Sito WordPress violato: la guida di pronto intervento per chi non è un tecnico

Un sito WordPress compromesso si riconosce prima di tutto dai segnali, non dai sospetti. Questa guida serve a chi gestisce un sito ma non amministra un server: un'agenzia, un piccolo e-commerce, un professionista. Vale indipendentemente dalla vulnerabilità sfruttata: non è legata a una CVE specifica, ma alla sequenza di mosse da fare nelle prime ore.

I segnali da cercare

Non serve essere sistemisti per accorgersi che qualcosa non va. I segnali più comuni:

• il browser mostra un avviso "Sito ingannevole in vista" o "Pericolosa" quando qualcuno visita il sito;
• il sito reindirizza verso un altro dominio, spesso solo su mobile o solo arrivando da Google;
• compaiono pagine o articoli che nessuno in redazione ha scritto, a volte in lingue diverse dall'italiano;
• arriva una email dal provider di hosting che segnala attività sospetta o sospende l'account;
• Google Search Console invia una notifica di problema di sicurezza.

La documentazione ufficiale di WordPress.org indica come primo passo utile il documentare i sintomi osservati, con orario preciso e fuso orario, e annotare quali operazioni erano state fatte di recente sul sito (plugin installati, temi modificati, widget aggiunti): è la base per capire cosa è successo e, se serve, per chi dovrà aiutarvi a ricostruire l'incidente.

Primo passo: isolare il sito

Prima di cercare la causa, va fermata la diffusione. Mettere il sito in modalità manutenzione o renderlo temporaneamente offline impedisce che i visitatori continuino ad arrivare su pagine che reindirizzano a malware o phishing, e riduce il rischio che Google scansioni di nuovo il sito compromesso aggravando la segnalazione. Se non sapete come attivare la manutenzione da pannello, è la prima cosa da chiedere a chi vi dà supporto tecnico.

Isolare un backup pulito

Non basta prendere l'ultimo backup disponibile: se il sito era già compromesso da giorni, anche l'ultimo salvataggio potrebbe contenere il codice malevolo. Serve risalire alla data del primo sintomo documentato e cercare un backup precedente a quella data. Prima di ripristinare qualunque cosa, conviene comunque salvare una copia dello stato attuale (anche infetto): serve come riferimento per capire cosa è stato modificato e, in caso di segnalazione a terzi, come prova.

A chi chiedere aiuto

Se non gestite direttamente il server, le strade sono due: l'agenzia o il freelance che ha realizzato il sito, oppure il supporto tecnico del provider di hosting. Molti hoster offrono un servizio di rimozione malware a pagamento o incluso in alcuni piani: vale la pena chiedere prima di procedere da soli, soprattutto se il sito gestisce pagamenti o dati di utenti registrati.

Cosa cambiare sempre dopo la pulizia

Indipendentemente da come è stato pulito il sito, dopo l'intervento vanno cambiate tutte le credenziali, non solo quella dell'amministratore WordPress:

• password di hosting, FTP/SFTP e pannello di controllo;
• password del database;
• password di tutti gli utenti WordPress, non solo degli amministratori;
• chiavi API e token collegati a servizi esterni (pagamenti, spedizioni, newsletter);
• le security keys di WordPress nel file wp-config.php, che invalidano le sessioni già aperte da chi ha avuto accesso.

La documentazione ufficiale di WordPress.org indica esplicitamente di rigenerare queste chiavi tramite il generatore ufficiale e sovrascriverle nel file di configurazione, proprio per forzare la disconnessione di chiunque fosse rimasto collegato con sessioni valide.

Verificare e sbloccare Google Search Console

Se il sito è registrato su Google Search Console, va controllato il report Problemi di sicurezza, raggiungibile dal menu Sicurezza e azioni manuali. Se Google ha rilevato contenuti compromessi, malware o pagine di phishing, il report elenca la categoria del problema e un campione di URL interessati (l'elenco potrebbe non essere completo).

Prima di chiedere la revisione bisogna risolvere il problema su tutte le pagine del sito, non solo su quelle elencate come esempio: secondo la guida ufficiale di Search Console, risolvere il problema solo in alcune pagine non garantisce la reintegrazione nei risultati di ricerca. Solo a quel punto si seleziona Richiedi esame nel report. La richiesta di riconsiderazione, per essere valida, deve soddisfare tre condizioni, sempre secondo Google: spiegare con precisione il problema riscontrato, descrivere la procedura seguita per risolverlo e documentare il risultato delle contromisure adottate.

L'esame può richiedere da alcuni giorni a qualche settimana, e Google invia aggiornamenti via email fino alla decisione finale. Conviene aspettare l'esito prima di inviare una nuova richiesta: una richiesta ripetuta su un problema non ancora risolto allunga i tempi e può far classificare il sito come recidivo.