La pagina di login di WordPress<\/a> (wp-login.php<\/span>) e la cartella wp-admin<\/span> sono i bersagli principali degli attacchi brute force<\/a>. I bot automatizzati provano migliaia di combinazioni di username e password ogni giorno. Una protezione efficace \u00e8 aggiungere un secondo livello di autenticazione HTTP<\/strong> a livello server: prima ancora che WordPress venga caricato, il server richiede credenziali aggiuntive. In questa guida ti mostro come configurare la protezione HTTP auth su wp-admin<\/strong> con Apache e Nginx.<\/p>\n L’HTTP Basic Authentication<\/strong> \u00e8 un meccanismo del web server (non di WordPress) che richiede username e password prima di accedere a una cartella o un file specifico. Quando un visitatore o un bot tenta di accedere a \/wp-admin\/<\/span> o wp-login.php<\/span>, il browser mostra un popup nativo che richiede le credenziali. Se le credenziali non sono corrette, il server risponde con un errore 401 senza mai caricare PHP o WordPress.<\/p>\n Questo ha due vantaggi fondamentali:<\/p>\n Per prima cosa, crea un file che contenga le credenziali. Questo file deve essere salvato fuori dalla document root<\/strong> per sicurezza (non accessibile dal web):<\/p>\n Il comando ti chieder\u00e0 di inserire e confermare la password. Il file .htpasswd<\/span> conterr\u00e0 l’username e la password criptata. Se vuoi aggiungere altri utenti, usa lo stesso comando senza il flag -c<\/span> (che crea il file da zero).<\/p>\n Crea o modifica il file .htaccess<\/span> dentro la cartella wp-admin\/<\/span> (non quello nella root di WordPress):<\/p>\n La cartella wp-admin \u00e8 protetta, ma wp-login.php<\/span> si trova nella root ed \u00e8 il vero bersaglio dei bot. Aggiungi queste righe al file .htaccess<\/span> nella root<\/strong> di WordPress:<\/p>\n Su Nginx la configurazione \u00e8 diversa. Modifica il file di configurazione del virtual host:<\/p>\n Dopo la modifica, ricarica la configurazione Nginx con nginx -t && systemctl reload nginx<\/span>.<\/p>\n C’\u00e8 un problema importante da gestire: WordPress usa il file wp-admin\/admin-ajax.php<\/span> per le richieste AJAX del front-end (form di contatto, caricamento dinamico di contenuti, plugin che usano AJAX). Se proteggi tutta la cartella wp-admin, queste richieste AJAX vengono bloccate e alcune funzionalit\u00e0 del sito smettono di funzionare.<\/p>\n La soluzione \u00e8 escludere admin-ajax.php dalla protezione. Su Apache, aggiungi nel file .htaccess<\/span> della cartella wp-admin:<\/p>\n Su Nginx, aggiungi una location specifica prima della protezione di wp-admin:<\/p>\n Se accedi al pannello admin sempre dallo stesso indirizzo IP (ufficio, VPN), puoi limitare l’accesso a wp-admin solo a quell’IP, eliminando completamente la necessit\u00e0 di password HTTP. Su Apache:<\/p>\n Su Nginx:<\/p>\n Questa soluzione \u00e8 la pi\u00f9 sicura in assoluto ma richiede un IP statico. Se il tuo IP cambia frequentemente, la protezione HTTP con password \u00e8 la scelta migliore.<\/p>\n La protezione HTTP auth funziona al meglio quando combinata con altre misure: limitazione dei tentativi di login<\/strong> con plugin come Limit Login Attempts, autenticazione a due fattori (2FA)<\/strong> per un terzo livello di sicurezza, e username non prevedibili<\/strong> (mai “admin”). Con tutti questi livelli attivi, un attaccante dovrebbe superare l’autenticazione HTTP, indovinare l’username WordPress, la password WordPress e il codice 2FA \u2014 rendendo un attacco brute force praticamente impossibile.<\/p>\n Se non hai familiarit\u00e0 con la configurazione del server o se vuoi proteggere il tuo sito WordPress a livello professionale, il team di SoccorsoWP<\/a><\/strong> pu\u00f2 configurare tutti i livelli di sicurezza per te. Apri un ticket<\/a> e blinda il tuo pannello admin.<\/p>\n","protected":false},"excerpt":{"rendered":" Come proteggere la cartella wp-admin con password HTTP La pagina di login di WordPress (wp-login.php) e la cartella wp-admin sono i bersagli principali degli attacchi…<\/p>\n","protected":false},"author":1,"featured_media":25768,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Come proteggere la cartella wp-admin con password HTTP","_seopress_titles_desc":"Guida per proteggere wp-admin e wp-login.php con HTTP Basic Authentication su Apache e Nginx: doppio livello di sicurezza per WordPress.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1700],"tags":[],"class_list":["post-25767","post","type-post","status-publish","format-standard","has-post-thumbnail","category-sicurezza-wordpress"],"_links":{"self":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25767","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/comments?post=25767"}],"version-history":[{"count":0,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25767\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media\/25768"}],"wp:attachment":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media?parent=25767"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/categories?post=25767"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/tags?post=25767"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Come funziona la protezione HTTP Authentication<\/h2>\n
\n
Configurazione su Apache con .htaccess<\/h2>\n
Passo 1: creare il file delle password<\/h3>\n
htpasswd -c \/home\/utente\/.htpasswd nome_utente<\/pre>\n
Passo 2: configurare .htaccess nella cartella wp-admin<\/h3>\n
AuthType Basic\nAuthName \"Area Riservata\"\nAuthUserFile \/home\/utente\/.htpasswd\nRequire valid-user<\/pre>\n
Passo 3: proteggere anche wp-login.php<\/h3>\n
<Files wp-login.php>\nAuthType Basic\nAuthName \"Area Riservata\"\nAuthUserFile \/home\/utente\/.htpasswd\nRequire valid-user\n<\/Files><\/pre>\n
Configurazione su Nginx<\/h2>\n
# Proteggere wp-admin\nlocation \/wp-admin {\n auth_basic \"Area Riservata\";\n auth_basic_user_file \/etc\/nginx\/.htpasswd;\n location ~ .php$ {\n fastcgi_pass unix:\/run\/php\/php-fpm.sock;\n include fastcgi_params;\n }\n}\n\n# Proteggere wp-login.php\nlocation = \/wp-login.php {\n auth_basic \"Area Riservata\";\n auth_basic_user_file \/etc\/nginx\/.htpasswd;\n fastcgi_pass unix:\/run\/php\/php-fpm.sock;\n include fastcgi_params;\n}<\/pre>\nRisolvere il problema con admin-ajax.php<\/h2>\n
<Files admin-ajax.php>\n Order allow,deny\n Allow from all\n Satisfy any\n<\/Files><\/pre>\n
location = \/wp-admin\/admin-ajax.php {\n auth_basic off;\n fastcgi_pass unix:\/run\/php\/php-fpm.sock;\n include fastcgi_params;\n}<\/pre>\nLimitare l’accesso per indirizzo IP<\/h2>\n
<Files wp-login.php>\n Order Deny,Allow\n Deny from all\n Allow from 123.456.789.0\n<\/Files><\/pre>\n
location = \/wp-login.php {\n allow 123.456.789.0;\n deny all;\n fastcgi_pass unix:\/run\/php\/php-fpm.sock;\n include fastcgi_params;\n}<\/pre>\nCombinare con altri metodi di sicurezza<\/h2>\n
Serve aiuto con la configurazione?<\/h2>\n