Un attacco brute force \u00e8 un tentativo sistematico di indovinare le credenziali di accesso provando combinazioni infinite di username e password. Strumenti automatizzati come Hydra, WPScan e Medusa possono testare centinaia di migliaia di tentativi al secondo, sfruttando liste di password comuni e dizionari di milioni di combinazioni. WordPress, essendo il CMS pi\u00f9 diffuso, \u00e8 il bersaglio preferito.<\/p>\n
La pagina La misura pi\u00f9 immediata \u00e8 limitare il numero di tentativi di login falliti. Plugin come Login LockDown e Limit Login Attempts Reloaded bloccano temporaneamente un indirizzo IP dopo un numero configurabile di fallimenti. Per esempio, puoi impostare 3 tentativi consentiti in 5 minuti, con un blocco di 15 minuti dopo il superamento.<\/p>\n Wordfence include funzionalit\u00e0 built-in di rate limiting che vanno oltre il semplice login: puoi limitare anche le richieste a xmlrpc.php e alle pagine di reset password. La configurazione ottimale prevede blocchi progressivi: pi\u00f9 tentativi fallisce un IP, pi\u00f9 lungo diventa il blocco successivo, fino al ban permanente.<\/p>\n Google reCAPTCHA v3 \u00e8 la scelta migliore per bilanciare sicurezza e usabilit\u00e0. Funziona in background analizzando il comportamento dell’utente senza richiedere interazioni come “clicca le foto dei semafori”. Puoi integrarlo su wp-login, registrazione, reset password e form dei commenti con plugin come Advanced noCaptcha & invisible Captcha.<\/p>\n Se preferisci non dipendere da Google, hCaptcha \u00e8 un’alternativa valida che rispetta maggiormente la privacy. Per siti con basso traffico, anche il classico CAPTCHA matematico o testuale \u00e8 efficace e non richiede servizi esterni.<\/p>\n La 2FA aggiunge un livello di sicurezza che rende quasi impossibile l’accesso non autorizzato anche se la password viene compromessa. Plugin come Google Authenticator, Wordfence Login Security e Two Factor Support forzano l’utente a inserire un codice temporaneo generato dall’app dopo aver inserito correttamente la password.<\/p>\n Per gli amministratori, la 2FA dovrebbe essere obbligatoria. I ruoli con minori permessi possono attivarla volontariamente. Alcuni plugin offrono metodi alternativi come codici via email, SMS o chiavi di sicurezza hardware (FIDO U2F).<\/p>\n Nascondere la pagina di login standard \u00e8 una strategia difensiva semplice ma efficace. Plugin come WPS Hide Login e iThemes Security permettono di cambiare Questa tecnica non ferma un attaccante determinato, ma blocca la stragrande maggioranza degli attacchi automatizzati che cercano solo la URL standard. Combinala con la disabilitazione completa di xmlrpc.php se non utilizzi app mobile o servizi che ne hanno bisogno.<\/p>\n Per i server Apache, il file Su Nginx, la configurazione equivalente passa per Un WAF a livello DNS come Cloudflare o Sucuri pu\u00f2 bloccare gli attacchi brute force prima che raggiungano il tuo server. Cloudflare offre regole di rate limiting che puoi personalizzare: per esempio, blocca qualsiasi IP che faccia pi\u00f9 di 10 richieste a wp-login.php in 60 secondi. Le regole Page Rule di Cloudflare permettono di impostare sfide CAPTCHA per specifiche pagine quando vengono richieste troppo frequentemente.<\/p>\n I log degli accessi sono una fonte preziosa di intelligence. Analizzali settimanalmente per individuare pattern anomali: un’impennata di tentativi da IP esteri pu\u00f2 indicare un attacco in corso. Wordfence fornisce una dashboard dettagliata con cronologia, geolocalizzazione e contromisure automatiche. Salva i log in un database separato o in un file esterno per non appesantire il sito.<\/p>\n Una password forte \u00e8 lunga almeno 12 caratteri, combina maiuscole, minuscole, numeri e simboli e non contiene parole del dizionario. Plugin come Password Policy Manager e Force Strong Passwords applicano questi requisiti automaticamente, impedendo agli utenti di impostare password deboli. Educa i tuoi utenti con linee guida chiare e considera l’uso di un password manager aziendale.<\/p>\n Prevenire gli attacchi brute force su WordPress richiede un approccio a pi\u00f9 livelli: limitazione dei tentativi, 2FA, modifica dell’URL di login, firewall e password robuste. Nessuna singola misura \u00e8 infallibile, ma la combinazione di tutte eleva la sicurezza a un livello che dissuade anche gli attaccanti pi\u00f9 determinati. Implementa queste protezioni oggi e riduci drasticamente il rischio di compromissione del tuo sito.<\/p>","protected":false},"excerpt":{"rendered":" Cosa sono gli attacchi brute force Un attacco brute force \u00e8 un tentativo sistematico di indovinare le credenziali di accesso provando combinazioni infinite di username e password. Strumenti automatizzati come Hydra, WPScan e Medusa possono testare centinaia di migliaia di tentativi al secondo, sfruttando liste di password comuni e dizionari di milioni di combinazioni. WordPress, […]<\/p>\n","protected":false},"author":1,"featured_media":2029,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_gspb_post_css":"","ai_primary_source":"Studio Immens Blog","visibility_scope":"both","ai_summary":"Cosa sono gli attacchi brute force Un attacco brute force \u00e8 un tentativo sistematico di indovinare le credenziali di accesso provando combinazioni infinite di username e password. Strumenti automatizzati come Hydra, WPScan e Medusa possono testare centinaia di migliaia di tentativi al secondo, sf...","ai_intent":"informative","ai_related_resources":"","ai_priority":5,"ai_entity_type":"Article","ai_is_based_on":"https:\/\/blog.studioimmens.com\/prevenire-attacchi-brute-force-wordpress\/","ai_citations":"","ai_mentions":"","ai_speakable_selector":"","ai_chunk_hints":"Prevenire, attacchi, brute, force","footnotes":""},"categories":[40],"tags":[],"ai_visibility":[],"class_list":["post-1961","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sviluppo-web"],"blocksy_meta":[],"_links":{"self":[{"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/posts\/1961","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/comments?post=1961"}],"version-history":[{"count":1,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/posts\/1961\/revisions"}],"predecessor-version":[{"id":2252,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/posts\/1961\/revisions\/2252"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/media\/2029"}],"wp:attachment":[{"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/media?parent=1961"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/categories?post=1961"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/tags?post=1961"},{"taxonomy":"ai_visibility","embeddable":true,"href":"https:\/\/studioimmens.com\/en\/wp-json\/wp\/v2\/ai_visibility?post=1961"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}wp-login.php<\/code> \u00e8 il punto di ingresso principale per questi attacchi. Gli scanner automatici cercano questa URL su ogni dominio che visitano. Anche xmlrpc.php<\/code> \u00e8 un vettore critico: permette l’autenticazione via POST senza interfaccia grafica e gli attaccanti lo usano per bypassare i limiti di tentativi impostati su wp-login, dato che una singola richiesta XML-RPC pu\u00f2 testare multiple credenziali contemporaneamente attraverso il metodo system.multicall<\/code>.<\/p>\nLimitare i tentativi di accesso<\/h2>\n
CAPTCHA e reCAPTCHA<\/h2>\n
Autenticazione a due fattori (2FA)<\/h2>\n
Modificare l’URL di login<\/h2>\n
\/wp-login.php<\/code> in un slug personalizzato come \/accedi<\/code> o \/area-riservata<\/code>. I tentativi di accesso alla vecchia URL vengono reindirizzati alla home o a una pagina 404.<\/p>\nBlocco IP via .htaccess<\/h2>\n
.htaccess<\/code> pu\u00f2 essere configurato per bloccare indirizzi IP o intere sottoreti note per attivit\u00e0 malevole. Puoi creare una whitelist di IP autorizzati all’accesso all’area amministrativa se lavori sempre dalla stessa connessione. In alternativa, usa servizi come Fail2ban sul server per bloccare automaticamente gli IP dopo un certo numero di tentativi falliti, analizzando i log di accesso del server web.<\/p>\nnginx.conf<\/code> con direttive deny<\/code> e allow<\/code>. In entrambi i casi, verifica periodicamente le liste nere per evitare di bloccare utenti legittimi.<\/p>\nWeb Application Firewall (WAF)<\/h2>\n
Monitoraggio dei tentativi falliti<\/h2>\n
Politiche per password sicure<\/h2>\n
Conclusioni<\/h2>\n