Diverse fonti importanti hanno confermato che ci sono attacchi brute force di massa mirati a siti WordPress e Joomla proprio in questo momento. HostGator, InMotion Hosting, LiquidWeb e molti altri hanno informato i propri clienti riguardo a questo problema. La botnet degli hacker contiene oltre 90.000 IP diversi e sta prendendo di mira i principianti di WordPress che commettono errori molto comuni. Sì, tutto questo suona spaventoso, quindi ecco cosa devi fare per diminuire le tue possibilità di essere hackerato.
1. Smetti di usare il nome utente admin
Spesso i principianti usano nomi utente molto comuni come admin, administrator, test, root, ecc. I nostri amici di Sucuri hanno segnalato che questi nomi utente sono attualmente pesantemente presi di mira. Se hai un nome utente WordPress generico come admin, allora dovresti cambiarlo subito.
Abbiamo un tutorial facile da seguire che ti mostrerà come cambiare il tuo nome utente in WordPress.
2. Usa una password forte
Per favore, per favore, per favore usa una password molto forte. Questi tentativi di attacco brute force prendono di mira tutte le password più comuni che le persone usano. Una password forte contiene lettere maiuscole e minuscole, numeri e simboli. Non usare la stessa password in più di un posto. Non è mai troppo tardi per iniziare a usare una soluzione di gestione delle password come 1Password o LastPass.
3. Mantieni buoni backup
La migliore sicurezza che puoi avere per il tuo sito web è un'ottima soluzione di backup. Stiamo usando VaultPress che è un servizio mensile. Tuttavia, se non ti piace pagare mensilmente, allora ti consigliamo vivamente di ottenere BackupBuddy.
Per favore, mantieni buoni backup del tuo sito perché la maggior parte delle società di hosting non lo fa.
4. Usa l'autenticazione a due fattori
Inizia a usare l'autenticazione a due fattori. In questo modo, anche se qualcuno indovina la tua password, non potrà accedere al tuo sito perché non avrà il codice di sicurezza. Ti consigliamo vivamente di farlo subito.
5. Proteggi con password WP-Admin e limita i tentativi di accesso
Raccomandiamo sempre ai nostri utenti di limitare i tentativi di accesso. Tuttavia, questo da solo non può proteggere da tutti gli attacchi perché questa botnet contiene 90.000 IP. Un'altra cosa che puoi fare è proteggere con password la tua directory WP-admin. Puoi anche limitare il tuo file wp-login.php a un IP specifico.
6. Inizia a usare Sucuri
Se non stai usando Sucuri, ti raccomandiamo vivamente di iniziare a usarla. Sono sempre all'avanguardia e non ci fidiamo di nessun altro quando si tratta della sicurezza di WordPress. Vedi 5 motivi per cui usiamo Sucuri.
Non siamo sicuri quale sia l'obiettivo finale di questi attacchi, ma qualunque esso sia, odieremmo vedere i nostri utenti esserne vittime. Si prega di mantenere i propri siti aggiornati e di seguire tutti i suggerimenti sopra riportati.
Jiří Vaněk
Personalmente, consiglierei un altro suggerimento. Utilizzo un plugin GEO-IP per proteggere l'area di amministrazione, dove per alcuni siti web l'accesso è limitato solo a determinati paesi e per altri è limitato a specifici indirizzi IP. Questo fornisce una protezione piuttosto buona perché quando l'accesso all'amministrazione è limitato a specifici indirizzi IP, un attaccante è relativamente sfortunato.
Per coloro che non vogliono usare un plugin, è possibile limitare l'accesso all'amministrazione a determinati IP utilizzando il file .htaccess. È piuttosto semplice ma una soluzione molto efficace.
Janet
Sto lavorando per mettere in sicurezza i siti per i miei clienti e ho bisogno di proteggere con password la loro cartella wp-admin. Ho un problema e spero che qualcuno possa aiutarmi. Quando vado su cPanel per proteggere con password quella cartella, ricevo un errore riguardo all'installazione delle estensioni Frontpage, che impedisce la protezione con password. Quando provo a disinstallare le estensioni, ricevo questo messaggio:
Avviso: L'installazione o la disinstallazione delle estensioni FrontPage comporterà la perdita di tutti i file ".htaccess". Tutte le modifiche apportate ai tuoi file ".htaccess" andranno perse.
Se facessi un backup di .htacess come istruito in questa pagina https://014.leahstevensyj.workers.dev/wp-tutorials/how-to-password-protect-your-wordpress-admin-wp-admin-directory/ , sarebbe sufficiente?
Grazie per il tuo aiuto e per tutte le tue informazioni MOLTO utili!
Staff editoriale
Finché hai dei backup, allora dovresti essere a posto.
Amministratore
Janet
Grazie! Ho avuto alcuni problemi con il .htacess, ma il nostro host web ha risolto tutto per noi. Grazie mille per l'aiuto!
Sarah B R
Ciao,
Ho seguito le tue linee guida per l'autenticazione a due fattori e ha funzionato bene la prima volta qualche giorno fa.
Volevo accedere oggi e sono andato sull'app sul mio telefono e l'account WordPress che avevo aggiunto non si trova da nessuna parte. Quindi ora non posso accedere.
Grazie per l'aiuto.
Staff editoriale
That’s weird. Well the easiest thing would be to delete that plugin via FTP and login again. Set it up again once you are logged in
Amministratore
Edwin Lynch
I use WP Better Security. It’s free, does nearly everything Sucuri does except promote affiliate marketing spam
Ratnesh
Il blocco del login è il miglior plugin per proteggere il blog Wordpress dagli attacchi di forza bruta
Robert Connor
Alcuni buoni consigli, il pannello di amministrazione del mio sito viene bombardato quotidianamente da tentativi di accesso!
Jane
Come fai a sapere quando sei stato attaccato con forza bruta? Il mio cliente ha avuto problemi con il suo sito WP di recente, quindi mi chiedo se abbia a che fare con questo.
Jennifer
Ho un sito che viene attualmente colpito da un attacco di forza bruta. È INARRESTABILE. Il sito utilizza SUCURI (meno male!) e hanno già fatto una pulizia per noi.
Grazie, Syed & team, per tutte le ottime informazioni. Ho appena aggiunto l'autenticazione a due fattori e metterò in atto il resto dei tuoi suggerimenti al più presto.
Esther
Grazie per il link al video gratuito, ho appena iniziato il mio sito WP ieri, dopo aver gestito un sito Blogger, e mi sta dando del filo da torcere! Sono abbastanza esperto di tecnologia, quindi non ho idea di quale sia il mio problema, solo che ne ho uno! lol
Keith Davis
Ciao ragazzi
Leggi l'articolo sul sito web di Sucuri – sono con quei ragazzi e uso alcune altre misure di sicurezza.
Ti ho appena menzionato su #WordPress
Scott Hack
Mi piacerebbe vedere un limite ai login aggiunto al core per il 3.6