Il sito WordPress
è stato hackerato?
Reindirizzamenti verso siti di spam, amministratori che non conosci, un avviso di Google: ecco come capire se il sito è stato violato e che cosa fare, nell'ordine giusto. Nel 2026 ho ripulito quattro siti WordPress violati: sono i passaggi che seguo anch'io.
I segnali più comuni.
Un sito violato non sempre si vede a colpo d'occhio: chi lo attacca spesso vuole restare nascosto il più a lungo possibile. Questi sono i segnali più frequenti:
- chi arriva da Google o dal telefono finisce su siti di scommesse, farmaci o truffe, mentre tu dal computer vedi il sito normale;
- nei risultati di Google compaiono pagine che non hai mai scritto, spesso in giapponese o piene di prodotti;
- tra gli utenti di WordPress c'è un amministratore che non conosci;
- il browser o Google avvisano che il sito potrebbe essere pericoloso o compromesso;
- l'hosting sospende il sito, oppure dal server partono email di spam;
- il sito è diventato lento all'improvviso, o compaiono file con nomi strani.
Che cosa fare subito.
- Fai una copia del sito così com'è, file e database, prima di toccare qualcosa: serve a capire da dove sono entrati e a non perdere i tuoi contenuti.
- Cambia tutte le password: degli amministratori di WordPress, dell'hosting e dell'FTP, del database e della casella email collegata al sito.
- Togli gli amministratori che non conosci e controlla che gli altri utenti abbiano solo i permessi che servono.
- Aggiorna WordPress, plugin e tema, e cancella quelli che non usi: le versioni vecchie sono la porta da cui si entra più spesso.
- Cerca e togli i file estranei: porte d'accesso nascoste nelle cartelle delle immagini, file del sito modificati, regole di reindirizzamento aggiunte di nascosto. È la parte più delicata: se ne resta uno, l'attacco ricomincia.
- Cambia le chiavi di sicurezza nel file di configurazione di WordPress, così chi era collegato viene buttato fuori.
- Se Google ha segnalato il sito, dopo la pulizia chiedi una revisione da Search Console, nella sezione Problemi di sicurezza.
Se hai una copia di sicurezza pulita e recente, ripristinarla può essere la strada più rapida, ma va fatto comunque tutto il resto: altrimenti si rientra dalla stessa porta.
Perché non succeda di nuovo.
La maggior parte delle falle di WordPress sta nei plugin e nei temi non aggiornati. La prevenzione è semplice, ma va fatta con costanza:
- aggiornamenti regolari di WordPress, plugin e tema, controllando che dopo il sito funzioni;
- copie di sicurezza automatiche, tenute fuori dal server del sito;
- password diverse per ogni accesso e la verifica in due passaggi per gli amministratori;
- un server configurato bene: gli errori del sito non devono vedersi dall'esterno e i file riservati non devono potersi scaricare.
Sono le stesse cose che faccio per i siti che seguo con l'assistenza WordPress.
Le domande di chi ha
un sito violato.
Basta reinstallare WordPress?
No. Reinstallare WordPress sostituisce i file principali, ma le porte d'accesso nascoste di solito stanno nelle cartelle delle immagini, nei plugin, nel tema o nel database, e restano dove sono.
Posso farlo da solo?
I primi passi sì: copia del sito, password nuove, utenti estranei tolti, aggiornamenti. La ricerca dei file estranei è la parte difficile: se non sei sicuro di averli trovati tutti, fatti aiutare.
Perderò le posizioni su Google?
Se il sito resta violato a lungo, Google può mostrare un avviso o togliere le pagine di spam e anche le tue. Più in fretta lo ripulisci e chiedi la revisione, meno danni fa.
L'hosting ha sospeso il sito: che cosa faccio?
Chiedi all'hosting che cosa ha trovato e una copia dei file, poi ripulisci il sito prima di chiedere la riattivazione: spesso lo vogliono sapere per iscritto.
Quanto costa ripulire un sito WordPress?
Dipende da quanto è esteso l'attacco e da quanto è vecchio il sito. Dopo un primo controllo ti mando un preventivo scritto, con le voci separate.
Il tuo sito
è stato violato?
Mandami l'indirizzo: lo guardo e ti dico che cosa farei, con un preventivo scritto.