Un solo plugin di sicurezza può sostituire più plugin di sicurezza per WordPress?

Perché è importante

Spesso un solo plugin di sicurezza WordPress può fare il lavoro di dieci, con un unico registro e un'unica lista di IP consentiti. Su WordPress la sicurezza tende a crescere un problema alla volta. I bot trovano la pagina di login, e aggiungi un plugin per nasconderla. Poi arrivano i tentativi di indovinare la password, e aggiungi un plugin che limita i login. Poi un plugin per la 2FA, uno per disattivare XML-RPC, un servizio contro lo spam nei commenti, un honeypot per ogni plugin di moduli, qualcosa per le registrazioni false e qualcosa per i bot aggressivi.

Ognuno di questi plugin, da solo, è ragionevole. Insieme creano problemi più subdoli:

• Tanti registri separati. Un login bloccato sta in un plugin, una registrazione bloccata in un altro, un bot bloccato in un terzo. Nessuno vede il quadro completo.
• Tante liste di IP consentiti. Consenti il tuo IP in un posto e vieni bloccato da un altro.
• Visioni diverse dello stesso visitatore. Un plugin legge il vero IP dietro Cloudflare, un altro legge quello del proxy. Uno blocca un bot, l'altro blocca tutti.
• Più cose da aggiornare. Ogni plugin è codice da tenere aggiornato, e altre porte da tenere d'occhio.
• Conflitti. Due plugin che riscrivono l'URL di login, o che contano entrambi lo stesso login fallito, producono bug strani.

Errori comuni

• Cambiare tutto in una volta. Sposta un lavoro alla volta e verifica tra un passaggio e l'altro.
• Perdere le impostazioni per strada. Prima di disattivare qualsiasi cosa, annota il vecchio percorso di login nascosto, gli IP consentiti e i limiti.
• Lasciare una scopertura. Se la vecchia configurazione chiudeva XML-RPC e quella nuova non ancora, hai aperto una porta. Attiva il nuovo livello prima di disattivare il vecchio plugin.
• Aspettarsi che un solo plugin faccia tutto. Nessun plugin copre ugualmente bene la rimozione del malware, le regole firewall, i backup e il rafforzamento del login. Chiarisci quale lavoro svolge ciascuno strumento.

Senza plugin

Puoi ridurre il numero di plugin senza aggiungerne di nuovi, spostando i lavori semplici nel codice:

• Login via XML-RPC: il filtro xmlrpc_enabled (vedi come disattivare XML-RPC).
• Fughe di nomi utente: qualche filtro per REST, scansioni degli autori e sitemap (vedi come nascondere i nomi utente).
• Commenti: chiudili da Impostazioni → Discussione se non ti servono.

Ogni snippet è piccolo, ma messi insieme diventano un plugin personalizzato che mantieni solo tu, senza registro, senza una lista di IP consentiti condivisa e senza test. Per uno sviluppatore con un solo sito il compromesso può andare bene. Diventa più pesante con ogni sito in più che gestisci.

Se qualcosa va storto

• Dopo aver cambiato plugin per nascondere il login non riesci ad accedere. Il percorso del vecchio plugin non funziona più. Aggiungi define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); a wp-config.php, oppure leggi Bloccato fuori dopo aver cambiato l'URL di login.
• I moduli non inviano più. Due livelli antispam potrebbero controllare lo stesso modulo. Disattiva il vecchio componente honeypot, poi svuota la cache delle pagine.
• I blocchi sono raddoppiati. Due plugin che limitano i login contano gli stessi tentativi. Disattiva quello vecchio.

Con Hushfort

Hushfort Security è un plugin di sicurezza gratuito per WordPress; Hushfort Pro è il componente aggiuntivo a pagamento che si installa sopra.

Hushfort riunisce dieci lavori in un solo plugin: Nascondi login, Limiti di login, Due fattori (2FA), Blocco backdoor per XML-RPC, Scudo nomi utente, Scansione della superficie, Antispam, Blocco registrazioni false, Difesa da flood e bot falsi e Alleggerisci. Ognuno è un modulo che attivi separatamente. Nascondi login, la Scansione della superficie e la protezione antispam di base sono gratuiti; gli altri livelli arrivano con Hushfort Pro.

• Una sola bacheca, con una scheda di stato per livello.
• Una sola Cronologia dei tentativi falliti e bloccati, filtrabile.
• Un'unica lettura dell'IP e un'unica lista di IP consentiti, condivise da tutti i moduli.
• Nessun servizio di terze parti, nessun CAPTCHA, nessuna telemetria.

Cosa non fa, detto chiaramente: scansione antimalware, regole firewall, blocco per paese, backup. Per questi tieni strumenti dedicati; Hushfort si abbina bene con loro.