Vai al contenuto
SEO SRL

Sicurezza e manutenzione dei siti web

I passi in ordine, i segnali, le cause e la manutenzione che previene il problema. Scrivici per un'analisi gratuita.

Se il tuo sito hackerato mostra pagine che non hai scritto, ti manda i visitatori altrove o è segnalato come pericoloso, non cancellare nulla: prima si salvano le prove, poi si isola il sito, si cambiano le credenziali e si cerca il punto d'ingresso. Qui trovi i passi in ordine e come lavoriamo per evitare che succeda di nuovo.

In questa pagina trovi cosa fare subito, i segnali di un sito compromesso, le cause più comuni, il nostro modello di sicurezza, cosa include la manutenzione e come si chiede un preventivo.

Sito hackerato: cosa fare subito

Parti da questa lista, in quest'ordine. Se i dati di clienti o utenti possono essere coinvolti, non perdere tempo sui primi passi.

  1. Non cancellare nulla. File sospetti, utenti sconosciuti e pagine strane sono le prove per capire come sono entrati. Se elimini tutto, rischi di non trovare mai l'origine e di ricadere nello stesso problema.
  2. Fai una copia del sito e dei log. Salva file, database e log del server (accessi ed errori) in un posto separato. Servono per l'analisi, anche se poi ripristini da un backup.
  3. Isola il sito. Metti il sito in manutenzione o bloccalo dal server, in modo che non continui a infettare i visitatori e che chi è entrato non lavori ancora.
  4. Cambia tutte le credenziali e le chiavi, da un dispositivo pulito. Pannello di hosting, FTP/SFTP, SSH, database, amministratori del CMS, email, chiavi API e le chiavi di sicurezza di WordPress. Se il tuo computer è infetto, le nuove password finiscono a chi ti sta attaccando.
  5. Trova il punto d'ingresso. Plugin o tema vulnerabile, password debole o riusata, permessi sbagliati, file di configurazione esposto. Senza questo passaggio la pulizia è provvisoria.
  6. Pulisci oppure ripristina da un backup sicuro. Un backup è sicuro solo se precedente alla compromissione. Dopo il ripristino controlla che non restino utenti, file o attività pianificate lasciate dall'attaccante.
  7. Aggiorna tutto. CMS, plugin, temi, librerie e sistema. Togli ciò che non usi: ogni componente in più è una porta in più.
  8. Controlla Search Console e chiedi la revisione. Se Google ha rilevato il problema, trovi l'avviso nel rapporto sui problemi di sicurezza. Dopo la pulizia puoi chiedere il riesame dal rapporto stesso.
  9. Valuta la notifica al Garante. Se la violazione ha coinvolto dati personali, il GDPR (art. 33) prevede la notifica all'autorità entro 72 ore da quando ne sei venuto a conoscenza, salvo che sia improbabile un rischio per le persone. Valutalo subito con chi tratta i dati per te.
  10. Valuta la segnalazione a CSIRT Italia. L'Agenzia per la cybersicurezza nazionale mette a disposizione un canale per segnalare gli incidenti informatici.

Se non sai da dove cominciare, scrivici subito: possiamo guardare i log con te e dirti cosa è successo.

Segnali che il sito è compromesso

  • Pagine o link che non hai creato, spesso su prodotti o argomenti lontani dal tuo settore.
  • Visitatori reindirizzati verso siti sconosciuti, in particolare da Google o da smartphone.
  • Avvisi del browser, dell'hosting o di Search Console sul sito pericoloso o sul malware.
  • Utenti amministratori che non riconosci, o accessi da luoghi insoliti.
  • File modificati senza che nessuno abbia lavorato, cartelle con nomi casuali, sito improvvisamente lento.
  • Email del sito finite nello spam, o l'hosting che sospende l'account per invio massivo.
  • Calo improvviso del traffico da Google: se è il tuo caso, vedi anche le penalizzazioni Google, perché i problemi di sicurezza sono tra le cause che Google elenca.

Un solo segnale non basta per dire che il sito è stato violato, ma è un buon motivo per controllare.

Dopo la pulizia: tornare visibili su Google

Pulire il sito non basta a far sparire gli avvisi. Quando Google ha segnalato il problema, l'avviso resta finché non chiedi la revisione e non viene accolta. Prima di inviarla, controlla di aver rimosso tutte le pagine e i link spam, anche quelli che compaiono solo a Googlebot o solo da smartphone, perché una revisione respinta fa perdere tempo.

Poi guarda il traffico. Le pagine create dall'attaccante possono essere state indicizzate: vanno tolte e restituire un errore 404 o 410, non un redirect. Se il calo di visite persiste, serve un'analisi dei dati per capire se dipende dall'attacco o da altro. Non possiamo indicare in quanto tempo il sito tornerà dov'era: dipende da Google e da quanto è durata la compromissione.

Da dove entrano: le cause tipiche

Quasi mai l'attacco è sofisticato. Di solito sfrutta una distrazione. Le cause che vediamo più spesso si ritrovano nell'elenco OWASP Top 10:2025.

  • Plugin e temi non aggiornati o abbandonati (OWASP A03, Software Supply Chain Failures): una vulnerabilità nota in un componente di terzi resta aperta finché non aggiorni. Ogni plugin è codice che non hai scritto tu.
  • Controlli di accesso sbagliati (A01, Broken Access Control): utenti che vedono o modificano ciò che non dovrebbero, permessi dei file troppo larghi, pannelli di amministrazione raggiungibili da chiunque.
  • Configurazioni errate (A02, Security Misconfiguration): file di configurazione leggibili dal web, directory elencabili, credenziali di default, backup lasciati nella cartella pubblica.
  • Credenziali deboli o riusate: password uguali su più servizi, senza verifica in due passaggi.
  • Segreti esposti: chiavi API e password dentro il codice o in un repository, poi finite dove non dovevano.

Aggiornare è il punto più sottovalutato. Un sito WordPress di media complessità ha decine di componenti, ognuno con il proprio ritmo di aggiornamento: se nessuno li controlla, le vulnerabilità note restano aperte per mesi. Anche un plugin disattivato ma ancora presente nel server può essere sfruttato, quindi va rimosso del tutto. Lo stesso vale per i temi che non usi, le installazioni di prova dimenticate in una sottocartella e i vecchi backup lasciati nella cartella pubblica.

Non esiste un elenco che copra ogni caso: l'OWASP Top 10 è un documento di consapevolezza, non una garanzia.

Il nostro modello di sicurezza

Costruiamo e gestiamo i server partendo dal minimo privilegio: ogni parte del sistema può fare solo quello che le serve. In pratica:

  1. Un utente isolato per ogni applicazione. Se un sito viene compromesso, l'attaccante non arriva agli altri.
  2. Document root solo sulla cartella public. Il web server serve solo i file pensati per essere pubblici; codice, configurazioni e dipendenze restano fuori.
  3. Permessi minimi. Il processo web non può scrivere dove non serve, e i file eseguibili non stanno nelle cartelle di caricamento.
  4. File .env fuori dal web e mai in git. Password e chiavi vivono nell'ambiente del server, non nel codice né nel repository.
  5. Accesso solo con chiavi SSH, root disabilitato. Niente password da indovinare, niente accesso diretto come amministratore.
  6. Firewall e fail2ban. Si aprono solo le porte necessarie e i tentativi ripetuti di accesso vengono bloccati.
  7. Aggiornamenti automatici di sicurezza del sistema operativo, con controllo di cosa viene aggiornato.
  8. HTTPS su tutto il sito, con certificati rinnovati in automatico.
  9. Backup off-site con test di ripristino. La copia sta su un altro sistema, e periodicamente proviamo a ripristinarla: un backup mai provato non è una garanzia.
  10. Monitoraggio. Controlliamo che il sito risponda e guardiamo i log per accorgerci prima di un'anomalia.

Questo riduce molto il rischio e il danno possibile, ma non promettiamo una sicurezza totale: nessuno può farlo. Promettiamo che le regole sono scritte, applicate e verificabili. Lo stesso approccio vale per i progetti di software su misura e le web app.

Cosa include la manutenzione

  • Aggiornamenti di CMS, plugin, temi e librerie, dopo le prove su una copia, in modo che un aggiornamento non rompa il sito.
  • Backup programmati, conservati fuori dal server, con ripristino provato.
  • Controllo della disponibilità (uptime) e avvisi se il sito smette di rispondere.
  • Controllo di sicurezza e dei log, con interventi sulle anomalie.
  • Report periodico con ciò che è stato fatto e ciò che resta da fare.

La manutenzione dei siti WordPress è il caso più frequente, ma la gestiamo anche per siti React e PHP. Chi vuole far crescere il sito nel tempo può unirla a un lavoro SEO mensile, con un solo interlocutore. La manutenzione è senza vincoli: nessun contratto pluriennale, ogni mese decidi tu se continuare.

Cosa non facciamo

  • Non promettiamo sicurezza totale né che un sito non sarà mai attaccato.
  • Non promettiamo tempi di ritorno su Google. Dopo la pulizia chiediamo la revisione, ma la decisione è di Google.
  • Non ti teniamo in ostaggio. Accessi, codice, dominio e dati restano tuoi, con la documentazione.

Quanto costa

La manutenzione, con aggiornamenti e controlli di sicurezza, parte da 300 € al mese, IVA esclusa. La pulizia e la messa in sicurezza dopo un attacco sono su preventivo, dopo un'analisi gratuita del caso. Il costo dipende dalla dimensione del sito, dal CMS e da quanto è pesante la compromissione, dalla necessità di cercare il punto d'ingresso e dal numero di interventi periodici richiesti. Per i costi generali di un sito vedi anche quanto costa un sito web.

Come lavoriamo dopo un attacco

  1. Analisi gratuita del caso. Ci racconti i sintomi, guardiamo cosa vedi e cosa dicono i log, e ti diciamo se serve una pulizia o un ripristino.
  2. Contenimento e copia delle prove. Isoliamo il sito e salviamo file, database e log prima di toccare qualcosa.
  3. Ricerca del punto d'ingresso. Senza questo, la pulizia non è definitiva. Cosa consegniamo: una relazione scritta su cosa è successo e come lo abbiamo chiuso.
  4. Pulizia o ripristino, poi indurimento. Applichiamo il modello descritto sopra, con credenziali nuove.
  5. Verifica e revisione. Controlliamo il sito come lo vede Google e, se serve, prepariamo la richiesta di revisione. Cosa consegniamo: le credenziali nuove, la documentazione e un piano di manutenzione, se lo vuoi.

Chi segue il progetto

Il tuo referente è Eugenio Tommasi, che fa SEO dal 2009 e sviluppa siti e software. Lo stesso interlocutore segue sicurezza, sito e posizionamento. Il quadro completo è nella pagina sviluppo web; se stai pensando di cambiare piattaforma dopo un attacco, leggi anche la migrazione del sito senza perdere SEO e la realizzazione di siti web.

Il primo passo

Sito appena violato? Scrivici con i sintomi e, se li hai, l'avviso ricevuto. Vuoi invece capire se il sito è sano dal punto di vista di Google? Chiedi l'audit SEO gratuito.

Fonti

Domande frequenti

Come capisco se il mio sito è stato hackerato?

Ci sono pagine o link che non hai creato, reindirizzamenti verso siti sconosciuti, avvisi del browser o di Search Console, utenti amministratori sconosciuti o file modificati. Un segnale solo non basta: va verificato con i log e con un controllo dei file.

Google segnala il mio sito come pericoloso: cosa faccio?

Apri il rapporto sui problemi di sicurezza in Search Console, dove trovi il tipo di problema e gli esempi. Pulisci il sito, chiudi il punto d'ingresso e poi chiedi la revisione dallo stesso rapporto. Google decide quando togliere l'avviso.

Il sito va messo offline?

Conviene isolarlo, con la pagina di manutenzione o un blocco dal server, finché non è pulito: così non infetta i visitatori e l'attaccante perde l'accesso. Prima però fai una copia di file, database e log per l'analisi.

Basta ripristinare un backup?

Solo se il backup è precedente alla compromissione e se prima hai trovato e chiuso il punto d'ingresso. Altrimenti l'attaccante rientra dalla stessa porta. Dopo il ripristino si cambiano le credenziali e si aggiorna tutto.

Devo avvisare il Garante privacy?

Se la violazione riguarda dati personali, il GDPR prevede la notifica al Garante entro 72 ore da quando ne vieni a conoscenza, salvo che sia improbabile un rischio per le persone. Il caso va valutato subito, con chi tratta i dati per te.

Quanto costa ripulire un sito hackerato?

Il costo è su preventivo, dopo un'analisi gratuita del caso. Dipende dalla dimensione del sito, dal CMS, da quanto è estesa la compromissione e da quanto lavoro richiede trovare il punto d'ingresso.

Cosa comprende la manutenzione di un sito WordPress?

Aggiornamenti di core, plugin e temi testati su una copia, backup fuori dal server con ripristino provato, controllo della disponibilità, controllo dei log e un report periodico. Si parte da 300 € al mese, IVA esclusa; il piano si definisce sul sito.

Ci sono vincoli contrattuali?

No. Per la manutenzione non c'è un contratto pluriennale né una penale: ogni mese decidi tu se continuare. I dettagli dell'accordo li definiamo a voce.

Altri servizi