Plugin di sicurezza WordPress: Wordfence, Kadence Security e AIOS
Confrontate Wordfence se volete firewall, scansione malware e protezione dell’accesso in un solo strumento; Kadence Security per le politiche di utenti e login; All-In-One Security (AIOS) per configurare gradualmente le singole protezioni. Verificate la copertura gratuita, chi esaminerà i falsi positivi e come un amministratore potrà recuperare l’accesso. Nessuno sostituisce aggiornamenti, gestione degli account e backup, né garantisce di impedire ogni compromissione.
Decidere quale compito assegnare al plugin di sicurezza
Distinguete prevenzione, rilevamento e recupero. Un firewall per applicazioni web, o web application firewall (WAF), valuta le richieste tramite regole contro gli attacchi. La protezione del login riduce i rischi di tentativi di indovinare password e di sottrazione degli account. La scansione cerca file modificati o modelli noti di software dannoso, detto malware. Indagare una compromissione, eliminarne la causa e ripristinare uno stato pulito sono lavori differenti.
Un avviso di modifica dei file può derivare da un aggiornamento legittimo o da un attacco. Ricevere l’avviso non conferma un’infezione, ed eliminare un elemento segnalato non dimostra di averne rimosso la causa. Confrontate percorso e momento della modifica con gli aggiornamenti eseguiti ed esaminate le prove.
Controllate prima amministratori inutilizzati, password condivise, plugin abbandonati e backup recuperabili. Il manuale WordPress sul rafforzamento della sicurezza descrive una gestione a più livelli. Se l’hosting offre già un firewall o uno scanner, definite le responsabilità del plugin e del fornitore.
Confrontare la protezione gratuita e a pagamento
| Plugin | Funzioni gratuite da valutare | Ambito a pagamento da verificare | Decisione principale |
|---|---|---|---|
| Wordfence Security | Firewall sull’endpoint, scansione, protezione del login e autenticazione a due fattori | Regole e firme malware in tempo reale, lista di blocco IP, supporto e prodotti di risposta agli incidenti | Potete esaminare risultati delle scansioni e richieste bloccate? |
| Kadence Security | Protezione del login, autenticazione a due fattori e politiche delle password | Funzioni Pro come dispositivi attendibili, login senza password e correzione automatica delle vulnerabilità | Politiche per gruppi di utenti e compatibilità con i vostri moduli di accesso |
| All-In-One Security (AIOS) | Firewall, protezione del login, autenticazione a due fattori e rilevamento delle modifiche ai file | Scansione malware, autenticazione avanzata, monitoraggio e supporto | Potete applicare le impostazioni gradualmente e verificare i requisiti server? |
Confrontate numero di siti, contratti di supporto e rinnovi oltre al costo della licenza. Acquistare un plugin è diverso dall’incaricare persone di indagare e ripulire un incidente. Un punteggio nella bacheca o il numero di installazioni non dimostrano l’idoneità al vostro sito.
Condizioni importanti per ciascun prodotto
Wordfence: quando potete gestire firewall e risultati delle scansioni
Wordfence esegue firewall, scansione dei file e protezione del login nell’ambiente WordPress. È un candidato quando chi gestisce il sito può distinguere gli aggiornamenti normali dalle modifiche sospette ed esaminare le richieste bloccate. Verificate anche durata delle scansioni, risorse usate e conservazione dei registri.
Una differenza rilevante tra Free e Premium riguarda il momento in cui arrivano le nuove regole firewall e firme malware, cioè i modelli usati per riconoscere codice dannoso. La documentazione Wordfence Free descrive un ritardo di 30 giorni dal rilascio a Premium. Free comprende comunque le protezioni esistenti e l’autenticazione a due fattori. Usate il confronto dei prodotti per distinguere le informazioni aggiornate sulle minacce dai servizi di intervento diretto.
Kadence Security: quando la priorità sono le politiche degli utenti
Il nome attuale nella directory è Kadence Security; istruzioni precedenti per iThemes Security o Solid Security possono mostrare menu diversi. Valutatelo per autenticazione a due fattori, requisiti delle password e protezione dai tentativi ripetuti, detta brute force, organizzate per gruppi di utenti. Amministratori e clienti richiedono politiche adatte ai loro ruoli e ai percorsi di accesso effettivi.
La scheda ufficiale colloca dispositivi attendibili, accesso senza password e correzione automatica delle vulnerabilità tra le funzioni Pro. Avvisi sulle vulnerabilità e correzioni automatiche sono diversi. Una funzione di protezione tramite patch non elimina la necessità di applicare l’aggiornamento di sicurezza dello sviluppatore originale o valutare l’abbandono di un prodotto non più supportato.
AIOS: quando volete valutare le singole impostazioni
AIOS include controlli di login, firewall e modifiche ai file. Merita un confronto se siete disposti a leggere ogni opzione e aggiungere protezione gradualmente. Rilevare una modifica è diverso dall’esaminare il contenuto per cercare malware: non considerate equivalenti tutte le funzioni chiamate scansione.
La pagina ufficiale AIOS distingue scansione malware e autenticazione avanzata Premium. Anche le funzioni basate su regole server dipendono dall’hosting. Per esempio, le regole che usano .htaccess non si applicano invariate a Nginx: controllate il supporto server del prodotto.
Preparare il recupero prima delle restrizioni
Preparate un backup recuperabile del sito e l’accesso all’hosting, poi annotate percorsi di login, account e integrazioni esterne. La guida all’installazione dei plugin tratta l’installazione. Assegnate una responsabilità chiara ai controlli di autenticazione e blocco sovrapposti, evitando di attivare la stessa funzione in più suite.
- Registrate una situazione iniziale funzionante. Provate login di amministratori e utenti normali, email di reimpostazione password, moduli e menu mobile. Includete le schermate di accesso separate del negozio o dell’area iscritti.
- Completate la configurazione iniziale. Verificate tipo di sito ed email amministratore. Dietro un proxy, controllate il riconoscimento dell’indirizzo IP del visitatore: trattare più persone come un unico indirizzo proxy può causare blocchi errati.
- Iniziate dalla protezione del login. L’autenticazione a due fattori, o two-factor authentication (2FA), richiede un fattore aggiuntivo oltre alla password. Configuratela su un account di gestione, conservate i codici di recupero e decidete quali ruoli devono usarla.
- Mantenete la sessione attuale mentre provate un’altra finestra. Verificate login e autenticazione in una finestra privata prima di uscire da tutte le sessioni. Quella amministrativa ancora aperta può aiutarvi a correggere un’impostazione incompatibile.
- Aggiungete una restrizione alla volta. Separate modifiche al firewall, CAPTCHA come verifica anti-bot e cambiamenti del percorso di login. Controllate mobile, moduli, negozio e automazioni, poi correggete la regola difettosa in base alle prove.
- Assegnate la revisione degli avvisi. Scegliete un indirizzo monitorato, frequenza delle scansioni e conservazione. Distinguete notifiche rumorose da avvisi importanti e confermate che i controlli programmati vengano eseguiti.
Verificare un accesso reale dopo aver configurato 2FA
In Wordfence aprite Wordfence → Login Security per collegare un’app di autenticazione, ottenere i codici di recupero e attivare la funzione con il codice dell’app. I codici di recupero sono un’alternativa se perdete l’autenticatore: non conservate l’unica copia sullo stesso telefono. Completate una prova di accesso reale prima di chiudere la sessione originale.
Un modulo di login personalizzato dal tema o la schermata account di WooCommerce possono comportarsi diversamente dal login standard. Verificate integrazioni e ruoli nelle opzioni Login Security e provate la schermata effettiva seguendo le istruzioni ufficiali 2FA. Se i codici non funzionano, controllate di aver scelto il sito giusto e verificate l’ora del dispositivo e del server.
Prima di modificare la politica di autenticazione di tutto il sito, identificate servizi che usano REST, XML-RPC o password per applicazioni. REST e XML-RPC sono interfacce per la comunicazione delle applicazioni con WordPress. Il login del browser e l’autenticazione tramite interfaccia di programmazione delle applicazioni (API) possono seguire percorsi diversi. Stabilite il meccanismo usato dall’integrazione e consultate le istruzioni di compatibilità prima di imporre un rifiuto generale.
Se l’amministratore non riesce più ad accedere
Annotate nome del prodotto, motivo e ora mostrati nella pagina di errore. Per problemi dell’autenticatore usate i metodi di recupero; per blocchi di indirizzi IP o richieste controllate procedure e registri. Wordfence documenta email di sblocco amministratore e altre possibilità nella guida ai problemi di blocco. L’email che non arriva richiede un’indagine separata dal blocco stesso.
Se non sono disponibili né bacheca né recupero ordinario, il proprietario deve seguire la procedura del prodotto con il supporto dell’hosting o della sicurezza. Non rimuovete permanentemente ogni protezione né eliminate file arbitrariamente senza individuare la causa. Recuperato l’accesso, correggete regola o metodo di autenticazione difettoso, provate l’accesso normale e ripristinate la protezione prevista.
Una vecchia risposta di blocco può restare nelle cache delle pagine, dell’hosting o della rete di distribuzione dei contenuti (CDN). Distinguete un falso positivo che colpisce un visitatore legittimo dalle prove di compromissione. Se sospettate un’infezione, conservate file, registri e stato attuale e definite causa, impatto e ambito di recupero con il fornitore responsabile. Installare un altro plugin non dimostra che la pulizia sia completa.
