Sicurezza Drupal: come mantenere aggiornati il sistema e i moduli

Gestire Drupal in sicurezza: mantenere aggiornati Core, moduli e temi

Un sito web Drupal è sicuro a lungo termine solo se il sistema viene regolarmente aggiornato e manutenuto. Questo include aggiornamenti per il Drupal core, i moduli installati, i temi, le dipendenze PHP, le modifiche al database, i backup e un controllo accurato dopo ogni aggiornamento. Drupal è considerato un sistema di gestione dei contenuti potente e molto flessibile, ma viene spesso impiegato per siti web complessi, portali, aree riservate, progetti multilingua o applicazioni personalizzate. Proprio per questo motivo, un processo di aggiornamento strutturato è particolarmente importante.

I aggiornamenti non sono solo una questione di nuove funzionalità. Risolvono falle di sicurezza, correggono bug, migliorano la compatibilità con le versioni correnti di PHP e riducono il rischio che i malintenzionati sfruttino vulnerabilità note in moduli o temi obsoleti. Gli avvisi di sicurezza pubblici sono particolarmente critici, poiché dopo la loro pubblicazione possono svilupparsi molto rapidamente attacchi automatizzati.

In questo articolo scoprirai come aggiornare Drupal in sicurezza, a cosa prestare attenzione prima di un aggiornamento, come utilizzare in modo sensato la modalità di manutenzione, i backup e Composer, e quali errori tipici evitare. La guida si rivolge a proprietari di siti web, agenzie e amministratori che gestiscono Drupal su un pacchetto di hosting web, hosting cPanel o su un server gestito.

Perché gli aggiornamenti di Drupal sono così importanti

Drupal è composto da diversi livelli. Il core di Drupal fornisce le funzioni di base, i moduli estendono il sito web con funzionalità aggiuntive, i temi controllano il design e Composer gestisce molte dipendenze tecniche in background. Una vulnerabilità può quindi sorgere non solo nel core di Drupal, ma anche in un modulo aggiuntivo, in un tema o in una libreria PHP.

Un errore comune è quello di applicare gli aggiornamenti solo quando si verifica un problema visibile sul sito web. Tuttavia, le falle di sicurezza sono spesso invisibili. Un sito web può sembrare funzionare normalmente anche se i componenti obsoleti contengono già vulnerabilità note. Soprattutto per i siti web CMS accessibili pubblicamente, l'aggiornamento costante è quindi una componente centrale della sicurezza tecnica.

Gli aggiornamenti regolari aiutano, tra le altre cose, nei seguenti punti:

• Chiudere falle di sicurezza: Le vulnerabilità critiche nel core di Drupal, nei moduli o nelle librerie vengono risolte tramite gli aggiornamenti di sicurezza.
• Mantenere la compatibilità: Le nuove versioni di PHP, le versioni del database e gli ambienti server richiedono versioni software aggiornate.
• Risolvere bug: Gli aggiornamenti contengono spesso correzioni di bug che migliorano la stabilità e l'affidabilità.
• Migliorare le prestazioni: I componenti aggiornati possono ottimizzare il caching, le query del database o i processi interni.
• Garantire la supportabilità: Le versioni obsolete di Drupal o i moduli non più gestiti smetteranno prima o poi di ricevere correzioni di sicurezza.

Quali componenti di un sito web Drupal devono essere aggiornati

In un sito web Drupal non devi tenere d'occhio solo il core. Per una gestione sicura, tutti i componenti rilevanti devono essere aggiornati:

• Drupal Core: L'installazione centrale di Drupal con funzioni di sistema, area amministrativa, gestione utenti, routing, API e moduli standard.
• Contributed Modules: Moduli aggiuntivi provenienti da drupal.org, ad esempio Pathauto, Webform, Redirect, Metatag o Admin Toolbar.
• Custom Modules: Moduli sviluppati su misura, programmati specificamente per il tuo sito web.
• Themes: Modelli di design e componenti frontend, che possono anch'essi richiedere aggiornamenti di sicurezza o di compatibilità.
• Dipendenze Composer: Pacchetti PHP utilizzati in background da Drupal o dai moduli.
• Schema del database: Dopo determinati aggiornamenti, è necessario eseguire modifiche al database affinché il codice e la struttura dei dati corrispondano.
• Versione PHP: A seconda della versione, Drupal richiede una versione PHP supportata. Una versione PHP obsoleta può rappresentare essa stessa un rischio per la sicurezza.

Dove identificare gli aggiornamenti disponibili in Drupal

Drupal può mostrare gli aggiornamenti disponibili nell'area amministrativa, a condizione che il modulo di aggiornamento corrispondente sia attivo e che il sito web sia autorizzato a recuperare informazioni di aggiornamento esterne. In genere, trovi la panoramica sotto:

Rapporti -> Aggiornamenti disponibili

Lì puoi vedere se il core di Drupal, i moduli installati o i temi sono obsoleti. Gli aggiornamenti rilevanti per la sicurezza vengono solitamente evidenziati in modo specifico. Inoltre, si consiglia di consultare regolarmente gli avvisi di sicurezza ufficiali di Drupal, soprattutto per i siti web critici per il business, i portali clienti o i progetti con account utente.

La panoramica degli aggiornamenti è un buon punto di partenza, ma non sostituisce un processo di manutenzione completo. Soprattutto per le installazioni basate su Composer, gli aggiornamenti non dovrebbero essere solo visualizzati nel browser, ma pianificati ed eseguiti in modo tecnicamente pulito tramite Composer.

Processo di aggiornamento raccomandato per Drupal

Un processo sicuro di aggiornamento di Drupal non consiste in un singolo clic, ma in diverse fasi controllate. Più il sito web è importante, più coerentemente deve essere seguito questo flusso.

1. Verificare lo stato attuale: Prendi nota della versione di Drupal, della versione di PHP, dei moduli installati, dei temi e delle particolarità note del sito web.
2. Creare un backup: Salva completamente i file e il database prima di apportare modifiche.
3. Leggere le note di rilascio (Release Notes): Verifica se ci sono indicazioni particolari, nuovi requisiti o problemi noti.
4. Verificare la compatibilità: Assicurati che i moduli e i temi importanti siano compatibili con la versione di destinazione.
5. Utilizzare un ambiente di test: Applica prima gli aggiornamenti principali su una copia del sito web.
6. Attivare la modalità di manutenzione: Proteggi il sito web di produzione dalle modifiche di visitatori o redattori durante l'aggiornamento.
7. Eseguire l'aggiornamento: Aggiorna il core, i moduli, i temi e le dipendenze tramite Composer o il percorso di manutenzione appropriato.
8. Eseguire gli aggiornamenti del database: Applica gli aggiornamenti necessari al database, ad esempio tramite update.php o Drush.
9. Svuotare la cache: Svuota la cache di Drupal e, se necessario, anche le cache esterne.
10. Testare il sito web: Controlla il frontend, il login, i moduli, la navigazione, i media, le funzioni di ricerca e i flussi di lavoro importanti.
11. Disattivare la modalità di manutenzione: Riattiva il sito web solo dopo che il controllo ha avuto esito positivo.
12. Documentare: Registra cosa è stato aggiornato e se ci sono state particolarità.

Passo 1: Creare un backup prima di ogni aggiornamento di Drupal

Un backup completo è l'ancora di sicurezza più importante prima di ogni aggiornamento. Se si verifica un errore durante l'aggiornamento, puoi ripristinare il sito web allo stato precedente. Un backup dei soli file non è sufficiente, perché Drupal memorizza i contenuti essenziali e le configurazioni nel database.

Prima di un aggiornamento, esegui il backup almeno di:

• File: Core di Drupal, moduli, temi, file di Composer e caricamenti nella directory sites/default/files.
• Database: Contenuti, utenti, configurazioni, menu, blocchi, viste e molti altri dati del sito web.
• File di configurazione: In particolare settings.php, services.yml, composer.json e composer.lock.
• Codice personalizzato: Moduli personalizzati (custom), temi personalizzati e adattamenti specifici del progetto.

Su CURIAWEB, a seconda della configurazione dell'hosting, puoi creare backup tramite cPanel, Softaculous o altre funzioni di backup disponibili. Utilizza a questo scopo, ad esempio, la funzione di backup di Softaculous, se la tua installazione di Drupal è gestita tramite Softaculous.

Passo 2: Attivare la modalità di manutenzione

Prima di un aggiornamento, dovresti attivare la modalità di manutenzione. In questo modo eviti che i visitatori o i redattori modifichino contenuti, inviino moduli o avviino processi mentre il codice e il database vengono modificati.

In Drupal trovi tipicamente la modalità di manutenzione sotto:

Configurazione -> Sviluppo -> Modalità di manutenzione

Attiva lì l'opzione e inserisci un messaggio chiaro per i visitatori. Un buon messaggio di manutenzione è breve, trasparente e non contiene dettagli tecnici che potrebbero essere interessanti per i malintenzionati.

Esempio di un messaggio adeguato:

Per i siti web critici per il business, dovresti pianificare gli aggiornamenti al di fuori degli orari di punta. Informa in anticipo i redattori interni o i clienti, in modo che non vengano apportate modifiche parallele durante la finestra di manutenzione.

Passo 3: Aggiornare il core di Drupal con Composer

Per le moderne installazioni di Drupal, Composer è il modo raccomandato per gestire in modo coerente il core di Drupal, i moduli, i temi e le dipendenze PHP. Composer tiene conto delle dipendenze e assicura che i pacchetti correlati siano installati nelle versioni compatibili.

Il comando esatto di Composer può variare a seconda della struttura del progetto. Spesso il core di Drupal viene gestito tramite pacchetti come drupal/core-recommended, drupal/core-composer-scaffold e drupal/core-project-message. Un tipico aggiornamento può ad esempio apparire così:

composer update "drupal/core-*" --with-all-dependencies

Il parametro --with-all-dependencies è importante perché Drupal e i suoi pacchetti hanno dipendenze che devono essere modificate anch'esse durante un aggiornamento. Dopo l'aggiornamento con Composer, dovresti verificare che i file composer.json e composer.lock siano stati aggiornati correttamente.

Se utilizzi l'accesso SSH, puoi eseguire Composer direttamente sul server. Per i progetti Drupal complessi, questo è solitamente più affidabile rispetto ai caricamenti manuali dei file tramite FTP. A questo proposito, leggi anche il nostro articolo sull'accesso SSH.

Passo 4: Aggiornare moduli e temi

Oltre al core di Drupal, devono essere mantenuti aggiornati anche i moduli aggiuntivi e i temi. Moduli molto popolari come Webform, Pathauto, Redirect, Metatag, Token o Admin Toolbar ricevono aggiornamenti regolari. Alcuni aggiornamenti correggono solo bug minori, altri sono rilevanti per la sicurezza.

Un singolo modulo può essere aggiornato con Composer, ad esempio, in questo modo:

composer update drupal/nomemodulo --with-all-dependencies

Tutti i pacchetti aggiornabili possono essere controllati con un aggiornamento generale di Composer a seconda del progetto. Sui siti web di produzione, tuttavia, dovresti prestare attenzione e non aggiornare tutti i pacchetti in modo incontrollato se non disponi di un ambiente di test. Più componenti vengono modificati contemporaneamente, più difficile diventa la ricerca degli errori.

Presta particolare attenzione ai seguenti punti per i moduli:

• Stato del progetto: Il modulo è mantenuto attivamente?
• Compatibilità con Drupal: Il modulo supporta la tua versione di Drupal?
• Copertura di sicurezza (Security Coverage): Il modulo è coperto dalle linee guida di sicurezza di Drupal?
• Note di rilascio: Ci sono Breaking Changes o opzioni di configurazione modificate?
• Dipendenze: Il modulo richiede altri moduli o pacchetti PHP?

Passo 5: Eseguire gli aggiornamenti del database

Dopo un aggiornamento di Drupal, è spesso necessario eseguire aggiornamenti del database. Questi adeguamenti assicurano che le nuove versioni del codice funzionino con la struttura del database esistente. Se salti questo passaggio, potrebbero verificarsi messaggi di errore, pagine di amministrazione non funzionanti o funzionalità incomplete.

Il metodo classico passa attraverso:

https://il-tuo-dominio.ch/update.php

A seconda della configurazione, devi essere connesso come amministratore o impostare temporaneamente determinati permessi di aggiornamento. Segui le istruzioni sullo schermo ed esegui tutti gli aggiornamenti del database in sospeso.

Se Drush è disponibile, l'aggiornamento del database può essere eseguito anche tramite riga di comando:

drush updatedb

Successivamente, la cache deve essere svuotata:

drush cache:rebuild

Anche se utilizzi update.php nel browser, dovresti svuotare la cache di Drupal subito dopo, in modo che le nuove rotte, configurazioni, template e servizi vengano caricati correttamente.

Passo 6: Testare a fondo il sito web dopo l'aggiornamento

Un aggiornamento è completato solo dopo che il sito web è stato verificato. Testa non solo la pagina iniziale, ma tutte le funzioni critiche per il business. Molti problemi si manifestano solo nei moduli, nell'area di login, nei contenuti multilingua, nelle viste o nei moduli personalizzati.

Dopo un aggiornamento, controlla almeno:

• Frontend: Pagina iniziale, sottopagine, navigazione, visualizzazione mobile e layout.
• Backend: Accesso, menu di amministrazione, panoramica dei contenuti e pagine di configurazione.
• Moduli: Modulo di contatto, webform, registrazioni e campi di caricamento.
• Ruoli utente: Accesso per amministratori, redattori e utenti normali.
• Media: Immagini, documenti, stili di immagine reattivi e download di file.
• Funzioni SEO: Alias URL, reindirizzamenti, meta tag, sitemap e URL canonici.
• Multilinguismo: Cambio lingua, traduzioni e menu dipendenti dalla lingua.
• Prestazioni: Tempi di caricamento, comportamento della cache e messaggi di errore nel log.

Apri inoltre i log di Drupal sotto Rapporti -> Messaggi di registro recenti. Lì potrai rilevare avvisi, errori PHP, file mancanti o problemi con i moduli spesso più rapidamente rispetto al frontend.

Gli aggiornamenti di sicurezza hanno la priorità

Non tutti gli aggiornamenti sono ugualmente urgenti. Un piccolo aggiornamento di correzione bug può essere pianificato, mentre un aggiornamento di sicurezza critico dovrebbe essere applicato tempestivamente. Quando viene pubblicato un avviso di sicurezza di Drupal, è importante verificare rapidamente se il tuo sito web è interessato.

Presta attenzione a quanto segue:

• Il componente interessato è installato sul tuo sito web?
• Il modulo è attivato o solo presente nel codice?
• La vulnerabilità interessa i visitatori anonimi o solo gli utenti registrati?
• Esiste una misura immediata raccomandata o solo un aggiornamento?
• Un exploit è probabile o già pubblicamente noto?

In caso di avvisi critici, non aspettare diverse settimane. Pianifica un breve test, crea un backup e applica l'aggiornamento il più rapidamente possibile.

Composer, composer.lock e aggiornamenti riproducibili

Nei progetti Drupal basati su Composer, il file composer.lock è particolarmente importante. Registra quali versioni dei pacchetti sono effettivamente installate. In questo modo, la stessa versione può essere installata in modo riproducibile su ambienti di test, staging e produzione.

Quando esegui un aggiornamento localmente o in un ambiente di test, dovresti trasferire il file composer.lock aggiornato insieme a composer.json. Sul sistema di produzione, lo stato esatto verificato può essere installato con il seguente comando:

composer install --no-dev --optimize-autoloader

Questo flusso di lavoro è particolarmente sensato per le agenzie e i progetti professionali. Riduce il rischio che sul sistema live vengano installate versioni di pacchetti diverse rispetto all'ambiente di test.

Aggiornamenti manuali tramite FTP: quando è necessaria cautela?

Le vecchie guide di Drupal descrivono a volte gli aggiornamenti manuali tramite FTP. In questo caso, i file vengono scaricati, decompressi e trasferiti sul server. Per le moderne installazioni di Drupal, questo percorso è soggetto a errori, soprattutto quando sono coinvolte le dipendenze di Composer.

Gli aggiornamenti manuali dei file possono essere problematici perché:

• Le dipendenze non vengono aggiornate automaticamente,
• I file possono essere sovrascritti accidentalmente o dimenticati,
• I progetti basati su Composer diventano incoerenti di conseguenza,
• Le personalizzazioni in directory errate possono andare perse,
• La ricerca degli errori dopo un caricamento incompleto è dispendiosa in termini di tempo.

Se il tuo sito web viene ancora aggiornato manualmente, dovresti documentare esattamente quali file vengono sostituiti prima di aggiornamenti importanti. A lungo termine, per i progetti Drupal attuali è solitamente raccomandata una manutenzione basata su Composer.

Errori tipici negli aggiornamenti di Drupal

Molti problemi di aggiornamento non derivano da Drupal stesso, ma da una preparazione incompleta o da una mancanza di controllo. Dovresti evitare i seguenti errori:

• Nessun backup: Senza backup, un aggiornamento errato può portare a interruzioni prolungate.
• Aggiornamenti direttamente in produzione: Gli aggiornamenti principali dovrebbero essere prima testati in un ambiente di test.
• Dimenticare la modalità di manutenzione: I visitatori o i redattori possono innescare modifiche durante l'aggiornamento.
• Aggiornamento del database saltato: Il codice e il database potrebbero non corrispondere successivamente.
• Cache non svuotata: Drupal può memorizzare vecchie informazioni e apparire quindi non funzionante.
• Note di rilascio ignorate: Vengono trascurate indicazioni importanti su Breaking Changes.
• Troppe modifiche contemporaneamente: Se il core, molti moduli, il tema e la versione di PHP vengono modificati contemporaneamente, la ricerca degli errori diventa difficile.
• Mantenere moduli obsoleti: I moduli non aggiornati possono diventare un rischio per la sicurezza a lungo termine.

Strategia di aggiornamento per piccoli siti web

Per i piccoli siti web Drupal senza complesse funzioni speciali, spesso è sufficiente un processo snello ma coerente. Controlla mensilmente gli aggiornamenti disponibili, crea un backup, attiva la modalità di manutenzione, esegui l'aggiornamento e testa le pagine e i moduli più importanti.

Per i siti web semplici è particolarmente importante non installare moduli non necessari. Ogni modulo aggiuntivo aumenta l'impegno di manutenzione. Rimuovi i moduli non più necessari in modo pulito tramite la disinstallazione di Drupal e solo successivamente eliminali dal codice sorgente.

Strategia di aggiornamento per progetti Drupal più ampi

Per i siti web più complessi, portali, intranet o progetti multilingua, il processo di aggiornamento dovrebbe essere organizzato in modo più professionale. Utilizza idealmente un ambiente di staging, il controllo di versione e fasi di deployment chiare.

Un flusso di lavoro professionale può apparire così:

1. Copiare il sito web di produzione in un ambiente di staging.
2. Creare un backup e uno stato Git.
3. Eseguire gli aggiornamenti tramite Composer nell'ambiente di staging.
4. Eseguire gli aggiornamenti del database e svuotare la cache.
5. Eseguire test automatizzati o manuali.
6. Documentare le modifiche.
7. Distribuire le modifiche verificate nell'ambiente di produzione.
8. Eseguire un test live e il controllo dei log.

Questo flusso richiede un po' più di pianificazione, ma riduce notevolmente il rischio di interruzioni. Soprattutto per i progetti dei clienti, è decisamente più affidabile rispetto agli aggiornamenti spontanei eseguiti direttamente nel sistema live.

Sostituire i moduli non più gestiti

Una parte importante della sicurezza di Drupal è la pulizia. I moduli che non sono più gestiti attivamente o che non supportano una versione corrente di Drupal dovrebbero essere sostituiti o rimossi. Questo vale in particolare per i moduli che riguardano moduli, permessi utente, caricamento di file, invio di e-mail o interfacce esterne.

Per i moduli problematici, verifica:

• Esiste una versione stabile per la tua versione di Drupal?
• Il modulo è stato aggiornato negli ultimi mesi o anni?
• Ci sono avvisi di sicurezza aperti?
• Esiste un progetto successore raccomandato?
• La funzione può essere sostituita dal core di Drupal o da un altro modulo aggiornato?

Non rimuovere un modulo semplicemente tramite FTP. Disinstallalo prima nel backend di Drupal sotto Estendi -> Disinstalla, in modo che le configurazioni associate e le voci del database vengano elaborate correttamente. Solo successivamente il codice dovrebbe essere rimosso.

Considerare la versione PHP e l'ambiente di hosting

Gli aggiornamenti di Drupal dipendono anche dall'ambiente server. Una nuova versione di Drupal può richiedere determinate versioni di PHP o non supportare più le versioni precedenti. Verifica quindi, prima di aggiornamenti importanti, quale versione di PHP utilizza il tuo sito web e quali sono i requisiti della versione di destinazione.

In cPanel, a seconda del pacchetto di hosting, puoi spesso gestire la versione di PHP e le estensioni. Assicurati che le estensioni PHP necessarie siano attive e che i limiti di memoria siano sufficientemente dimensionati. I progetti Drupal con molti moduli, Composer e una configurazione estesa richiedono spesso più risorse rispetto ai siti web semplici.

Il nostro Hosting web cPanel è adatto per i progetti Drupal in cui una configurazione PHP aggiornata, SSL, database, backup e accesso SSH devono funzionare insieme in modo pulito.

Vantaggi SEO e GEO di un sito web Drupal aggiornato

Gli aggiornamenti influiscono non solo sulla sicurezza, ma indirettamente anche sulla SEO e sulla GEO, ovvero sulla classica ottimizzazione per i motori di ricerca e sulla reperibilità nei sistemi di risposta basati sull'IA. Un sito web tecnicamente stabile, veloce e sicuro viene scansionato (crawling) in modo più affidabile, è meno frequentemente interrotto da pagine di errore e offre contenuti coerenti.

Per la SEO e la SEO orientata all'IA, i seguenti punti sono particolarmente rilevanti:

• URL stabili: Gli alias URL e i reindirizzamenti dovrebbero continuare a funzionare correttamente dopo gli aggiornamenti.
• Tempi di caricamento rapidi: I moduli aggiornati e le cache ottimizzate aiutano le prestazioni.
• Pagine prive di errori: Gli errori 500, i moduli non funzionanti o gli avvisi PHP possono compromettere la fiducia e il crawling.
• Sito web sicuro: Malware, componenti obsoleti o pagine compromesse danneggiano la visibilità e la reputazione.
• Struttura chiara: Menu, metadati e sitemap aggiornati supportano i motori di ricerca e i sistemi di IA nella comprensione dei contenuti.

Per le aziende in Svizzera è inoltre importante che il sito web, il dominio, l'hosting e la manutenzione tecnica funzionino insieme in modo affidabile. Un'installazione Drupal ben curata su un hosting web svizzero stabile supporta la fiducia, la protezione dei dati, i tempi di caricamento e la reperibilità a lungo termine.

Lista di controllo: aggiornare Drupal in sicurezza

Domande frequenti sugli aggiornamenti di Drupal

Ogni quanto tempo dovrei aggiornare Drupal?

Controlla almeno mensilmente se sono disponibili aggiornamenti. Gli aggiornamenti di sicurezza dovrebbero essere applicati molto più rapidamente non appena è chiaro che il tuo sito web è interessato.

Posso installare gli aggiornamenti di Drupal direttamente nel backend?

A seconda della versione di Drupal e della struttura del progetto, alcune funzioni amministrative sono visibili nel backend. Per le installazioni di Drupal moderne e professionali, tuttavia, Composer è generalmente il percorso più affidabile perché le dipendenze vengono gestite in modo pulito.

Devo eseguire update.php dopo ogni aggiornamento?

Se Drupal segnala aggiornamenti del database, questi devono essere eseguiti. Dopo gli aggiornamenti del core o dei moduli, dovresti sempre verificare se ci sono aggiornamenti del database in sospeso.

Cosa faccio se un aggiornamento danneggia il sito web?

Non riattivare il sito web troppo presto. Controlla i messaggi di errore, i log, gli output di Composer e gli aggiornamenti del database. Se il problema non può essere risolto rapidamente, ripristina il backup creato in precedenza e analizza la causa in un ambiente di test.

Anche i moduli disattivati sono un rischio?

I moduli disattivati o non installati sono meno critici rispetto ai moduli attivi, ma dovrebbero comunque essere ripuliti. Il codice non necessario aumenta la complessità e può causare confusione durante i lavori successivi.

Dovrei attivare gli aggiornamenti automatici?

Gli aggiornamenti automatici possono essere utili, ma non sostituiscono i backup e i test. Per i siti web Drupal critici per il business, gli aggiornamenti dovrebbero essere eseguiti in modo controllato, specialmente se si utilizzano moduli, temi o integrazioni personalizzati.