Sicurezza WordPress
Protezione brute-force e login WordPress
I bot attaccano wp-login.php e xmlrpc.php in continuazione con liste di credenziali rubate. Blocco dei login, limitazione tentativi, 2FA, controllo XML-RPC e rate limiting a livello server trasformano quel diluvio in rumore innocuo mentre gli admin reali accedono normalmente.
Punti chiave
- Limitare i tentativi di login con lockout progressivi e notifiche agli admin.
- Imporre 2FA su tutti gli account amministratore ed editor senza eccezioni.
- Disabilitare o limitare XML-RPC a IP specifici o endpoint richiesti.
- Non rinominare nulla (l'obscurity fallisce); controllare con limiti reali.
- Limitare gli URL di login al livello server/WAF, non solo in PHP.
- Usare nomi utente admin unici, mai «admin», più password oltre 16 caratteri.
- Avvisare sui login riusciti da nuovi paesi o dispositivi.
- Registrare e revisionare settimanalmente gli eventi di autenticazione come parte del monitoraggio.
Nota dal campo
XML-RPC è l'endpoint di login che la maggior parte dimentica: blindi pure wp-login quanto vuole, i bot entreranno dalla porta laterale finché xmlrpc.php non è disabilitato o limitato.
Domande frequenti
La 2FA infastidirà i redattori?
Le app authenticator moderne aggiungono secondi. La bonifica di un account compromesso costa giorni: il confronto è banale.
Nascondere la pagina di login?
Riduce il rumore ma non è protezione. Mantenga URL standard con throttling reale e 2FA.
E il login passwordless?
Magic link e WebAuthn sono ottimi upgrade dove la base utenti li supporta.
Come gestire molti redattori?
Minimo privilegio per ruolo, account individuali e revisioni periodiche degli accessi.
Come Kinetikatech aiuta con sicurezza wordpress
Questo è ciò che facciamo ogni giorno: Hardening, rimozione malware e protezione continua per WordPress — plugin, temi, accessi e integrità. Il nostro servizio Sicurezza WordPress e Manutenzione siti lo copre dall'inizio alla fine: valutazione, implementazione, monitoraggio 24/7 e risposta di emergenza in 30 minuti.