Deskmode Pro Suite – Customize & Secure Your WordPress Admin
A WordPress admin plugin to Customize and secure your WordPress dashboard
Opzioni login: nascondere wp-login.php, impostare orari di accesso a WordPress
Cambiare URL login WordPress
Ogni sito WordPress risponde allo stesso indirizzo, con lo stesso form grigio e gli stessi messaggi di errore. È su questa prevedibilità che sono costruiti gli attacchi automatici. Deskmode ti permette di spostare il login dove sai solo tu, vestirlo con il tuo marchio, limitare le ore in cui risponde.
Come funzionano il custom url e gli orari di accesso a WordPress
Aaccesso personalizzato: nascondere wp-login.php
I bot non cercano il tuo sito. Percorrono un elenco di indirizzi e a ciascuno chiedono /wp-login.php. Cambia quell'indirizzo e la gran parte del traffico che oggi colpisce il tuo login smette semplicemente di arrivare: non perché sia stato bloccato, ma perché non ha trovato la porta.
Imposti il tuo slug e il vecchio indirizzo smette di rispondere: una richiesta al percorso predefinito restituisce un 404 normalissimo, come qualsiasi altra pagina inesistente. Niente lascia intendere che sotto ci sia WordPress, e niente suggerisce che il form sia stato spostato altrove.
Cambiare URL login WordPress
- Slug di accesso personalizzato, scelto da te e modificabile in qualsiasi momento.
- Il percorso predefinito risponde con un 404 e non rivela nulla del sito.
- Gli URL di registrazione e recupero password seguono automaticamente il nuovo indirizzo, così i link nelle email di sistema continuano a funzionare.
- Al salvataggio ti viene mostrato un link di recupero: conservalo, è il modo per rientrare se dimentichi lo slug.
Orari di accesso a WordPress
Quasi tutti i team accedono in orario di lavoro. Quello che arriva alle quattro del mattino o è un'emergenza o è un attacco, e la seconda ipotesi è molto più frequente. Gli orari di accesso ti permettono di definire le finestre in cui l'accesso è consentito: fuori da quelle il form rifiuta le credenziali anche quando sono corrette.
- Una finestra oraria per ogni giorno della settimana (giorni consentiti), così il fine settimana può essere chiuso del tutto o aperto a orario ridotto.
- Fuso orario del sito o il tuo, perché un team distribuito non resti fuori per colpa dell'orologio del server.
- I tentativi fuori orario vengono registrati come ogni altro rifiuto, con IP e Paese: uno schema ricorrente alle tre di notte si vede nel log.
- Il tuo IP viene escluso automaticamente dalle limitazioni. Se la tua connessione non è dotata di IP statico e il tuo ip nel frattempo è cambiato, non potrai più accedere fuori del range orario autorizzato. In questo caso, se hai la necessita di entarre nella tua dashboard WordPress, puoi disabiliare la funzionalità dal file di configurazione wp-config.php.
Nessuna di queste impostazioni sostituisce i limiti ai tentativi e i blocchi della sicurezza login. Lavorano insieme: questo modulo rende solamente l'accesso più difficile da trovare.
Prima di cambiare lo slug: conserva il link di accesso!
Domande frequenti
Opzioni di accesso: le domande più frequenti
Cinque risposte sull’indirizzo di accesso personalizzato, sulle fasce orarie e su come non chiudersi fuori.
Come posso cambiare URL login WordPress?
Scegli la parola che vuoi — per esempio accesso-studio — e da quel momento la pagina risponde su tuosito.it/accesso-studio. L’indirizzo standard smette di rispondere e chi lo prova riceve un “non trovato”, esattamente come per qualsiasi altra pagina inesistente.
Salva il nuovo indirizzo in un gestore di password prima di attivarlo, non su un foglietto. E se lo perdi la costante ADMIN3WEBBLUE_DISABLE_HARDENING in wp-config.php riporta tutto allo stato standard: serve accesso ai file del server, quindi è una via d’uscita per te e non per un estraneo.
Nascondere wp-login.php rende il sito davvero più sicuro?
Va detto con precisione: non rende il login più robusto, lo rende meno visibile. È sicurezza per oscurità, e chi ha scelto te come bersaglio l’indirizzo lo trova comunque.
Quello che ottieni è un crollo del volume, perché la quasi totalità degli attacchi automatizzati prova wp-login.php e basta: meno rumore nei log, meno carico sul server, meno tentativi da esaminare. La protezione vera resta sotto, ed è fatta dal limite sui tentativi falliti e dai due fattori.
Come funzionano gli orari di accesso WordPress?
Scegli un’ora di inizio e una di fine, entrambe in ore piene. Da 7 a 22 significa accesso consentito dalle 07:00 alle 22:59: l’ora finale è inclusa per intero, quindi non serve impostare 23 per coprire la serata. Sotto scegli i giorni della settimana, e se non ne spunti nessuno la fascia vale tutti i giorni.
Il senso è semplice: gli attacchi automatizzati non hanno orari, le persone sì. Su un sito dove nessuno lavora dopo le otto di sera, ogni tentativo notturno è sospetto per definizione.
Quale orologio viene usato, il mio o quello del server?
Quello del sito, cioè il fuso orario impostato in Impostazioni › Generali di WordPress. È il dettaglio che genera più confusione: molti hosting tengono il server su UTC, quindi se il fuso del sito non è configurato bene la fascia scivola di una o due ore rispetto a quella che ti aspetti.
Un controllo di trenta secondi su quella schermata prima di attivare la restrizione evita la telefonata del cliente che alle nove di mattina non riesce a entrare.
Cosa succede a chi è già collegato, e rischio di restare fuori?
Le sessioni in corso non vengono interrotte: la restrizione agisce sull’accesso, quindi chi è entrato alle 21:50 continua a lavorare anche dopo le 23 e verrà fermato solo alla prossima autenticazione. Interrompere una sessione a metà farebbe perdere lavoro non salvato a chi ha fatto tutto correttamente.
Quanto al rischio di chiudersi fuori, al salvataggio il tuo indirizzo IP attuale viene esentato automaticamente, e gli indirizzi nella allowlist hanno comunque la precedenza su qualsiasi regola oraria.