Scegliere un plugin di sicurezza per WordPress: cinque livelli, non uno

I plugin di sicurezza per WordPress sono strumenti aggiuntivi installati all'interno di WordPress, e una guida pubblicata dalla società di sicurezza web Sucuri il 4 settembre 2026 sostiene che la cosa più importante da capire su di essi è dove vengono eseguiti. La guida è scritta per chi gestisce un sito attivo senza un team di sicurezza dedicato e copre cosa fanno realmente questi strumenti, dove smettono di essere utili, come valutarli e cosa fare dopo averne installato uno.

Sucuri fa notare che il termine "plugin di sicurezza" comprende almeno quattro diversi tipi di strumenti, ciascuno dei quali risolve un problema diverso. Alcuni rafforzano le impostazioni di un sito, alcuni scansionano alla ricerca di codice malevolo, alcuni filtrano il traffico dannoso e alcuni gestiscono i backup in modo che un sito possa essere ripristinato. Un errore frequente, secondo la guida, è acquistare un singolo plugin e presumere che il sito sia completamente protetto.

Cosa può e non può raggiungere un plugin

Per definizione, un plugin di sicurezza per WordPress è un componente aggiuntivo che fornisce funzionalità di protezione, rilevamento o ripristino che WordPress non offre da solo. Poiché risiede all'interno di WordPress, spiega Sucuri, ha un accesso privilegiato agli account utente e ai ruoli, ai post, ai file di plugin e temi, al database e all'attività di accesso. Questa stessa collocazione è il suo limite: inizia a funzionare solo dopo che PHP (il linguaggio di programmazione su cui gira WordPress) e WordPress stesso sono stati caricati, quindi non può fermare il traffico prima che raggiunga il server.

La guida raggruppa le funzioni dei plugin in cinque capacità. Il rafforzamento della sicurezza (hardening) significa modificare la configurazione e i permessi in modo che gli attacchi comuni smettano di funzionare, il che riduce il numero di modi in cui un sito può essere attaccato invece di cercare di intercettare gli attacchi a posteriori. Il rilevamento di malware significa scansionare file, database e pagine pubbliche del sito alla ricerca di codice iniettato, contenuti spam e backdoor, ovvero punti di accesso nascosti lasciati da un attaccante. Il monitoraggio dell'integrità significa confrontare i file del sito con versioni note come buone e avvisare il proprietario quando qualcosa cambia inaspettatamente. La registrazione delle attività e degli accessi significa registrare login, login falliti, creazione di utenti, attivazione di plugin e modifiche ai contenuti. Il filtraggio a livello applicativo significa ispezionare le richieste in arrivo e bloccare quelle che corrispondono a schemi di attacco.

Un plugin che svolge bene uno di questi compiti è davvero utile, scrive Sucuri. Ma un plugin che pretende di fare tutti e cinque perfettamente, senza configurazione e senza compromessi, probabilmente sta esagerando.

Perché i siti WordPress vengono attaccati

Il core di WordPress è mantenuto da un team di sicurezza dedicato e viene aggiornato regolarmente, quindi il rischio raramente è il core stesso, ma tutto ciò che vi si sovrappone e gli sta intorno. Sucuri elenca le cause ricorrenti di compromissione che osserva.

Plugin e temi obsoleti vengono al primo posto. Una vulnerabilità di WordPress è un difetto nel codice, di solito in un plugin o tema di terze parti, che consente a un attaccante di fare qualcosa che non dovrebbe poter fare, come caricare un file, scrivere nel database o creare un account amministratore. Una volta che tale difetto viene divulgato pubblicamente e corretto, la scansione automatizzata alla ricerca di siti che non hanno aggiornato segue rapidamente, e l'intervallo tra la disponibilità di una patch e lo sfruttamento di massa è breve.

Password deboli o riutilizzate vengono subito dopo. I tentativi di accesso automatizzati contro wp-login.php e XML-RPC (una vecchia interfaccia di WordPress che consente ad altro software di comunicare con il sito) sono un rumore di fondo costante su internet. XML-RPC viene citato in particolare perché consente molti tentativi di password in un'unica richiesta, motivo per cui è stato storicamente sfruttato per amplificare attacchi di forza bruta, in cui il software prova password su password finché una funziona.

Sucuri indica anche il software pirata o "nulled", ovvero copie gratuite di plugin e temi a pagamento prese da fonti non ufficiali, che descrive come un canale ben consolidato per la distribuzione di malware, senza alcun modo sicuro di utilizzarle. La configurazione non sicura è un'altra causa: permessi dei file troppo permissivi, file di backup esposti, file di configurazione che qualsiasi visitatore può leggere e account amministratore inutilizzati che non sono mai stati rimossi. Infine, su alcune configurazioni di hosting condiviso, una compromissione in un sito può diffondersi ad altri siti sotto lo stesso account.

La maggior parte di questi problemi riguarda come viene gestito un sito piuttosto che la qualità del codice di WordPress, osserva Sucuri, il che è importante quando si scelgono gli strumenti, perché nessun plugin può risolvere un processo difettoso.

I tipi di plugin di sicurezza

Raggruppare gli strumenti in base a ciò che fanno è più utile che classificarli, secondo la guida.

I plugin di hardening e controllo degli accessi modificano la configurazione per ridurre la superficie d'attacco. Le funzionalità tipiche includono l'imposizione di password complesse, l'aggiunta dell'autenticazione a due fattori (una seconda prova di identità oltre alla password), la limitazione dei tentativi di accesso, la disattivazione dell'editor di file integrato per temi e plugin, il blocco dell'esecuzione di PHP nelle cartelle di caricamento, la disattivazione di XML-RPC, la modifica dell'indirizzo di login e l'impostazione di header di sicurezza. Sucuri osserva che l'hardening offre il massimo valore al costo più basso per la maggior parte dei proprietari di siti, e che molte di queste modifiche possono essere apportate manualmente, ad esempio ruotando le chiavi di autenticazione o correggendo i permessi di file e cartelle. Un plugin fa principalmente risparmiare tempo e ridurre gli errori.

I plugin di scansione malware e monitoraggio dell'integrità rispondono a una domanda diversa: c'è già qualcosa che non va? Confrontano i file del core con checksum ufficiali (una sorta di impronta digitale usata per verificare che un file non sia stato alterato), cercano schemi malevoli noti e codice offuscato, controllano il database alla ricerca di spam iniettato o script di reindirizzamento e avvisano il proprietario quando un file cambia. Sucuri traccia due distinzioni qui. La scansione lato server legge i file e il database effettivi sull'host, quindi può vedere backdoor e codice dormiente, ma richiede accesso e consuma risorse del server. La scansione remota carica le pagine come farebbe un visitatore o un motore di ricerca, quindi rileva infezioni visibili, reindirizzamenti malevoli e lo stato nelle liste di blocco, ovvero se il sito è stato segnalato come pericoloso, ma non può vedere una backdoor che se ne sta tranquilla in una cartella di plugin.

Per un controllo esterno rapido, Sucuri offre il suo strumento SiteCheck, che scansiona le pagine pubbliche di un sito alla ricerca di malware noto, spam iniettato, defacement, errori del sito e stato nelle liste di blocco. Poiché è uno scanner remoto, un risultato pulito non esclude malware dormiente o backdoor nascoste nei file del server. La conclusione di Sucuri è che la maggior parte dei siti alla fine ha bisogno di entrambi i tipi di scansione, e uno scanner che ne fa solo uno non è sbagliato ma incompleto.

I plugin firewall e di filtraggio del traffico ispezionano le richieste in arrivo e bloccano quelle che sembrano tentativi di sfruttamento, credential stuffing (provare coppie di nome utente e password trapelate su molti siti) o crawling abusivo. Implementato come plugin, questo è un firewall a livello applicativo: viene eseguito all'interno di PHP, dopo che la richiesta ha già raggiunto il server. Sucuri lo considera realmente utile, perché può bloccare una richiesta prima che raggiunga un plugin vulnerabile, ma non riduce il carico complessivo di un attacco, e gli attaccanti a volte possono aggirarlo trovando un percorso che non avvia WordPress.

I plugin di backup e ripristino non sono commercializzati come strumenti di sicurezza ma sono funzionalmente essenziali, afferma la guida, perché i backup sono il livello di ripristino quando sia la prevenzione che il rilevamento falliscono. Ciò che conta non è se i backup esistono ma se sono archiviati fuori dal server, versionati abbastanza indietro da precedere una compromissione lenta, includono il database oltre ai file e, la parte che la maggior parte delle persone salta, sono stati effettivamente ripristinati almeno una volta.

Le opzioni più popolari sono suite complete che combinano diversi elementi di cui sopra. Sono convenienti, avverte Sucuri, ma è rischioso presumere che acquistare una suite significhi essere completamente protetti, perché spesso solo una o due delle sue parti sono forti mentre il resto è basilare.

Firewall plugin contro firewall a livello di server

Sucuri definisce questa la distinzione tecnica più importante della guida. Un firewall basato su plugin vive all'interno di WordPress: la richiesta arriva all'host, il server avvia PHP, WordPress si carica, il plugin ispeziona la richiesta e poi la consente o la blocca, quindi la protezione avviene nell'ultimo momento possibile. Un firewall a livello di server o basato su cloud, spesso chiamato WAF (web application firewall), si trova davanti al sito: il traffico viene ispezionato e filtrato prima che raggiunga il server di origine, e le richieste malevole vengono scartate a monte, quindi non consumano mai processi PHP, connessioni al database o larghezza di banda.

Le differenze pratiche che la guida delinea sono queste. Un firewall plugin viene eseguito all'interno di WordPress dopo il caricamento di PHP, mentre un WAF agisce prima che il traffico raggiunga il server. Durante un attacco, il carico del server viene comunque consumato con un plugin ma assorbito a monte con un WAF. Un WAF può assorbire il volume di un attacco DDoS, ovvero un'ondata di traffico destinata a sopraffare un sito, mentre un plugin offre solo un aiuto limitato. Il patching virtuale di un difetto noto, ovvero bloccare lo sfruttamento di una vulnerabilità senza modificare il codice vulnerabile, è possibile con un plugin solo se WordPress riesce ad avviarsi, ma è possibile con un WAF senza toccare il codice. Un WAF sopravvive al sito messo offline e può comunque servire o bloccare il traffico, un plugin no. E un plugin può essere disattivato se un attaccante ottiene accesso ai file, mentre l'infrastruttura esterna al sito no.

Quest'ultimo punto è quello che le persone sottovalutano, scrive Sucuri: un attaccante con accesso in scrittura ai file può disattivare un plugin di sicurezza, ma non può disattivare un'infrastruttura che non gira sul server. La guida è chiara sul fatto che questo non è un motivo per evitare i plugin, ma un argomento a favore della difesa in profondità, ovvero non fare affidamento su un singolo livello. Per WordPress questo significa che l'hardening riduce la superficie d'attacco, un firewall filtra il traffico, uno scanner trova tutto ciò che passa e i backup consentono il ripristino se tutto il resto fallisce.

Come sceglierne uno

Sucuri sconsiglia di giudicare un plugin dal numero di funzionalità e suggerisce invece sette criteri. Primo, stabilisci quali livelli copre effettivamente tra hardening, filtraggio, rilevamento, monitoraggio e ripristino, e quali rimangono di tua responsabilità, perché quell'elenco, non il plugin, mostra la reale posizione di sicurezza. Secondo, guarda la qualità del rilevamento e i falsi allarmi: uno scanner che segnala erroneamente il tuo codice personalizzato può essere peggio che inutile perché ti abitua a ignorare gli avvisi, quindi controlla se file e regole possono essere inseriti in whitelist, se gli avvisi sono spiegati chiaramente e se una persona può aiutare con risultati poco chiari. Terzo, considera il costo in termini di prestazioni, poiché ogni plugin che ispeziona richieste, scansiona file o scrive log utilizza risorse del server, e su un host modesto la scansione sul server può influire sul caricamento delle pagine o raggiungere i limiti di risorse.

Quarto, chiediti cosa succede in un brutto giorno. Se un sito viene infettato, segnalato dai motori di ricerca e un cliente si lamenta, lo strumento ti avvisa semplicemente o risolve il problema? Sucuri sottolinea che rilevamento e pulizia sono servizi separati, quindi gli acquirenti dovrebbero sapere quale stanno ottenendo, se la pulizia è inclusa o costa extra e se una persona reale esaminerà il sito. Quinto, verifica se il supporto è umano e quanto è veloce, inclusi gli impegni sui tempi di risposta, gli orari di copertura e se il personale di supporto può guardare il tuo sito invece di rispondere a domande generiche. Sesto, verifica che lo strumento si adatti a come gestisci i siti: gestione centralizzata se ne gestisci diversi, regole di hardening che non rompono i flussi di lavoro di staging e deployment, e compatibilità con WP-CLI, lo strumento da riga di comando usato per aggiornare WordPress. Settimo, evita di installare troppo: tre plugin di sicurezza non danno tre volte la protezione, e firewall e scanner sovrapposti possono entrare in conflitto, produrre avvisi duplicati e rallentare il sito.

Plugin contro servizi

Un plugin è un software che installi e gestisci. Un servizio di sicurezza per WordPress è un accordo continuativo in cui qualcun altro si occupa di parte del lavoro, tipicamente monitoraggio, gestione del firewall e pulizia del malware. Sucuri afferma che un plugin ha senso se hai il tempo e la sicurezza per rivedere gli avvisi, applicare gli aggiornamenti prontamente, interpretare i risultati delle scansioni e ripulire un'infezione; un servizio ha senso quando il tempo di inattività ha un costo reale, quando nessuno nel team vuole occuparsi della rimozione di malware alle 2 del mattino, quando gestisci siti per clienti o quando sei già stato violato una volta.

In pratica, afferma la guida, la maggior parte dei siti WordPress sicuri usa entrambi: un plugin per l'hardening e la visibilità all'interno di WordPress, più un firewall esterno e un servizio di monitoraggio per filtraggio, controlli di uptime, monitoraggio delle liste di blocco e pulizia. Sucuri descrive la propria configurazione in questi termini, con un plugin WordPress per hardening e monitoraggio, un firewall cloud davanti al sito e assistenza per la pulizia se qualcosa passa. La guida avverte anche gli acquirenti che confrontano opzioni a pagamento di leggere cosa significano realmente frasi come "pulizie illimitate" o "rimozione garantita" nei termini, inclusi i tempi di risposta e cosa succede con siti su hosting non supportati o altamente personalizzati.

La checklist consigliata da Sucuri

Su accessi e account, la guida elenca cinque passaggi: controlla ogni account utente, rimuovendo quelli che nessuno usa e declassando chi non ha bisogno di diritti di amministratore; imponi password forti e uniche per ogni account con accesso alla dashboard, inclusi hosting, registrar di dominio e account email; abilita l'autenticazione a due fattori per tutti gli account amministratore; ruota le chiavi di autenticazione e i salt nel file wp-config.php, il che invalida le sessioni esistenti; e usa l'autenticazione basata su chiave invece delle password per il trasferimento file SFTP e SSH dove l'host lo supporta.

Sul software, le raccomandazioni sono di aggiornare core, plugin e temi di WordPress secondo un programma definito, con aggiornamenti automatici abilitati almeno per le versioni di sicurezza del core; di eliminare plugin disattivati e temi inutilizzati, perché il codice spento è comunque codice sul disco; e di rimuovere immediatamente qualsiasi plugin o tema nulled o pirata.

Per i proprietari di siti che preferirebbero non assemblare e mantenere da soli quella pila di strumenti, AEU Hosting è un hosting WordPress gestito che si descrive come sicuro end to end, e la sua pagina di servizio è il posto dove verificare quali parti di questo lavoro vengono gestite per te. La lezione più ampia dalla guida di Sucuri è che la protezione deriva da livelli che svolgono ciascuno bene un compito, e che sapere quale livello manca conta più che possedere l'elenco di funzionalità più lungo.