Come configurare un Web Application Firewall (WAF) per WordPress
Un Web Application Firewall (WAF) è uno scudo di sicurezza che analizza il traffico in entrata verso il tuo sito WordPress e blocca le richieste malevole prima che raggiungano il server. Protegge da attacchi come SQL injection, Cross-Site Scripting (XSS), brute force e exploit di vulnerabilità note. In questa guida ti spiego come funziona un WAF e come configurarlo per WordPress.
Come funziona un WAF
Un WAF si posiziona tra il visitatore e il tuo server WordPress. Ogni richiesta HTTP viene analizzata in base a un set di regole di sicurezza. Se la richiesta sembra legittima, viene inoltrata al server. Se corrisponde a un pattern di attacco noto, viene bloccata.
I WAF possono operare in due modi:
- WAF basato su cloud (DNS-level): il traffico passa prima attraverso i server del provider WAF (es. Cloudflare, Sucuri). Il WAF filtra il traffico e inoltra solo le richieste pulite al tuo server. Non richiede installazione sul server.
- WAF basato su plugin (application-level): un plugin WordPress come Wordfence analizza le richieste direttamente sul tuo server. Più semplice da configurare ma usa risorse del server.
WAF cloud: Cloudflare
Cloudflare offre un WAF integrato nel suo servizio CDN. Il piano gratuito include protezione DDoS base e regole di sicurezza essenziali. Il WAF completo con regole personalizzabili è disponibile dal piano Pro (20$/mese).
Come configurare il WAF di Cloudflare per WordPress:
- Accedi alla dashboard Cloudflare e seleziona il tuo dominio.
- Vai su Security → WAF.
- Nella sezione Managed Rules, attiva il set di regole “Cloudflare Managed Ruleset” che include protezione contro vulnerabilità comuni.
- Attiva anche “Cloudflare OWASP Core Ruleset” per protezione contro le vulnerabilità OWASP Top 10.
- Nella sezione Custom Rules, puoi creare regole specifiche per WordPress:
- Blocca l’accesso a xmlrpc.php se non lo usi.
- Limita le richieste a wp-login.php per prevenire brute force.
- Blocca l’accesso diretto ai file PHP nella cartella wp-content/uploads/.
Vantaggi: nessun carico sul server, protezione DDoS, CDN incluso. Svantaggio: il WAF completo richiede un piano a pagamento.
WAF cloud: Sucuri
Sucuri è un servizio di sicurezza specifico per siti web che offre un WAF cloud potente. È particolarmente popolare nell’ecosistema WordPress.
Funzionalità del WAF Sucuri:
- Protezione contro SQL injection, XSS, brute force e exploit di vulnerabilità WordPress note.
- Virtual patching: quando viene scoperta una vulnerabilità in un plugin WordPress, Sucuri aggiunge una regola WAF per bloccarla prima ancora che il plugin venga aggiornato.
- Protezione DDoS inclusa.
- CDN integrato con nodi distribuiti nel mondo.
- Monitoraggio uptime e blacklist.
Prezzo: da 199$/anno per il piano base (un sito). Include anche la rimozione malware se il sito viene compromesso.
WAF plugin: Wordfence
Wordfence è il plugin di sicurezza WordPress più installato (oltre 4 milioni di installazioni) e include un WAF application-level.
Come configurare il WAF di Wordfence:
- Installa e attiva Wordfence dalla repository di WordPress.
- Vai su Wordfence → Firewall.
- Inizialmente il firewall è in modalità apprendimento: analizza il traffico del tuo sito per una settimana per capire quali richieste sono normali.
- Dopo il periodo di apprendimento, passa alla modalità attiva (Enabled and Protecting).
- Per la protezione massima, abilita la protezione estesa che modifica il file .htaccess per analizzare le richieste prima che WordPress venga caricato.
Vantaggi: gratuito, facile da installare, scanner malware incluso. Svantaggi: usa risorse del server, le regole premium richiedono l’abbonamento (119$/anno), non protegge da attacchi DDoS a livello rete.
WAF plugin: NinjaFirewall
NinjaFirewall è un’alternativa meno conosciuta ma tecnicamente superiore a Wordfence come WAF. Si carica prima di WordPress e dei plugin, intercettando le richieste malevole a un livello più basso.
Punti di forza:
- Si esegue come un standalone firewall prima del caricamento di WordPress, consumando meno risorse.
- Regole di filtraggio molto potenti e personalizzabili.
- Monitoraggio delle modifiche ai file.
- Versione gratuita già molto efficace.
Quale WAF scegliere
- Budget zero + protezione base → Wordfence gratuito. Facile da installare e sufficiente per la maggior parte dei siti.
- Massima protezione + CDN → Cloudflare Pro. WAF cloud che non carica il server, con CDN e protezione DDoS.
- Sito già compromesso + protezione totale → Sucuri. Include rimozione malware e virtual patching.
- Prestazioni massime del WAF → NinjaFirewall. Leggero e potente per chi vuole un firewall senza il peso di Wordfence.
Evitare i conflitti tra WAF
Non usare mai due WAF contemporaneamente. Ad esempio, Cloudflare WAF + Wordfence possono creare conflitti: doppi blocchi, falsi positivi e problemi di accesso. Se usi un WAF cloud come Cloudflare, disattiva il firewall di Wordfence e usa Wordfence solo per lo scanner malware. Se usi Wordfence come WAF, non attivare le regole WAF di Cloudflare.
Serve assistenza?
Configurare un WAF senza causare falsi positivi o blocchi indesiderati richiede esperienza. Se vuoi proteggere il tuo sito WordPress con un firewall configurato correttamente, il team di SoccorsoWP può occuparsene. Apri un ticket e blinda il tuo WordPress.
