Un aspetto di WordPress che purtroppo non aiuta a mantenere il proprio sito sicuro dagli attacchi è che la pagina di login è sempre la stessa: wp-login.php.
Basterà aggiungere questa stringa al dominio, e i malintenzionati potranno cercare di indovinare la tua password.
Il primo consiglio che ti do in assoluto è quello di scegliere nomi utente e password sicure. La combinazione admin – 123456 è da evitare come la peste, insomma!
Il secondo consiglio è quello di camuffare l’URL della tua pagina di login.
Ecco come fare con il plugin WPS Hide Login.
Per rendere WordPress più sicuro, usa WPS Hide Login
Vediamo a cosa serve il plugin WPS Hide Login (se usi WordPress in Italiano, potrebbe anche apparire come WPS Nascondi Login).
In poche parole, questo plugin ti aiuta a proteggere il tuo sito dagli accessi non autorizzati modificando il file wp-login.php e, di fatto, sostituendo gli url di accesso alla Bacheca con un url personalizzati (quindi, non saranno più i soliti /wp-admin e /wp-login).
In questo modo, gli hacker che cercheranno di ‘bucare’ il tuo sito riscontreranno maggiore difficolta nell’individuare la pagina di accesso. Questo strumento può rivelarsi particolarmente efficace anche per proteggere il tuo sito da bot automatici, che cercano di accedere a siti WordPress provando una sequenza, in modo molto veloce ed automatico, le credenziali più comuni usati dagli utenti.
Ricordi admin – 123456? Ecco, ci riuscirebbero al primo tentativo.
Ma con questo plugin, tutti i bot che cercheranno la pagina /wp-admin del tuo sito troveranno immediatamente un punto di blocco, poiché non incontreranno alcun form di login e riceveranno invece un errore 404.
Vediamo ora come puoi implementare la funzionalità offerta da questo plugin anche sul tuo sito.
Installa ed attiva WPS Hide Login
WPS Hide Login è disponibile all’interno della directory dei plugin gratuiti WordPress. Puoi quindi cercarlo direttamente dalla Bacheca, installarlo ed attivarlo.
Se preferisci, puoi anche scaricare dal sito ufficiale WordPress la cartella .zip del plugin e caricarla manualmente sul tuo sito.
Configura il plugin
Configurare WPS Hide Login è molto semplice. Attivato il plugin, naviga all’interno di Impostazioni > WPS Hide Login oppure dalla sezione Impostazioni > Generali e poi scorrendo fino alla fine della pagina, all’area WPS Hide Login.
Qui potrai inserire il nuovo URL da utilizzare per la pagina di accesso al tuo sito WordPress.
Inserisci anche la pagina che vuoi impostare per il redirect da wp-login.php. Puoi inserire la tua pagina 404, la home del sito oppure un’altra pagina qualunque.
Il resto viene tutto fatto dal plugin. In qualunque momento, potrai cambiare nuovamente l’URL di accesso tornando su questa schermata di impostazioni.
Alcune accortezza da adottare nella configurazione ed utilizzo del plugin
1) Prendi nota dell’URL
Il nuovo URL inserito all’interno di WPS Hide Login sarà, una volta salvata la nuova impostazione, l’unico punto di accesso al tuo sito. Assicurati quindi di prenderne nota!
Se ti dimentichi l’URL di accesso, puoi comunque disattivare WPS Hide Login via File Manager o FTP. Clicca qui per leggere il tutorial dove ti spiego come disattivare i plugin quando non si ha accesso alla Bacheca.
2) Disattiva la cache per la pagina di accesso
Se usi uno strumento di caching, come W3 Total Cache, WP Super Cache o altri, ottimo! Significa che hai fatto un passo importante per migliorare la performance del tuo sito.
Se però scegli di usare WPS Hide Login, assicurati di escludere dalla cache l’URL della nuova pagina di accesso al tuo sito.
Se usi WP Rocket, questo è gia configurato in modo che la nuova pagina di login sia automaticamente esclusa dalla cache. W3 Total Cache e WP Super Cache faranno invece apparire una notifica. In ogni caso, assicurati di lavorare su questa configurazione in quanto potrebbero altrimenti esserci problemi di accesso.
3) Attenzione al file .htaccess
Se usi altri plugin che modificano il file .htaccess, o se lo modifichi manualmente, potrebbero presentarsi errori per quanto riguarda WPS Hide Login. In poche parole, potresti rimanere chiuso fuori dal sito.
Se sospetti che un plugin che stai per installare vada ad agire sul file .htaccess, prova a contattare lo sviluppatore di WPS Hide Login e quello del nuovo plugin che vuoi usare, per verificare la compatibilità dei due strumenti.
4) Adotta comunque altre misure di sicurezza
Usare WPS Hide Login è solo uno dei tanti metodi a tua disposizione per rendere WordPress più sicuro.
Per prima cosa, è consigliabile cambiare la password del tuo account WordPress con regolarità. Per esempio, ogni tre mesi. Se non sai come cambiare la password su WordPress, ti consiglio di leggere questo tutorial.
Rivolgiti poi ad un esperto per valutare la situazione generale dello stato di protezione del tuo sito. Contatta il nostro servizio di Sicurezza Siti Web per mettere completamente in sicurezza il tuo sito.
Conclusione
In questa guida abbiamo visto come rendere WordPress più sicuro attraverso l’utilizzo di WPS Hide Login. Questo strumento permette di ‘depistare’ potenziali hacker e bot cambiando l’URL della pagina di accesso al tuo sito WordPress.
Ti e mai capitato di subire un attacco hacker?
Adotti altre misure di sicurezza sul tuo sito?
Hai dubbi o domande riguardo a WPS Hide Login?
Come sempre, ci vediamo nei commenti per parlarne. Alla prossima guida.
