordPress: chi rientra nell'ambito di applicazione
NIS2 e WordPress: come capire se un'azienda, un'agenzia o un hosting rientra nella direttiva, cosa aspettarsi da fornitori e quali misure dell'art. 21 toccano il sito.
Google Fonts e GDPR: ospitare i font in locale su WordPress
Google Fonts e GDPR: che cosa ha deciso il tribunale di Monaco, perché il Data Privacy Framework non chiude la questione e come ospitare i font in locale su WordPress.
Articolo 32 GDPR e WordPress: cosa significa «sicurezza adeguata»
Art. 32 GDPR e sicurezza WordPress in pratica: cifratura, aggiornamenti, controllo degli accessi, backup testati, scansioni, documentazione e contratti con i fornitori.
Sito WordPress violato? Notifica GDPR del data breach in 72 ore
Sito WordPress violato? Quando un attacco è un data breach secondo il GDPR, quando partono le 72 ore per la notifica, cosa comunicare, cosa documentare e chi informare.
Cyber Resilience Act: obblighi per chi vende plugin WordPress
Cyber Resilience Act per chi vende plugin e temi WordPress: segnalazioni obbligatorie dall'11 settembre 2026, obblighi da dicembre 2027 e una lista di cose da fare.
Checklist di sicurezza WordPress per aziende UE (2026)
Checklist di sicurezza WordPress per aziende UE: 25 controlli su hosting, aggiornamenti, 2FA, monitoraggio, backup e documentazione, collegati a GDPR e NIS2.
Autenticazione a due fattori per gli amministratori WordPress
Autenticazione a due fattori su WordPress: app TOTP, passkey, codici di backup, perché gli SMS sono più deboli, chi deve usare la 2FA, come introdurla e obblighi NIS2.