Guida alla messa in sicurezza di Joomla: proteggi il tuo sito dagli attacchi più comuni
La maggior parte delle compromissioni dei siti Joomla è evitabile. Sfruttano debolezze ben note: nomi utente amministratore lasciati come predefiniti, autenticazione a due fattori assente, estensioni non aggiornate e server configurati male. Questa guida illustra le misure di sicurezza che fanno davvero la differenza.
Per la guida completa alla sicurezza, che copre i rischi del fine vita, la sicurezza delle estensioni e il ripristino dopo un attacco, consulta il nostro Hub Sicurezza Joomla.
Le cinque cose da fare subito
1. Aggiorna tutto. Il core di Joomla. Ogni estensione. La versione di PHP. Se la tua versione di Joomla è arrivata a fine vita, esegui l'aggiornamento: nessuna messa in sicurezza può salvare un CMS non più supportato.
2. Attiva l'autenticazione a due fattori. Joomla 5 e 6 includono la 2FA integrata. Attivala per ogni account amministratore. Questa singola misura blocca la maggior parte degli attacchi brute-force e di credential stuffing.
3. Cambia il nome utente amministratore predefinito. Se il tuo account Super Amministratore si chiama ancora "admin", cambialo oggi stesso. Gli strumenti di attacco automatizzati prendono di mira proprio questo nome utente.
4. Rimuovi le estensioni inutilizzate. Ogni estensione installata è una superficie di attacco. Se non la usi attivamente, disinstallala del tutto: non basta disattivarla, va rimossa.
5. Verifica che i backup funzionino. Avere backup automatici è fondamentale. Ma quand'è l'ultima volta che hai provato a ripristinarne uno? Un backup mai testato è una speranza, non una rete di sicurezza.
Messa in sicurezza a livello di server
HTTPS ovunque. SSL/TLS su tutte le pagine, imposto tramite .htaccess o configurazione del server. Senza eccezioni.
Permessi dei file. Directory: 755. File: 644. configuration.php: 444. Queste impostazioni impediscono la modifica non autorizzata dei file.
Protezione della directory amministratore. Aggiungi una protezione con password a livello di server, restrizioni per IP o un parametro URL segreto alla tua directory /administrator. In questo modo riduci drasticamente il volume dei tentativi brute-force.
Web Application Firewall. ModSecurity, LiteSpeed WAF o un WAF in cloud come Cloudflare offrono protezione contro SQL injection, XSS e attacchi di file inclusion direttamente a livello di server.
Segnalazione errori disattivata. Imposta la segnalazione errori di Joomla su "Nessuno" o "Predefinito di sistema" sui siti di produzione. L'opzione "Massimo" mostra percorsi del server e dettagli di configurazione utili agli aggressori.
Sicurezza nel tempo
La sicurezza non è una configurazione una tantum. Richiede monitoraggio, aggiornamenti e attenzione costanti. I nostri piani di manutenzione includono monitoraggio della sicurezza, gestione degli aggiornamenti e verifica dei backup.