Introduzione
Un plugin è il punto di ingresso più comune per vulnerabilità su WordPress. Il core del CMS è sottoposto a revisioni continue e aggiornamenti di sicurezza frequenti, ma i plugin — scritti da sviluppatori terzi con competenze e risorse variabili — rappresentano la superficie d'attacco principale.
Le analisi di sicurezza pubblicate dai principali ricercatori del settore (tra cui Wordfence e Sucuri) indicano che la maggior parte delle compromissioni di siti WordPress avviene tramite plugin e temi vulnerabili, più che attraverso il core del CMS. Questo non significa che i plugin siano pericolosi per definizione: significa che installarli senza valutazione è un rischio che si può ridurre con pochi controlli prima dell'installazione.
Questo articolo spiega cosa controllare prima di installare un plugin, come valutare se è sicuro e quali accorgimenti adottare per ridurre i rischi.
La reputazione dello sviluppatore
Prima di installare un plugin, vale la pena sapere chi lo ha scritto.
Chi è lo sviluppatore
Nel repository ufficiale di WordPress, ogni plugin ha una pagina con il profilo dell'autore. Controlla:
- Da quanto tempo è presente nel repository. Un conto se sviluppa plugin da dieci anni, un altro se è apparso tre mesi fa con un plugin solo.
- Quanti plugin ha pubblicato. Non è un indicatore assoluto di qualità, ma se un autore ha decine di plugin attivi e recensioni positive, è probabile che abbia esperienza.
- Se ha un sito web o una presenza professionale riconoscibile. Un plugin sviluppato da un'azienda o da uno sviluppatore con una reputazione pubblica è più facile da verificare di uno con un nome generico e nessuna traccia esterna.
Recensioni e installazioni attive
Il numero di installazioni attive è un indicatore di popolarità, non di sicurezza. Un plugin con un milione di installazioni può avere una vulnerabilità grave, e un plugin con diecimila installazioni può essere perfettamente sicuro. Le recensioni, invece, danno un'idea dell'esperienza degli utenti: leggile in ordine cronologico per vedere se problemi recenti sono stati segnalati e risolti.
Presta attenzione alle recensioni a 1 stella recenti: spesso segnalano problemi dopo un aggiornamento, conflitti con altri plugin o vulnerabilità scoperte.
Aggiornamenti e manutenzione
Un plugin non aggiornato è un plugin a rischio.
Frequenza degli aggiornamenti
Controlla la cronologia delle versioni del plugin. Un plugin aggiornato regolarmente — anche solo per correggere bug minori — è un segnale che lo sviluppatore lo mantiene attivamente. Un plugin che non riceve aggiornamenti da uno o due anni, invece, è probabilmente abbandonato.
La documentazione ufficiale di WordPress.org raccomanda di mantenere plugin e temi sempre aggiornati all'ultima versione disponibile, sia per motivi di sicurezza che di compatibilità con le versioni più recenti di WordPress, PHP e del tema in uso.
Compatibilità dichiarata
Nella pagina del plugin, controlla la sezione "Compatibilità":
- Fino a che versione di WordPress è stato testato
- Se dichiara compatibilità con la versione di PHP che usi
- Se richiede versioni specifiche di altri componenti
Un plugin testato con l'ultima versione di WordPress è preferibile a uno che si ferma a tre versioni precedenti. Tuttavia, WordPress mantiene una retrocompatibilità piuttosto estesa, quindi un plugin non testato con l'ultima versione non è necessariamente insicuro: richiede solo una verifica manuale in più.
Ultimo aggiornamento
Il dato più semplice da controllare: la data dell'ultimo aggiornamento. Un plugin aggiornato negli ultimi sei mesi è in manutenzione attiva. Oltre i dodici mesi, inizia a essere un rischio, salvo plugin molto semplici e stabili che non richiedono aggiornamenti frequenti.
Vulnerabilità note
Prima di installare un plugin, verifica se ha vulnerabilità note e pubblicamente documentate.
Database WPScan
WPScan mantiene un database pubblico di vulnerabilità dei plugin WordPress, accessibile all'indirizzo wpscan.com. Cerca il nome del plugin o il suo slug per vedere se sono state registrate vulnerabilità, con che gravità (CVSS) e se sono state risolte in una versione successiva.
CVE (Common Vulnerabilities and Exposures)
Le vulnerabilità più gravi ricevono un identificativo CVE e sono registrate nel National Vulnerability Database (nvd.nist.gov) e nel catalogo CVE (cve.org). Una ricerca con il nome del plugin può rivelare vulnerabilità passate e la loro gravità.
WordPress.org Plugin Directory
La pagina di ciascun plugin nel repository ufficiale include il changelog, dove lo sviluppatore annota le correzioni apportate in ogni versione. Se il changelog menziona fix di sicurezza, è un buon segno: significa che lo sviluppatore riconosce e risolve i problemi. Se il changelog è assente o generico, è più difficile sapere cosa è stato corretto.
Il changelog: cosa cercare
Il changelog è il registro delle modifiche di ogni versione del plugin. Si trova nella pagina del plugin nel repository ufficiale, nella scheda "Sviluppo" o nella sezione "Changelog" della documentazione.
Leggere il changelog delle ultime versioni aiuta a capire:
- Se lo sviluppatore corregge vulnerabilità di sicurezza — un changelog che menziona "Security fix" o "Hardening" è preferibile a uno che parla solo di nuove funzionalità
- Se risolve bug segnalati dagli utenti — indica che il supporto funziona
- Se le modifiche sono significative o minori — un changelog con poche righe e correzioni minori è normale per plugin stabili; un changelog vuoto per anni è un campanello d'allarme
Un changelog dettagliato e regolare è un indicatore di manutenzione attenta.
Permessi richiesti
Alcuni plugin chiedono permessi che non corrispondono a ciò che fanno realmente.
Cosa fa il plugin e cosa chiede
Un plugin per la gestione dei cookie non dovrebbe avere bisogno di creare tabelle nel database per memorizzare dati utente. Un plugin per la galleria immagini non dovrebbe registrare endpoint API personalizzati a meno che non sia necessario per il suo funzionamento.
Prima di installare, controlla:
- Quali tabelle del database crea (se ne crea)
- Quali endpoint API registra (se ne registra)
- Se carica script e CSS su tutte le pagine o solo dove serve
- Se effettua chiamate a server esterni (font, analytics, aggiornamenti automatici non configurabili)
Un plugin che fa chiamate a server esterni senza una ragione chiara — o peggio, senza dichiararlo — è un potenziale rischio per la privacy e la sicurezza. Le linee guida di sviluppo sicuro dei plugin di WordPress.org raccomandano di documentare chiaramente le chiamate a servizi esterni, così da evitare che il comportamento del plugin sia incomprensibile o insospettabile per chi lo installa.
Permessi e ruoli utente
Se il plugin aggiunge funzionalità accessibili da pannello di amministrazione, verifica che i permessi siano assegnati correttamente ai ruoli utente. Un plugin che concede capacità eccessive a ruoli con pochi privilegi (come "Autore" o "Contributore") può essere un vettore di attacco.
Plugin abbandonati: come riconoscerli e perché evitarli
Un plugin abbandonato è un plugin che lo sviluppatore non aggiorna più. Può funzionare perfettamente oggi, ma col tempo diventa un rischio crescente:
- Vulnerabilità non corrette: se viene scoperta una vulnerabilità, nessuno la risolverà
- Incompatibilità con nuove versioni di WordPress: a ogni aggiornamento del core, il rischio che il plugin smetta di funzionare aumenta
- Incompatibilità con nuove versioni di PHP: le versioni precedenti di PHP vengono progressivamente dismesse, e il plugin potrebbe non essere compatibile con le più recenti
Come riconoscere un plugin abbandonato
- Ultimo aggiornamento: più di 12-18 mesi fa
- Nessuna attività nel forum di supporto: le discussioni degli utenti rimangono senza risposta
- Test di compatibilità: il plugin è stato testato solo con versioni di WordPress molto precedenti (due o più major version indietro)
- Il repository lo segnala: WordPress.org a volte mostra un avviso "Questo plugin non è stato aggiornato negli ultimi 2 anni" nella pagina del plugin
Se un plugin che stai usando viene abbandonato, hai tre opzioni: cercare un'alternativa mantenuta, assumerti il rischio di tenerlo, o valutare se la funzionalità può essere sostituita con codice personalizzato.
Compatibilità: plugin, tema e server
Un plugin sicuro ma incompatibile con il tuo ambiente può causare problemi di funzionamento o di sicurezza.
Con il tema
Alcuni plugin interagiscono con il tema: aggiungono stili, modificano il layout, integrano funzionalità. Se il tema non è compatibile, il risultato può essere un sito che si rompe visivamente o perde funzionalità. Questo non è un problema di sicurezza diretto, ma un sito che non funziona correttamente è più difficile da mantenere sicuro.
Con altri plugin
I conflitti tra plugin sono frequenti. Due plugin che fanno cose simili (due plugin di caching, due plugin di sicurezza) possono interferire tra loro. In generale, è meglio avere pochi plugin ben scelti che molti plugin con funzionalità sovrapposte.
Con la versione PHP
WordPress.org raccomanda di utilizzare PHP 8.3 o superiore. Prima di installare un plugin, verifica che sia compatibile con la versione PHP del tuo server. Un plugin che richiede funzionalità di PHP 8.0 e si trova su un server con PHP 7.4 genererà errori e potrebbe non funzionare affatto. La documentazione di WordPress sulla compatibilità con le versioni di PHP è disponibile su make.wordpress.org/hosting.
Test in staging prima di installare
Il test in staging è il passo più importante e più spesso saltato.
Cos'è un ambiente di staging
Un ambiente di staging è una copia del sito, identica all'originale, ma non accessibile al pubblico. Si usa per testare modifiche senza rischiare di rompere il sito in produzione.
Cosa testare
Prima di installare un plugin:
- Crea un backup completo del sito (file e database)
- Installa il plugin nello staging
- Verifica che non generi errori — controlla i log di PHP, gli errori JavaScript nella console del browser, e la presenza di warning
- Testa le funzionalità principali del sito — navigazione, moduli, carrello (se e-commerce), login
- Verifica le performance — confronta i tempi di caricamento prima e dopo l'installazione
- Controlla la compatibilità con il tema — verifica che il layout non si rompa
- Controlla la compatibilità con gli altri plugin — verifica che plugin esistenti continuino a funzionare
Se il test in staging dà esito positivo, si può procedere con l'installazione in produzione, preferibilmente in una finestra a basso traffico.
Perché è importante
Anche plugin molto diffusi e ben mantenuti possono causare conflitti specifici con la configurazione del tuo sito. Un test in staging è l'unico modo per scoprirlo prima di impattare gli utenti.
Domande frequenti
Quanti plugin sono troppi per un sito WordPress?
Non esiste un numero massimo, ma ogni plugin installato aumenta la superficie d'attacco e il carico sul server. Meglio pochi plugin ben scelti e mantenuti che molti plugin con funzionalità sovrapposte.
I plugin del repository ufficiale WordPress sono sicuri?
Il repository ufficiale ha linee guida per gli sviluppatori, ma non garantisce che un plugin sia esente da vulnerabilità. La sicurezza dipende da come il plugin è scritto, da come viene mantenuto e da come viene configurato. Le linee guida per lo sviluppo sicuro dei plugin sono disponibili su developer.wordpress.org.
Come faccio a sapere se un plugin ha vulnerabilità note?
Puoi consultare database come WPScan (wpscan.com) e il National Vulnerability Database (nvd.nist.gov), oltre al changelog del plugin e al forum di supporto del repository.
Posso installare un plugin non aggiornato da due anni?
Tecnicamente sì, ma è sconsigliato. Un plugin non aggiornato può contenere vulnerabilità note e non corrette, e potrebbe non essere compatibile con le versioni recenti di WordPress e PHP.
Devo testare in staging anche plugin molto diffusi?
Sì. Anche plugin molto diffusi possono causare conflitti specifici con la configurazione del tuo sito. Il test in staging è l'unico modo per scoprirlo prima di impattare gli utenti.
Cosa fare se un plugin che uso viene abbandonato?
Cerca un'alternativa mantenuta. Se la funzionalità è essenziale e non trovi alternative, valuta se puoi sostituirla con codice personalizzato. Se decidi di tenere il plugin, monitoralo regolarmente e prepara un piano di migrazione.
Come possiamo aiutarti
Se gestisci un sito WordPress e vuoi una verifica dei plugin installati, della loro sicurezza e della loro compatibilità, possiamo aiutarti. Il nostro servizio di supporto WordPress in Ticino include la revisione dei plugin, la valutazione dei rischi e la configurazione di un ambiente di staging per testare le modifiche prima di applicarle in produzione.
Fonti
- WordPress.org — Sicurezza dei plugin: https://wordpress.org/documentation/article/plugin-security/
- WordPress Plugin Developer Handbook — Linee guida per sviluppatori: https://developer.wordpress.org/plugins/plugin-basics/best-practices/
- WordPress.org — Requisiti di hosting e PHP: https://make.wordpress.org/hosting/handbook/server-environment/
- WordPress.org — Aggiornamenti di sicurezza: https://wordpress.org/documentation/article/wordpress-security/
- WPScan — Database vulnerabilità plugin WordPress: https://wpscan.com/
- National Vulnerability Database (NVD): https://nvd.nist.gov/
- CVE — Catalogo vulnerabilità: https://www.cve.org/
- WordPress.org — Plugin Directory: https://wordpress.org/plugins/
- WordPress.org — Staging: https://wordpress.org/documentation/article/staging-environment/
- OWASP — Vulnerabilità comuni plugin WordPress: https://owasp.org/www-project-cms-security/
- Wordfence — Rapporto annuale vulnerabilità WordPress: https://www.wordfence.com/blog/
- Documentazione WordPress — Compatibilità retroattiva: https://developer.wordpress.org/advanced-administration/wordpress-advanced/backward-compatibility/
