Wordfence basta davvero per proteggere WordPress?

Wordfence è un utile livello di protezione per WordPress, ma la sua presenza non dimostra che il sito sia sicuro o che una bonifica sia completa. La risposta dipende da ciò che hai configurato, da ciò che la scansione ha effettivamente controllato e dai controlli esterni al plugin: accessi hosting, aggiornamenti e ripristino dei backup.

Questa guida ti aiuta a verificare questi punti. Se il sito sta reindirizzando i visitatori, crea utenti sconosciuti o è stato sospeso dall'hosting, parti dalla procedura di bonifica: installare un firewall durante un incidente non chiude da solo l'accesso già ottenuto dall'attaccante.

Wordfence Free o Premium: cosa cambia nella protezione

Entrambe le versioni includono firewall e scanner. Secondo la pagina ufficiale Wordfence Free, le nuove regole firewall e firme malware arrivano alla versione gratuita con 30 giorni di ritardo rispetto a Premium. Il ritardo riguarda questi aggiornamenti, non tutte le funzioni del plugin.

Premium riduce questa attesa, ma non aggiorna al posto tuo un plugin vulnerabile e non certifica l'assenza di backdoor. Per decidere, considera quanto danno produrrebbe un'interruzione e chi gestirà gli avvisi. Un piano a pagamento con segnalazioni ignorate lascia comunque problemi aperti.

Checklist: sei verifiche sul tuo sito

1. Il firewall sta proteggendo le richieste?

Apri Wordfence > Firewall e controlla lo stato. Annota se è disattivato, in apprendimento o in protezione. Distingui il livello Basic da Extended Protection: nel secondo caso Wordfence viene caricato prima di WordPress per intercettare più richieste. La documentazione sull'ottimizzazione spiega prerequisiti e procedura.

Prima di ottimizzarlo, conserva una copia dei file di configurazione coinvolti e verifica la compatibilità con l'hosting. Dopo la modifica prova login, modulo contatti e, se presente, checkout. Se una funzione smette di funzionare, esamina l'evento bloccato invece di disattivare tutta la protezione.

2. L'ultima scansione è finita e cosa ha escluso?

Controlla data, completamento, errori e percorsi esclusi. Una scansione interrotta non equivale a una scansione senza rilievi. Verifica le opzioni di scansione rispetto alle directory che vuoi coprire; includere altri percorsi può aumentare il consumo di risorse.

Prendi nota di plugin premium, codice personalizzato e installazioni nello stesso account. Dove manca un confronto con una copia ufficiale, procurati il pacchetto originale dal produttore. Un controllo del solo WordPress principale non è una verifica dell'intero account hosting.

3. Gli amministratori usano davvero la 2FA?

Apri Wordfence > Login Security e controlla quali account hanno completato l'attivazione. Abilitare la funzione non significa averla configurata per tutti. Segui le opzioni ufficiali di Login Security, conserva i codici di recupero in un password manager e prova il recupero con un account autorizzato.

Controlla anche gli amministratori sconosciuti. La 2FA di WordPress non protegge automaticamente accessi SFTP, pannello hosting o account email usati per reimpostare le password.

4. Chi legge gli avvisi e applica gli aggiornamenti?

Invia una notifica di prova dove il plugin lo permette, controlla la casella destinataria e stabilisci chi interviene. Per ogni vulnerabilità segnalata annota componente, versione installata, versione corretta e risultato dell'aggiornamento. Conserva l'esito dei controlli funzionali dopo la patch.

Se manca una correzione, valuta una sostituzione o una mitigazione verificata. Il firewall è un ulteriore controllo, non una ragione per lasciare indefinitamente un componente vulnerabile.

5. Il backup è stato ripristinato su un ambiente separato?

La presenza di un archivio non prova che sia utilizzabile. Ripristina file e database su un ambiente isolato, senza inviare email o pagamenti reali. Verifica pagine, accesso amministrativo e dati necessari. Registra la data della prova, il punto di ripristino e cosa manca.

Una copia nello stesso account può essere modificata insieme al sito. Conserva anche una copia esterna con accessi separati. La documentazione WordPress sull'hardening tratta backup, accessi e aggiornamenti come parti della protezione.

6. Il comportamento pubblico è coerente con la scansione?

Prova il sito da desktop e mobile, senza sessione amministrativa. Controlla eventuali redirect e pagine inattese. Se usi il check-up esterno, confronta quanto osserva con la scansione interna: i due controlli hanno coperture diverse. Un esito esterno senza anomalie non esclude file nascosti o codice eseguito solo in certe condizioni.

Se l'hosting ti ha inviato una firma malware, cerca il suo significato nel catalogo dei segnali e conserva il percorso del file. Il nome di una firma orienta l'indagine; per decidere cosa rimuovere serve esaminare il reperto.