10 cose da controllare entro fine ottobre se gestisci siti WordPress

Ogni anno a ottobre torna l'European Cybersecurity Month (ECSM), la campagna annuale dell'Unione Europea sulla sicurezza informatica. Secondo la pagina ufficiale di ENISA, l'European Cybersecurity Month (ECSM) è la campagna annuale dell'Unione Europea dedicata a promuovere la cybersicurezza tra cittadini e organizzazioni, iniziativa promossa dagli Stati membri e dalle organizzazioni pubbliche e private europee, con il supporto di ENISA e della Commissione Europea, attiva dal 1 al 31 ottobre 2026.

Per chi gestisce anche solo una decina di installazioni WordPress, è l'occasione buona per fare manutenzione vera, non solo leggere l'ennesimo avviso. Ecco dieci controlli, con il comando o il percorso per rifarli.

1. Versione PHP in uso

php -v da riga di comando, oppure Bacheca → Strumenti → Salute del sito su WordPress. Secondo la documentazione ufficiale del core, la versione PHP minima raccomandata resta 8.3, mentre la versione minima supportata è 7.4 da WordPress 7.0.

2. Versione di WordPress core

wp core version (via WP-CLI) o Bacheca → Aggiornamenti. Se è sotto la 6.4 non ha nemmeno il supporto pieno a PHP 8.3.

3. Plugin con aggiornamenti in sospeso

wp plugin list --update=available elenca i plugin con update disponibile senza aprire l'admin.

4. Temi inutilizzati o non aggiornati

wp theme list --status=inactive mostra i temi installati ma non attivi: se non servono, si disinstallano con wp theme delete <nome>.

5. Scadenza dei certificati TLS

openssl s_client -connect dominio.tld:443 -servername dominio.tld </dev/null 2>/dev/null | openssl x509 -noout -dates restituisce notBefore e notAfter.

6. Ultimo backup funzionante testato

Non basta che il backup esista: va ripristinato su un ambiente di prova. Con WP-CLI un controllo minimo è wp db check dopo il ripristino, per verificare l'integrità delle tabelle.

7. Utenti amministratori non più attivi

wp user list --role=administrator --fields=ID,user_login,user_email elenca gli admin. Da confrontare con chi lavora ancora sul progetto.

8. Limiti di memoria PHP

php -i | grep memory_limit oppure, su WordPress, la costante WP_MEMORY_LIMIT in wp-config.php. Un valore sotto i 256M va quasi sempre alzato per evitare errori "allowed memory size exhausted" su plugin pesanti.

9. Permessi di file e directory

Da root del sito: find . -type d -exec chmod 755 {} \; per le directory e find . -type f -exec chmod 644 {} \; per i file, verificando prima con ls -la che non ci siano directory scrivibili da www-data oltre a wp-content/uploads.

10. Chiavi di sicurezza in wp-config.php

Le righe AUTH_KEY, SECRET_KEY e simili in wp-config.php vanno rigenerate periodicamente dal generatore ufficiale di WordPress.org, soprattutto dopo un sospetto accesso non autorizzato.

Dieci voci, dieci comandi. Da rifare, uno per sito, prima della fine di ottobre.