Dieci domande, dalla più facile alla più insidiosa. Pensa alla risposta, poi aprila.
1. Un cliente chiede di installare un plugin. Il sito è bloccato: cosa fai?
Niente sblocco a mano: Plugin → Aggiungi un plugin da wordpress.org → Installa. Il lavoro sblocca, installa, verifica i checksum e riblocca da solo. Se il plugin è a pagamento: Manutenzione → Plugin o tema a pagamento.
2. Perché il pulsante «Installa» non c’è accanto a un plugin molto usato?
Perché l’ultima versione ha vulnerabilità note senza correzione (è segnato «vulnerabile», con il link alla scheda di Wordfence), oppure chiede una versione di PHP o di WordPress che il sito non ha. Nel primo caso non si installa nemmeno da shell: si sceglie un’alternativa.
3. Di notte arriva l’allarme «NUOVI amministratori WordPress». È grave?
Può esserlo: è il primo segno di molti attacchi. Controlla nella scheda (sezione Accessi) chi è l’utente. Se l’ha creato qualcuno di voi, Accetta come nuovo riferimento nel controllo di integrità; se no, trattalo come un’intrusione: niente sblocchi, e ripristino da una copia buona.
4. Hai sbloccato un sito ieri per uno sviluppatore e te ne sei dimenticato. Chi te lo ricorda?
La pagina Siti, con un avviso in cima dopo 24 ore. E il controllo di integrità, che finché il sito è sbloccato lo segnala tra le note.
5. Cosa approvi quando premi «Blocca il codice»?
L’impronta: lo stato di tutti i file del codice in quel momento. Da lì in poi ogni file diverso da quell’impronta è un allarme. Per questo, se il controllo segnala file cambiati, la scheda ti dice quanti ne stai approvando: guardali prima.
6. Il sito va online. Cosa cambia per l’amministrazione di WordPress?
Conviene chiuderla (Manutenzione → Amministrazione di WordPress): da fuori la pagina di accesso e wp-admin rispondono «Amministrazione chiusa», anche a chi ha una password rubata. Quando serve lavorarci la apri per qualche ora, e si richiude da sola.
7. Un aggiornamento dice «Plugin non aggiornati». Cosa guardi?
Il log del lavoro, subito sopra il riepilogo: c’è il motivo per ogni plugin. Se è un plugin a pagamento, non si aggiorna da wordpress.org: serve lo zip del fornitore.
8. Vuoi ripristinare un sito da una copia di ieri. Cosa succede ai dati di oggi?
Prima del ripristino la dashboard fa una copia di sicurezza dello stato attuale della destinazione: se ti sei sbagliato, torni indietro da quella. Puoi anche ripristinare solo il database o solo i file, o su un altro dominio per confrontare.
9. Un lettore può lanciare un controllo di integrità?
Sì: è una verifica, non cambia niente. Può anche controllare la Storage Box. Non può sbloccare, aggiornare, installare o dare accessi.
10. Perché nella dashboard non c’è un editor per correggere un file PHP infetto?
Perché chi rubasse l’accesso alla dashboard potrebbe usarlo per mettere codice in tutti i siti. E perché un file infetto non si «pulisce»: si rimette la copia buona (dalla versione ufficiale o da un backup) e si capisce da dove è entrato.
Tutte giuste? Allora sei pronto per la parte difficile.