Hardening WordPress: chiudi le tre porte più usate

Nella maggior parte dei siti sì, ed è la ragione per cui qui è bloccato di serie. XML-RPC è un’interfaccia storica che consente anche di autenticarsi, e lo fa aggirando il captcha e l’autenticazione a due fattori: proteggere il modulo di login lasciandola aperta significa mettere una serratura sulla porta e lasciare la finestra accostata.

Serve solo in casi precisi: la vecchia app mobile di WordPress, alcune funzioni di Jetpack, pingback e trackback. Se non usi nessuna di queste, tenerla chiusa non ha effetti collaterali. La schermata mostra lo stato attuale in chiaro — raggiungibile o bloccata — con un link per verificarlo dall’esterno invece di doverti fidare.

WordPress, in configurazione predefinita, rivela i nomi utente in almeno quattro modi: gli indirizzi /?author=1, l’endpoint /wp-json/wp/v2/users della REST API, la sitemap degli autori e i dati oEmbed. Un attaccante li usa per sapere chi attaccare, perché metà del lavoro di un attacco a forza bruta è indovinare il nome utente.

L’opzione chiude tutte e quattro le vie in un colpo solo. Gli utenti collegati che hanno il permesso di elencare gli account continuano a vederli normalmente: si chiude la porta ai visitatori, non ai tuoi collaboratori.

Va detto con precisione: non rende il login più robusto, lo rende meno visibile. È sicurezza per oscurità, e chi ha scelto te come bersaglio l’indirizzo lo trova comunque.

Quello che ottieni è un crollo del volume: la quasi totalità degli attacchi automatizzati prova wp-login.php e basta, e con la pagina spostata riceve un “non trovato”. Meno rumore nei log, meno carico sul server, meno tentativi da esaminare. Sotto restano il limite sui tentativi falliti e i due fattori, che sono la protezione vera.

La costante ADMIN3WEBBLUE_DISABLE_HARDENING in wp-config.php riporta tutto allo stato standard: wp-login.php torna a rispondere e XML-RPC riprende il comportamento predefinito. Serve accesso ai file del server, quindi è una via d’uscita per te e non per un estraneo.

Per lo stesso motivo, prima di attivare l’indirizzo personalizzato conviene salvarlo dove lo ritrovi: un gestore di password, non un foglietto.

No, e chi lo promette sta vendendo tranquillità più che software. Queste tre chiudono le porte che gli attacchi automatizzati provano per prime, ma l’hardening WordPress è un insieme più ampio: le raccomandazioni ufficiali di WordPress comprendono anche permessi dei file, aggiornamenti tempestivi, password robuste e scelta dell’hosting.

Il contributo di Deskmode è tradurre in interruttori ciò che altrimenti andrebbe scritto a mano nei file di configurazione, e affiancarci gli strumenti per accorgersi di quando qualcosa cambia: registro attività, notifiche e controlli sulla salute del sito.