Come cambio l'URL di login (accesso) di WordPress?

Perché è importante

Cambiare l'URL di login di WordPress sposta l'accesso su un percorso che conosci solo tu, e i bot smettono di trovare la porta. Ogni sito WordPress al mondo risponde agli stessi due indirizzi: /wp-login.php e /wp-admin. I bot lo sanno. Non hanno bisogno di trovare la tua pagina di login: la richiedono semplicemente su ogni sito che riescono a raggiungere e iniziano a indovinare le password.

Spostare il login su un percorso che conosci solo tu toglie il tuo sito da quella folla. Gli script automatici che tentano le password trovano un 404 e passano oltre. I tuoi log diventano più tranquilli, il server lavora meno e i tentativi che restano sono più facili da leggere.

Cosa non fa. Nascondere il login è un livello di offuscamento. Toglie di mezzo il bersaglio facile, ma non chiude a chiave nulla. WordPress ha altre porte, la più importante è xmlrpc.php, che accetta nomi utente e password per conto suo. Una pagina di login nascosta con la porta XML-RPC aperta è come un cancello principale nascosto accanto a un cancello laterale senza serratura. Considera questo passaggio il primo di diversi:

• limita i tentativi di login falliti,
• aggiungi il login a due fattori per gli amministratori,
• chiudi il login via XML-RPC e le fughe di nomi utente,
• usa password robuste e uniche e mantieni WordPress aggiornato.

Errori comuni

• Disconnettersi prima di provare. Prova sempre il nuovo percorso in una finestra privata mentre la scheda principale è ancora connessa. Se qualcosa non va, puoi ancora sistemarlo.
• Non salvare l'URL. "Me lo ricorderò" è la causa più comune di accesso bloccato. Mettilo nel tuo gestore di password.
• Scegliere un percorso ovvio. /login, /admin e /secure sono le prime cose che i bot provano. Usa qualcosa che non sia una semplice parola comune.
• Dimenticare le altre porte. Se il login via XML-RPC è ancora aperto, i tentativi di password si spostano semplicemente lì. Leggi come disattivare XML-RPC in sicurezza.
• Mettere in cache il nuovo percorso. Se una CDN o una cache delle pagine memorizza la pagina di login, il modulo può smettere di funzionare. Escludi il percorso dalla cache, come faresti per wp-login.php.

Senza plugin

In WordPress non c'è un'impostazione per cambiare l'URL di login. I metodi manuali sono:

Rinominare wp-login.php. Alcune guide suggeriscono di copiare wp-login.php con un nuovo nome di file e sostituire ogni riferimento al suo interno. Si rompe nel momento in cui WordPress si aggiorna, perché l'aggiornamento ripristina il file originale e la tua copia diventa obsoleta. Non lo consigliamo.

Limitare il file a livello di server. Su Apache puoi limitare wp-login.php al tuo indirizzo IP in .htaccess:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

È una soluzione solida se lavori sempre da un unico indirizzo fisso. Ti chiude fuori il giorno in cui il tuo IP cambia, e non serve su configurazioni Nginx o LiteSpeed senza una regola equivalente. Inoltre non nasconde i reindirizzamenti di wp-admin.

Usare l'autenticazione HTTP di base. Molti hosting ti permettono di proteggere con password wp-login.php dal loro pannello di controllo. Funziona, ma aggiunge una seconda finestra di login per tutti e può rompere le chiamate ad admin-ajax.php dal front-end se viene applicata in modo troppo esteso.

Il riassunto onesto: i metodi manuali o si rompono con gli aggiornamenti o dipendono da un IP fisso. Un plugin che intercetta la richiesta è più semplice e sopravvive agli aggiornamenti.

Se qualcosa va storto

• Il nuovo percorso mostra un 404. Controlla che il percorso non contenga errori di battitura, poi svuota la cache delle pagine e della CDN e riprova in una nuova finestra privata.

• Sei rimasto chiuso fuori. Aggiungi questa riga a wp-config.php, sopra "That's all, stop editing!":

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Il modulo di login si apre subito su yoursite.com/new-path.

• Non hai accesso ai file di wp-config.php? Elimina la cartella hushfort-security da /wp-content/plugins/ via FTP o con il file manager del tuo hosting. WordPress torna al suo login predefinito.

La guida completa al recupero è in Accesso bloccato dopo aver cambiato l'URL di login.

Con Hushfort

Nascondi login è incluso in Hushfort Security, il plugin di sicurezza gratuito per WordPress.

Il livello Nascondi login di Hushfort non fa nulla finché non scegli un percorso, quindi attivarlo non può chiuderti fuori per errore. Una volta impostato un percorso:

• wp-login.php e wp-admin restituiscono un 404 (oppure, se preferisci, reindirizzano alla homepage o a un URL a tua scelta).
• admin-ajax.php, la REST API, WP-Cron e XML-RPC continuano a funzionare, quindi il tuo tema e i plugin si comportano come prima.
• La bacheca conserva una scheda "Se perdi l'accesso" con il tuo URL di login attuale e la riga di emergenza.
• Disattivando il plugin, WordPress torna al suo login normale.

Nascondi login è incluso nel plugin gratuito. Hushfort Pro aggiunge Limiti di login, Due fattori (2FA) e Blocco backdoor per XML-RPC, così il login nascosto è un muro tra tanti, non l'unico.