Un sito WordPress viene preso di mira molto prima di diventare importante. Bot che provano password su wp-login.php, script che cercano file dimenticati, account rubati usati per pubblicare spam: roba di ogni giorno, non attacchi da film.

Cosa fa il plugin di sicurezza

Il cuore del plugin di sicurezza è la difesa del login: quando un indirizzo IP supera la soglia di tentativi falliti, viene bloccato con una regola nel file .htaccess. Intorno a questo ci sono un registro delle attività, il controllo dell’integrità dei file del plugin, la sorveglianza dei caricamenti, alcuni irrigidimenti opzionali, i limiti su chi pubblica o commenta troppo e una politica per la creazione degli utenti.

Ogni funzione ha un articolo dedicato, li trovi in fondo a questa pagina.

Funziona anche senza configurarlo

Appena attivato, il plugin di sicurezza rileva i login falliti e blocca in locale, senza fare nessuna chiamata verso l’esterno. Gli irrigidimenti e gli header HTTP sono spenti finché non li accendi tu, e ognuno spiega cosa fa e cosa può rompere.

Proteggere più siti insieme

Chi gestisce molti siti sa che lo stesso IP ostile li prova uno dopo l’altro. Collegando il plugin di sicurezza a un pannello Cisilino, un indirizzo visto fallire su un sito viene bloccato anche sugli altri. Senza pannello, tutto resta sul singolo sito.

Compatibilità: versioni di PHP e WordPress

• WordPress: da 5.8 in su, testato fino alla 7.1.
• PHP: da 7.4 in su, in uso anche su PHP 8.5.
• Web server: Apache 2.4 (o 2.2) e LiteSpeed in modalità compatibile per il blocco degli IP in .htaccess. Su nginx il plugin rileva gli attacchi ma non può scrivere la regola a livello server.

I limiti, detti subito

Il blocco degli IP scrive in .htaccess, quindi serve Apache o LiteSpeed in modalità compatibile. Su nginx il plugin rileva ma non può bloccare a livello server. Il controllo di integrità segnala le manomissioni, non le impedisce. E il plugin di sicurezza non è un antivirus: aggiornamenti, backup e password solide servono comunque.

Se lo disattivi, le regole scritte in .htaccess vengono rimosse. Riattivandolo ritrovi tutto com’era. Le novità di ogni versione sono nel changelog del plugin.

Scarica il plugin da WordPress.org: sulla scheda ufficiale trovi versioni, requisiti e recensioni.

Domande frequenti

Il plugin funziona senza configurazione?

Sì. Appena attivato rileva i login falliti e blocca gli IP che superano la soglia, solo in locale e senza chiamate esterne.

Funziona su hosting nginx?

Il blocco degli IP richiede Apache o LiteSpeed in modalità compatibile, perché scrive in .htaccess. Su nginx il rilevamento resta attivo, il blocco a livello server no.

Un plugin di sicurezza sostituisce un antivirus?

No. Riduce i rischi più comuni ma non sostituisce aggiornamenti, backup e password robuste.

Leggi anche

• Attacco brute force WordPress: come fermarlo sul login.
• Webshell WordPress: trovarla con il controllo integrità file.
• Changelog: tutte le versioni del plugin.

The post Plugin sicurezza WordPress: Cisilino Site Defense Network first appeared on Matteo Cisilino.