![[NUOVO] Duplicator DB Optimizer: Pulisci il tuo database WordPress prima che diventi un problema](https://duplicator.com/wp-content/uploads/2026/06/Announcement-DB-Optimizer.jpg)
4 plugin per la rimozione di malware da WordPress che puliscono i file infetti (non si limitano a segnalarli)
Joella Dunn
Joella Dunn
John Turner
John Turner
Il tuo sito non ha superato un controllo di Google Safe Browsing. Oppure un cliente ha inviato uno screenshot dell'avviso "Questo sito potrebbe essere stato compromesso" chiedendo cosa fosse successo.
A quel punto, hai due strade. Ripulirlo da solo o pagare qualcuno che lo fa di mestiere.
La rimozione di malware da WordPress copre un ambito più ampio di quanto la maggior parte delle persone si aspetti. Alcuni plugin rilevano un'infezione e si fermano lì, lasciando la pulizia a te.
Altri la rimuovono automaticamente. Alcuni esternalizzano la pulizia a un team di sicurezza umano.
Niente di tutto ciò ha importanza se la pulizia stessa mette fuori uso il tuo sito.
Questo post copre i migliori plugin per la rimozione di malware da WordPress (e l'unico passaggio che la maggior parte delle guide salta prima di toccarne uno qualsiasi).
Ecco i punti chiave:
- Fai questo prima, ogni volta: Duplicator esegue il backup del tuo sito prima di qualsiasi scansione o pulizia. Se hai un backup precedente all'infezione, ripristinarlo rimuove il malware in un unico passaggio, senza bisogno di scansioni.
- Il migliore in assoluto per la rimozione effettiva: Auto-Clean di MalCare rimuove il malware in un clic, senza che tu debba modificare alcun file.
- Il miglior scanner gratuito con firewall: Wordfence protegge oltre 3 milioni di siti e include uno scanner funzionante nel suo piano gratuito.
- Il migliore per un tocco umano: Sucuri include la pulizia manuale illimitata dal proprio team di sicurezza su ogni piano a pagamento, oltre a firewall e impostazioni di hardening una volta che sei pulito.
Indice
Un plugin può effettivamente rimuovere il malware o solo rilevarlo?
La maggior parte dei plugin di sicurezza gratuiti rileva il malware. Pochi lo rimuovono effettivamente.
Rilevamento significa che il plugin segnala un file o una voce di database sospetta e ti dice dove si trova. Rimozione significa che elimina o ripara il codice infetto stesso, senza che tu apra un file manager.
Il piano gratuito di Wordfence rileva. Il piano a pagamento di MalCare rimuove il malware automaticamente. Sucuri fa entrambe le cose ma si affida a un team umano per qualsiasi cosa il suo scanner non riesca a correggere da solo.
Decidi di cosa hai veramente bisogno prima di installare qualsiasi cosa.
Se ti senti a tuo agio a leggere PHP, uno scanner di sola rilevazione e un po' di pazienza ti porteranno lì. Se vuoi che l'infezione scompaia senza toccare il codice, hai bisogno di una pulizia automatizzata o assistita da un umano.
In ogni caso, esegui prima il backup.
Cosa scansiona un plugin di rimozione malware?
Un plugin completo per la rimozione di malware controlla quattro aree:
- File core di WordPress
- File di plugin e temi
- Il database
- Il file .htaccess
Il malware può nascondersi in tutte queste aree.
Le infezioni a livello di database sono quelle che la maggior parte degli scanner non rileva. Ho visto link di spam annidati tranquillamente nei contenuti dei post, reindirizzamenti dannosi nascosti nelle impostazioni dei widget e account di amministrazione non autorizzati creati direttamente nella tabella wp_users senza alcun file da segnalare.
I migliori plugin per la rimozione di malware da WordPress
Ecco uno sguardo più da vicino ai nostri plugin preferiti per la rimozione di malware:
- Duplicator: Automatizza backup completi del tuo sito e del database prima che qualsiasi altra cosa cambi, con un'opzione di ripristino che elimina il malware in un solo passaggio (se precede l'infezione).
- MalCare: Automatizza la rimozione di malware con un clic e scansiona i tuoi file e il tuo database dai propri server.
- Wordfence: Una combinazione gratuita di scanner e firewall utilizzata su oltre 5 milioni di siti.
- Sucuri: Pulizia manuale illimitata di malware da un team di sicurezza dedicato, oltre a firewall e impostazioni di hardening una volta che sei pulito.
1. Duplicator: Ideale per backup pre-pulizia
Ogni opzione in questo elenco modifica i tuoi file o il tuo database una volta che trova qualcosa. Duplicator è il passaggio che rende tali modifiche reversibili.
Duplicator crea un backup completo del tuo sito WordPress e del tuo database. Puoi archiviare i tuoi dati sul tuo server o esternamente con Duplicator Cloud, Google Drive, Dropbox e altre posizioni cloud.
Il vantaggio si manifesta nel momento in cui qualcosa va storto.
Ho visto uno script di rimozione malware eliminare un file da cui dipendeva il tema, portando giù anche la homepage. Un backup effettuato cinque minuti prima ha trasformato quella situazione in un ripristino di due minuti invece di una ricostruzione.
Inoltre, Duplicator può rendere non necessari i plugin di rimozione malware. Se sai approssimativamente quando il sito è stato infettato e hai un backup precedente a quella data, ripristinandolo elimini completamente il malware.
Salti del tutto il processo di scansione e pulizia!
A differenza di altri plugin di backup/ripristino, Duplicator può ripristinare il tuo sito anche se WordPress stesso è inattivo.
Non farti prendere dal panico se non riesci ad accedere. Basta ricaricare i file di backup nella directory principale del tuo sito e avviare l'installer.
Tuttavia, dopo il ripristino, la vulnerabilità che ha permesso al malware di entrare la prima volta è ancora aperta. Ripristina un backup pulito per far funzionare di nuovo il tuo sito, quindi proteggi la sicurezza del tuo sito per assicurarti che non accada di nuovo.
Aggiorna la versione del plugin, del tema o del core di WordPress che ha permesso l'intrusione. Cambia tutte le password esposte prima che il sito torni online. Altrimenti, stai solo ripristinando un sito pulito nella stessa porta aperta.
Cosa ci è piaciuto:
- L'URL di ripristino d'emergenza ripristina un sito anche quando wp-admin non si carica, che è lo stato in cui ti lascia un'infezione attiva
- Il ripristino di un backup pre-infezione rimuove completamente il malware, senza bisogno di identificare manualmente ogni file infetto
- Ripristino con un clic direttamente dallo spazio di archiviazione cloud; nessun ricaricamento di un archivio multi-gigabyte tramite FTP
- I piani Elite includono Activity Log, che può essere utilizzato dopo un'infezione per tracciare l'account admin esatto e il file che è stato modificato per primo
- La versione gratuita copre i backup di base, sufficienti per creare l'abitudine prima ancora che ti serva
Cosa non ci è piaciuto:
- Il ripristino di un vecchio backup funziona solo se precede l'infezione. Se il malware è rimasto non rilevato per settimane, il tuo backup pulito più recente potrebbe essere più vecchio di quanto vorresti.
- Da solo non rileva né rimuove malware da un sito attivo e attualmente infetto. Abbinalo a uno degli scanner seguenti per questo, oppure ripristina a prima che si verificasse l'infezione e correggi la falla immediatamente dopo.
Perché abbiamo scelto Duplicator: La pulizia del malware può andare storta silenziosamente e ripristinare un backup pulito è spesso più veloce della scansione file per file. L'URL di ripristino di emergenza di Duplicator può ripristinare un sito anche quando WordPress stesso non si carica, cosa che nessun altro elemento in questo elenco fa per te.
Prezzi di Duplicator: Esiste una versione gratuita per backup manuali. I piani Duplicator Pro partono da $69.30/anno.
2. MalCare: Ideale per la rimozione automatizzata con un clic
MalCare scansiona il tuo sito dai propri server anziché dai tuoi, quindi una scansione completa non rallenta le tue pagine. Quando trova un'infezione, Auto-Clean la rimuove con un clic.
L'abbiamo eseguito su un sito di prova segnalato da Google Safe Browsing per pagine spam iniettate. La scansione è stata completata in pochi minuti e Auto-Clean ha gestito la rimozione senza che aprissimo un file manager.
Questo è il suo punto di forza. La maggior parte degli scanner ti fornisce un report e una decisione. MalCare ti fornisce un sito riparato.
Cosa ci è piaciuto:
- Zero overhead di prestazioni poiché la scansione avviene sull'infrastruttura di MalCare, non sulla tua
- Supporto esperto illimitato per infezioni che lo strumento automatizzato non può risolvere
- Dashboard centrale per la gestione delle scansioni su più siti; utile se non stai ripulendo solo una singola installazione
- Scanner malware gratuito, firewall e controlli di sicurezza continui ogni 7 giorni
Cosa non ci è piaciuto:
- La pulizia automatizzata è una funzionalità a pagamento. La versione gratuita esegue la scansione e segnala, ma non pulisce nulla finché non effettui l'aggiornamento.
- I piani a pagamento partono da $99/sito/anno, che si accumulano rapidamente nell'elenco dei clienti di un'agenzia.
Perché abbiamo scelto MalCare: Nessun altro elemento in questo elenco rende la rimozione automatizzata così semplice. La scansione viene eseguita fuori dal server e la pulizia è una vera azione con un clic.
Prezzi di MalCare: Gratuito per la scansione. I piani a pagamento con Auto-Clean partono da $179/anno.
3. Wordfence: Ideale per scanner e firewall gratuiti
Wordfence esegue il suo scanner e firewall direttamente sul tuo server, il che significa una maggiore visibilità sulle modifiche ai file ma un maggiore utilizzo delle risorse rispetto agli strumenti basati su cloud.
Oltre 5 milioni di siti lo utilizzano e il suo livello gratuito include uno scanner malware funzionante che la maggior parte dei concorrenti riserva ai piani a pagamento. Abbiamo eseguito una scansione completa su un sito di prova di medie dimensioni e abbiamo ottenuto un report utilizzabile senza inserire un numero di carta.
Cosa ci è piaciuto:
- Il livello gratuito include uno scanner malware, non solo un firewall
- Visualizzazione traffico in tempo reale
- L'enorme base di installazione mantiene costantemente aggiornato il database delle firme delle minacce
- Il blocco a livello di paese nella versione premium è un modo rapido per interrompere il traffico se non fai affari a livello globale
Cosa non ci è piaciuto:
- Le scansioni vengono eseguite sul tuo server, quindi i siti più grandi ne risentono
- Il livello gratuito rileva il malware ma non lo rimuove. Devi modificare i file da solo o pagare per la pulizia.
- Il servizio di pulizia professionale costa circa $590 per sito se preferisci non risolverlo da solo
Perché abbiamo scelto Wordfence: È il plugin che la maggior parte degli utenti WordPress ha già installato in qualche momento della sua storia. Il livello gratuito non è una demo ridotta e lo scanner sottostante è reale.
Prezzi di Wordfence: Gratuito per scansione e firewall di base. Premium a partire da $149/anno, ma il servizio di pulizia costa circa $590/anno.
4. Sucuri: Ideale per il servizio di pulizia manuale
Sucuri ha costruito la sua reputazione sulla pulizia, non solo sulla rilevazione. Ogni piano a pagamento include la rimozione manuale illimitata di malware dal team di sicurezza di Sucuri.
Una volta che il tuo sito è pulito, avrai modi semplici per proteggere il tuo sito da futuri attacchi. Sucuri offre un firewall, l'autenticazione a due fattori e un set completo di impostazioni di sicurezza predefinite.
Cosa ci è piaciuto:
- Pulizia manuale illimitata di malware inclusa in ogni livello a pagamento; nessun costo aggiuntivo per incidente
- Firewall per applicazioni web nei piani a pagamento
- Il rapporto post-pulizia elenca chiaramente cosa è stato trovato e rimosso, utile per spiegare a un cliente cosa è successo
Cosa non ci è piaciuto:
- L'opzione più costosa di questo elenco: Basic costa $229/anno
- Il plugin gratuito da solo non pulirà nulla. Il servizio di pulizia richiede un piano a pagamento
Perché abbiamo scelto Sucuri: Il servizio di pulizia illimitato è il vero elemento distintivo. Se lo scanner non rileva qualcosa, una persona reale esamina il tuo sito e lo risolve.
Prezzi di Sucuri: Scansione gratuita con SiteCheck. Piani a pagamento con pulizia illimitata a partire da $229/anno.
Domande frequenti (FAQ)
Qual è il miglior plugin per la rimozione di malware da WordPress?
MalCare è la scelta più forte per la pulizia attiva, poiché la sua Auto-Clean rimuove le infezioni in un clic senza accesso manuale ai file. Wordfence è l'opzione gratuita migliore se ti senti a tuo agio nel rimuovere tu stesso il codice segnalato, e Sucuri è adatto ai proprietari che desiderano il coinvolgimento di un team di sicurezza umano. Esegui un backup con Duplicator prima di utilizzarne uno qualsiasi.
Un plugin per WordPress può effettivamente rimuovere il malware o solo rilevarlo?
Entrambi, a seconda del plugin e del piano. I livelli gratuiti sulla maggior parte dei plugin rilevano e segnalano le infezioni, ma lasciano la rimozione a te. I livelli a pagamento di MalCare, Sucuri e Malcure aggiungono la pulizia automatizzata o assistita da umani, che è la funzionalità da verificare prima di presumere che un plugin risolverà qualcosa.
La rimozione del malware danneggerà il mio sito WordPress?
Può succedere. L'eliminazione di un file infetto che è anche portante per un tema o la quarantena della riga sbagliata del database può mettere completamente fuori uso un sito. Esegui un backup del tuo sito prima di eseguire qualsiasi pulizia e tieni pronta un'opzione di ripristino nel caso in cui la correzione causi più danni dell'infezione.
Quanto costa la rimozione professionale di malware da WordPress?
Varia a seconda del fornitore. Il servizio di pulizia manuale di Wordfence costa circa $590 per sito. Sucuri include la pulizia manuale illimitata a partire da $229,99/anno. MalCare include la pulizia automatizzata nei piani a pagamento a partire da $179/sito/anno.
Ho bisogno di un plugin di sicurezza se il mio host già esegue la scansione dei malware?
La maggior parte degli host esegue la scansione a livello di server, il che rileva alcune infezioni ma non malware a livello di database o basati su contenuti nascosti nei tuoi post o widget. Un plugin dedicato aggiunge un secondo livello che controlla ciò che la scansione del tuo host di solito perde.
Devo eseguire il backup del mio sito prima di rimuovere il malware?
Sì, e vale la pena verificare se un backup precedente all'infezione esiste. Se esiste, ripristinarlo può rimuovere il malware in un unico passaggio, più velocemente della scansione e pulizia file per file. Aggiorna semplicemente il plugin, il tema o la versione principale che ha permesso l'infezione prima di rimettere online il sito, altrimenti sarai reinfectato nello stesso modo. L'URL di disaster recovery di Duplicator copre anche il caso in cui sei bloccato fuori da wp-admin e non puoi accedere per ripristinare nulla.
Quale plugin di rimozione malware è giusto per te?
Se desideri che la pulizia venga gestita automaticamente, MalCare lo fa in un clic. Se preferisci mantenerlo gratuito e modificare tu stesso i file contrassegnati, Wordfence ti porta lì. Se desideri un team umano di supporto, il servizio di pulizia illimitata di Sucuri è pensato per questo.
Prima di tutto, controlla i tuoi backup. Se ne hai uno precedente all'inizio dell'infezione, ripristinarlo può essere più veloce che scansionare e pulire file per file. Elimina il malware in un unico passaggio invece di cercare ogni file infetto manualmente.
Applica semplicemente una patch a ciò che ha permesso l'ingresso del malware (un plugin obsoleto, una password debole, un tema non patchato) prima che il sito torni online. Ripristina attraverso la stessa porta aperta e dovrai pulire di nuovo tra un mese.
La versione gratuita di Duplicator gestisce le basi, ed è utile averla installata prima ancora di averne bisogno. Se desideri ripristini veloci con un clic e un disaster recovery che funziona senza WordPress in esecuzione, aggiorna a Duplicator Pro.
Mentre sei qui, penso che ti piaceranno queste altre guide sulla sicurezza:
- Come pulire un sito WordPress
- Cosa fare quando sei bloccato fuori da WordPress
- Come recuperare un sito WordPress compromesso
- 22 errori WordPress più comuni (e alcune soluzioni rapide)
- Il tuo sito WordPress potrebbe sparire domani (a meno che tu non faccia questo)
