Come testare la sicurezza del tuo sito WordPress in 2026 (Strumenti gratuiti e una lista di controllo completa) - IT

Gli aggressori trasformano in arma una nuova falla di WordPress in una media di cinque ore. Nel momento in cui una vulnerabilità del plugin arriva nella tua casella di posta, i bot di solito lo hanno già provato sul tuo sito. Quel divario di cinque ore è la ragione principale per testare il tuo sito invece di aspettare che le cattive notizie ti trovino. Questa guida ti mostra come verificare la presenza di buchi in un sito WordPress, da una scansione gratuita di 10 minuti a un audit completo che puoi ripetere ogni trimestre.

Risposta rapida: Esegui prima due scansioni esterne gratuite (SiteCheck e succhi WPScan), quindi valuta la crittografia e le intestazioni con Qualys SSL Labs e securityheaders.com. Per qualsiasi cosa in corso, installare un plugin di scansione (Wordfence per la maggior parte dei siti, MalCare se la velocità della pagina è importante). Quindi attiva l'autenticazione a due fattori per ogni amministratore, e disattiva XML-RPC se non lo usi.

Ultima revisione: giugno 2026. Utensili, nomi dei plugin, e dati sulle vulnerabilità verificati rispetto alle fonti attuali.

How we researched this guide

Non abbiamo eseguito un test di penetrazione in tempo reale sul tuo sito, e nessun articolo può farlo. Quello che abbiamo fatto: apri tutti gli scanner gratuiti elencati qui e conferma che funzioni ancora come descritto in questa guida. Abbiamo controllato i conteggi attuali delle installazioni dei plug-in e i set di funzionalità su WordPress.org e sulle pagine dei fornitori. E abbiamo confrontato i numeri delle minacce con il rapporto sullo stato della sicurezza di WordPress di Patchstack per 2025. Dove uno strumento ha cambiato nome o proprietario, lo diciamo noi. Sicurezza solida, per esempio, è il plugin che la maggior parte delle guide più vecchie chiama ancora iThemes Security. Abbiamo pesato gratuitamente, strumenti senza installazione prima (perché la maggior parte dei lettori desidera testare prima di spendere), quindi plugin in corso, quindi protezione a livello di host. Tutto ciò che non siamo riusciti a verificare su una pagina corrente, abbiamo lasciato fuori.

What a WordPress security test actually checks

Un test di sicurezza di WordPress è un controllo del tuo sito per individuare eventuali punti deboli noti prima che qualcun altro li trovi. Sembra quattro strati: il tuo software (nucleo, plugins, temi), i tuoi accessi, i permessi dei tuoi file, e la tua crittografia. La maggior parte del pericolo risiede nel primo.

Ecco la cosa più importante “verifica” i post saltano. WordPress ha fatto scalpore 11,334 nuove vulnerabilità in 2025, su 42% l'anno prima, e approssimativamente 91% di loro erano nei plugin. Un altro 9% proveniva da temi. Il Core stesso ne aveva sei, tutto a bassa priorità. Quindi un vero test spende la maggior parte delle sue energie sui tuoi componenti aggiuntivi, non su WordPress stesso. Il solo cross-site scripting è stato risolto 41% di tutto quanto riportato. Se il tuo test non segnala plugin obsoleti, sta testando la cosa sbagliata.

Esistono due tipi di test, e tu li vuoi entrambi. Esterno (remoto) le scansioni esaminano il tuo sito come fa un utente malintenzionato su Internet aperta, senza accesso. Le scansioni interne vengono eseguite dall'interno di WordPress e possono leggere i tuoi file, confrontarli con copie conosciute, e cambiamenti spot. Gli strumenti remoti catturano ciò che è visibile; gli strumenti interni rilevano ciò che è stato manomesso.

Free tests you can run in 10 minuti (no plugin needed)

Inizia qui. Nessuno di questi tocca il codice del tuo sito, quindi non c'è rischio di rompere nulla, e non è necessario accedere per eseguirli.

• Succhi SiteCheck (sitecheck.sucuri.net): incolla il tuo URL e verifica la presenza di malware visibile, iniezioni di spam, deturpazione, e se il tuo dominio si trova in una lista nera. Veloce e onesto riguardo ai suoi limiti. Perché vede solo ciò che vede un browser, non può rilevare infezioni lato server, quindi tratta un risultato pulito come “niente di ovvio,” non “tutto chiaro.”
• WPScan (wpscan.com): lo scanner specifico di WordPress. Impronta la tua versione, plugins, e temi, quindi li confronta con un database delle vulnerabilità che tiene traccia di decine di migliaia di problemi noti. Il livello gratuito richiede una registrazione rapida per un token API e ti limita a un determinato numero di scansioni al giorno, che è sufficiente per un sito.
• Qualys SSL Labs (ssllabs.com/ssltest): valuta la tua configurazione HTTPS da A+ a F. Legge il tuo certificato, versioni del protocollo, e suite di crittografia. Qualunque cosa al di sotto della A indica una crittografia debole o obsoleta che vale la pena correggere.
• securityheaders.com: un voto in lettera con un clic sulle intestazioni della risposta HTTP. La mancanza di un'intestazione Content-Security-Policy o HSTS è comune e facile da risolvere, e questo strumento ti dice esattamente quali ti mancano.
• Osservatorio HTTP MDN (lo strumento che molte persone chiamano ancora Osservatorio Mozilla): un controllo più ampio delle migliori pratiche che si sovrappone ai due precedenti e aggiunge contesto sul motivo per cui ciascuna intestazione è importante.

Eseguili tutti e cinque, annotare i voti, e hai una linea di base in meno di dieci minuti. Se tutto torna pulito, grande. Passare comunque alla lista di controllo manuale, perché gli scanner remoti non rilevano le informazioni che si trovano dietro la schermata di accesso.

The manual audit checklist: what to verify yourself

Gli scanner remoti non possono accedere. Puoi. Questa è la parte che individua i punti deboli effettivamente sfruttati dagli aggressori. Lavoralo con la dashboard aperta.

• Software obsoleto. Controlla il nucleo, ogni plugin, e ogni tema per gli aggiornamenti disponibili. Esecuzione di WordPress 7.0 “Armstrong” o successiva mantiene automatiche le patch di sicurezza minori, ma i plugin richiedono comunque la tua attenzione. Elimina tutto ciò che non stai utilizzando. Un plugin disattivato ha ancora il codice sul server.
• Plugin abbandonati. Apri la pagina di ciascun plugin e guarda “ultimo aggiornamento.” Un plugin intatto per più di un anno è una responsabilità, non una caratteristica. Trova un sostituto mantenuto.
• Account utente e ruoli. Rimuovi i vecchi account amministratore, downgrade degli utenti che non necessitano dei diritti di amministratore, e assicurati che nessun account utilizzi il nome utente “amministratore.” Ogni amministratore in più è un altro set completo di chiavi.
• Autenticazione a due fattori. Conferma che la 2FA sia attiva per tutti gli account amministratore ed editor, idealmente con un'app di autenticazione (TOT) piuttosto che SMS. Molti professionisti della sicurezza lo definiscono il singolo cambiamento di maggiore impatto che puoi apportare. Vuoi andare oltre? Una chiave di accesso (WebAuthn) resiste al phishing in un modo che nemmeno i codici delle app possono fare, sebbene dentro 2026 è ancora solo plug-in, non cotto nel nucleo. Genera codici di backup in entrambi i casi.
• Rafforzamento dell'accesso. Esiste un limite ai tentativi di accesso falliti? Un CAPTCHA sul modulo di accesso? These slow brute-force bots to a crawl.
• XML-RPC. If you don’t use the Jetpack app, remote publishing, or pingbacks, disable xmlrpc.php. Suo system.multicall method lets attackers test hundreds of password guesses in one request, which is why it’s a favorite brute-force target.
• Autorizzazioni sui file. Directories should be 755 (o 750), File 644 (o 640), e wp-config.php should be 440 o 400, Mai 644. Leaving wp-config readable hands your database credentials to any process on the server.
• Dashboard file editing. Inserisci DISALLOW_FILE_EDIT to wp-config.php. If an attacker ever gets in, the built-in editor is their fastest path to injecting code. Most production sites never need it.
• SSL and headers. Confirm HTTPS is forced site-wide (no mixed content) and act on the SSL Labs and securityheaders grades from the last step.
• I backup. Verify you have recent, off-site backups and that you’ve actually restored one at least once. Un backup che non hai mai testato è un'ipotesi, non una rete di sicurezza.
• Il livello di hosting. I buoni host bloccano molto prima che raggiunga WordPress. Se utilizzi un hosting condiviso e sei serio a riguardo, una mossa a hosting WordPress gestito patch dei turni, firewall, e la scansione del malware sul provider.

Run a deeper automated audit with a security plugin (passo dopo passo)

Le scansioni esterne e la lista di controllo ti forniscono un'istantanea. Un plug-in di scansione ti fornisce un tripwire che controlla continuamente il sito. Ecco come impostarne uno ed eseguire un audit completo.

• 1. Scegli un plugin, non tre. L'esecuzione simultanea di due firewall o due scanner provoca conflitti e falsi allarmi. Scegli Wordfence, MalCare, Sicurezza solida, succhi di frutta, o AIOS, quindi mantienilo.
• 2. Eseguire prima il backup. Effettua un nuovo backup prima di installare qualsiasi cosa che tocchi le impostazioni di sicurezza, in modo da poter eseguire il rollback se una regola del firewall interrompe una pagina.
• 3. Esegui la prima scansione completa. Lascialo installare, quindi confronta i tuoi file principali, plugins, e temi rispetto a originali verificati. È qui che emergono i file alterati o iniettati.
• 4. Leggi i risultati per gravità. Innanzitutto i risultati critici e quelli elevati. File core modificati o PHP sconosciuto nella cartella dei caricamenti sono segnali di allarme. Gli avvisi a bassa priorità possono attendere.
• 5. Attiva il firewall. Abilita il firewall dell'applicazione web e lascia che impari il tuo traffico per alcuni giorni prima di inasprire le regole.
• 6. Imposta avvisi. Notifiche e-mail o Slack per le modifiche ai file, accessi non riusciti, e nuovi account amministratore. Vuoi sapere dei guai il giorno in cui accadono, non il prossimo trimestre.
• 7. Pianifica scansioni ricorrenti. Giornaliero per un negozio, settimanale per un sito di brochure. Automatizzalo in modo da non fare affidamento sulla memoria.
• 8. Esegui nuovamente le scansioni esterne gratuite. Verifica che il plug-in non abbia introdotto contenuti misti o regressioni di intestazioni.

Quale plugin? Wordfence funziona sul tuo server e offre la visibilità più approfondita a livello di WordPress, con un firewall endpoint e uno scanner di malware supportato da over 5 milioni di installazioni. MalCare sposta la scansione sul proprio cloud, quindi le scansioni approfondite non gravano sul tuo server, e la sua rimozione con un clic è la pulizia più rapida se sei già infetto. Sucuri abbina un plugin gratuito a un firewall cloud che filtra il traffico prima che ti raggiunga. Si adatta ad un negozio dietro Un CDN, o un sito che è stato colpito in precedenza. Sicurezza solida (sì, il vecchio iThemes Sicurezza) si concentra sul rafforzamento del login e guida i principianti attraverso ogni correzione in un linguaggio semplice.

How often should you test WordPress security?

Eseguire un audit completo almeno ogni sei mesi. Questo è il pavimento, non l'obiettivo. Effettuare nuovamente il test dopo uno di questi: una versione principale importante, aggiungere o rimuovere un plugin, una migrazione dell'host, or any sign of trouble like spam redirects or a sudden traffic drop. Speed is the reason. When GutenKit and Hunk Companion were found vulnerable in October 2025, attackers fired about 9 million exploit attempts in two weeks. The sites that scanned the day patches dropped were fine; the ones that waited a month became targets.

The cadence scales with your stakes. A personal blog can run quarterly. A WooCommerce shop taking real payments should scan daily and review logs weekly, because a breach there leaks customer data, not just yours. Se gestisci un negozio, the security bar is higher across the board, which is its own argument for hosting built for stores rather than a basic shared plan.

What to do when a test finds something

Found a problem? Don’t panic, and don’t start deleting files at random. Triage in this order.

Primo, capire se sei vulnerabile o già violato. Un plug-in obsoleto contrassegnato è un rischio a cui è possibile applicare una patch. File PHP sconosciuti, utenti amministratori sconosciuti, o i contenuti che non hai scritto significano che probabilmente sei già compromesso, e questo è un lavoro diverso. Per un'infezione viva, portare il sito in modalità manutenzione, ripristinare un backup pulito precedente alla violazione, quindi rattoppare il buco che li ha fatti entrare. Altrimenti verrai semplicemente reinfettato.

Per semplici vulnerabilità, la soluzione è solitamente noiosa: aggiornare o rimuovere il plugin, stringere il permesso, aggiungi l'intestazione mancante, abilitare 2FA. Esegui nuovamente la scansione che l'ha rilevato per confermare che il risultato è scomparso. Il punto debole è la forza bruta costante o il traffico spazzatura che martella il tuo accesso? Questo è un lavoro per il limite. L'hosting con protezione DDoS integrata ferma il flusso prima che raggiunga PHP.

How to choose your testing toolkit

Non hai bisogno di tutti gli strumenti. Hai bisogno dei due o tre giusti per la tua situazione. Alcuni casi comuni:

• Blog hobbistico, budget ristretto: meno di 5.000 visite al mese, esegui scansioni esterne gratuite ogni trimestre oltre al livello gratuito di Solid Security per 2FA e limiti di accesso. Salta il firewall a pagamento; con questo traffico, la protezione a livello di host è sufficiente.
• Sito aziendale, moduli di piombo, nessun pagamento: Wordfence (gratuito o premium) per la scansione continua e un firewall endpoint, con scansioni automatizzate settimanali. La visibilità sul server batte uno scanner solo remoto quando hai plugin personalizzati.
• Negozio WooCommerce, pagamenti reali, picchi di traffico: un firewall cloud come Sucuri all'edge più MalCare per la scansione off-server, le scansioni giornaliere così approfondite non rallentano mai il checkout. Abbinalo a un host che filtra DDoS a monte. Questo è l’unico caso in cui il pagamento per una protezione a più livelli guadagna il suo mantenimento.
• Gestisci tu 10+ siti dei clienti: uno scanner cloud che puoi eseguire su tutti da un'unica dashboard (MalCare o Succhi) batte l'accesso a ciascun sito. I plug-in per sito non si adattano a un'agenzia.

Una regola attraversa tutto: scegli un singolo firewall e un singolo scanner, quindi agisci effettivamente in base a ciò che segnalano. Due plugin sovrapposti combattono tra loro, e una scansione che non hai mai letto è peggio di nessuna scansione, perché ti dà falsa fiducia. Non sono sicuro che il tuo attuale host ti offra una solida base su cui costruire? Il strumento di ricerca dell'hosting filtra i fornitori in base alle funzionalità di sicurezza che contano qui.

Domande frequenti

Can I test my WordPress site’s security for free?

sì, e dovresti iniziare da lì. Sucuri SiteCheck e WPScan scansionano entrambi dall'esterno senza alcun costo, e Qualys SSL Labs plus securityheaders.com valutano la crittografia e le intestazioni gratuitamente. Per la scansione interna in corso, Wordfence e Solid Security forniscono entrambi versioni gratuite che coprono le nozioni di base. I livelli a pagamento aggiungono principalmente profondità al firewall e pulizia del malware più rapida, non la scansione principale stessa.

Is Wordfence or MalCare better for scanning?

Dipende da dove vuoi che avvenga il lavoro. Wordfence esegue il suo scanner sul tuo server, che fornisce dettagli più profondi a livello di file ma utilizza le risorse durante una scansione. MalCare esegue le scansioni nel proprio cloud, quindi non rallenterà il tuo sito, e la rimozione del malware con un solo clic è più rapida se sei già stato violato. Per la maggior parte dei siti self-hosted Wordfence è l'impostazione predefinita; per i negozi dove la velocità è sacra, Vince MalCare.

Come faccio a sapere se il mio sito WordPress è già stato violato?

Attenzione ai racconti: pagine che reindirizzano allo spam, account amministratori sconosciuti, contenuti che non hai pubblicato, un improvviso avviso di lista nera di Google, o il tuo host sospende l'account. Esegui Sucuri SiteCheck per una rapida lettura esterna, quindi una scansione completa di Wordfence o MalCare per confrontare i file principali con gli originali. Se una scansione rileva file core modificati o PHP sconosciuti nella cartella dei caricamenti, trattalo come una violazione confermata e ripristina un backup pulito.

Un plugin di sicurezza rallenterà il mio sito WordPress?

Un po, principalmente durante le scansioni e solo se lo scanner viene eseguito sul server. Wordfence può aggiungere carico durante l'esecuzione di una scansione approfondita, ecco perché i siti ad alto traffico spesso scelgono MalCare o Sucuri per trasferire tale lavoro nel cloud. Un firewall ben configurato ha un impatto quotidiano minimo. Se la velocità è la tua preoccupazione, scegli uno scanner basato su cloud e pianifica le scansioni per le ore non di punta.

Ho ancora bisogno di un plugin di sicurezza se il mio host ha un firewall?

Di solito sì. Un firewall host blocca gli attacchi a livello di rete, ma non riesce a vedere che uno dei tuoi plugin ha un noto difetto di scripting cross-site, o che qualcuno abbia aggiunto un account amministratore ieri sera. Un plugin di scansione controlla all’interno di WordPress dove l’host non può. L'eccezione è l'hosting WordPress completamente gestito, dove il provider esegue entrambi i livelli e il monitoraggio per te.

Dove andare da qui

Il test non è un evento una tantum; è un'abitudine. Esegui le scansioni gratuite questa settimana, lavorare sulla lista di controllo manuale, quindi installa un plug-in per monitorare il sito tra un controllo e l'altro. La finestra di sfruttamento di cinque ore significa una cosa: il divario tra “toppa disponibile” e “toppa applicata” è dove i siti muoiono. La vera vittoria sono gli aggiornamenti automatici e un tripwire che ti dice quando qualcosa si muove.

Se il tuo audit continua a far emergere problemi che il tuo piano attuale non può risolvere, il problema potrebbe essere la fondazione piuttosto che il sito. Vale la pena confrontare l’hosting WordPress gestito per l’applicazione di patch senza intervento manuale, guardando Hosting di livello eCommerce se accetti pagamenti, o stratificazione Hosting protetto da DDoS sotto un sito che continua a essere martellato. Un hosting potente e un sito testato sono la combinazione che ti mantiene effettivamente online.