{"id":25831,"date":"2026-07-08T10:00:00","date_gmt":"2026-07-08T08:00:00","guid":{"rendered":"https:\/\/soccorsowp.it\/blog\/?p=25831"},"modified":"2026-07-08T10:00:00","modified_gmt":"2026-07-08T08:00:00","slug":"header-sicurezza-http-wordpress-guida","status":"publish","type":"post","link":"https:\/\/soccorsowp.it\/blog\/header-sicurezza-http-wordpress-guida\/","title":{"rendered":"Come aggiungere gli header di sicurezza HTTP in WordPress"},"content":{"rendered":"

Come aggiungere gli header di sicurezza HTTP in WordPress<\/h1>\n

Gli header di sicurezza HTTP<\/strong> sono istruzioni che il server invia al browser per proteggerlo da attacchi come cross-site scripting (XSS), clickjacking e iniezione di contenuti. WordPress<\/a> non li imposta di default, lasciando il tuo sito vulnerabile. In questa guida ti spiego quali header aggiungere e come configurarli.<\/p>\n

Perch\u00e9 gli header di sicurezza sono importanti<\/h2>\n

Ogni volta che un browser carica una pagina del tuo sito, riceve una serie di header HTTP<\/strong> nella risposta del server. Questi header possono dire al browser cosa \u00e8 permesso e cosa no: da dove caricare risorse, se la pagina pu\u00f2 essere incorporata in un iframe, quale policy seguire per i referrer. Senza questi header, il browser applica le sue impostazioni predefinite, che spesso sono troppo permissive. Strumenti come SecurityHeaders.com<\/strong> ti permettono di verificare quali header sono attivi sul tuo sito e ti danno un voto da A+ a F.<\/p>\n

X-Content-Type-Options<\/h2>\n

L’header X-Content-Type-Options: nosniff<\/span> impedisce al browser di interpretare un file con un tipo MIME diverso da quello dichiarato. Senza questo header, un browser potrebbe eseguire un file JavaScript mascherato da immagine, aprendo la porta a attacchi XSS. Questo header \u00e8 semplice da aggiungere e non causa mai problemi di compatibilit\u00e0.<\/p>\n

X-Frame-Options<\/h2>\n

L’header X-Frame-Options: SAMEORIGIN<\/span> impedisce che il tuo sito venga caricato all’interno di un iframe su un dominio diverso. Questo protegge dal clickjacking<\/strong>, un attacco in cui il tuo sito viene incorporato invisibilmente in un’altra pagina per ingannare gli utenti e farli cliccare su pulsanti senza saperlo. Usa SAMEORIGIN<\/span> per permettere gli iframe solo dal tuo stesso dominio, o DENY<\/span> per bloccarli completamente.<\/p>\n

Strict-Transport-Security (HSTS)<\/h2>\n

L’header HSTS<\/strong> dice al browser di usare sempre HTTPS per il tuo dominio, anche se l’utente digita http:\/\/. Una volta che il browser riceve questo header, per la durata specificata non tenter\u00e0 mai di connettersi via HTTP. La configurazione consigliata \u00e8:<\/p>\n

Strict-Transport-Security: max-age=31536000; includeSubDomains<\/pre>\n
Il valore max-age=31536000<\/span> imposta la durata a un anno. Aggiungi includeSubDomains<\/span> solo se tutti i tuoi sotto-domini supportano HTTPS. Importante:<\/strong> attiva HSTS solo quando sei sicuro che SSL funziona correttamente sul tuo sito, altrimenti i visitatori non potranno accedervi.<\/p>\n
Referrer-Policy<\/h2>\n
L’header Referrer-Policy<\/span> controlla quante informazioni sul referrer vengono inviate quando un utente clicca un link dal tuo sito verso un sito esterno. Il valore consigliato \u00e8 strict-origin-when-cross-origin<\/span>: invia l’URL completo solo per le richieste interne al tuo dominio, mentre per le richieste esterne invia solo l’origine (es. https:\/\/tuodominio.com senza il percorso). Questo protegge la privacy dei tuoi utenti senza rompere la funzionalit\u00e0.<\/p>\n
Permissions-Policy<\/h2>\n
L’header Permissions-Policy<\/span> (precedentemente chiamato Feature-Policy) controlla quali funzionalit\u00e0 del browser il tuo sito pu\u00f2 utilizzare: fotocamera, microfono, geolocalizzazione, ecc. Se il tuo sito non usa queste funzionalit\u00e0, disabilitale per impedire che script malevoli possano attivarle:<\/p>\n
Permissions-Policy: camera=(), microphone=(), geolocation=()<\/pre>\n
Le parentesi vuote significano che nessuno, nemmeno il tuo sito stesso, pu\u00f2 utilizzare quella funzionalit\u00e0.<\/p>\n
Come aggiungere gli header in WordPress<\/h2>\n
Ci sono tre metodi principali per aggiungere gli header di sicurezza al tuo sito WordPress:<\/p>\n
Metodo 1: tramite .htaccess (Apache)<\/strong><\/p>\n
Se il tuo server usa Apache, aggiungi queste righe al file .htaccess<\/span> nella root del sito:<\/p>\n
<IfModule mod_headers.c>\nHeader set X-Content-Type-Options \"nosniff\"\nHeader set X-Frame-Options \"SAMEORIGIN\"\nHeader set Strict-Transport-Security \"max-age=31536000; includeSubDomains\"\nHeader set Referrer-Policy \"strict-origin-when-cross-origin\"\nHeader set Permissions-Policy \"camera=(), microphone=(), geolocation=()\"\n<\/IfModule><\/pre>\n
Metodo 2: tramite Nginx<\/strong><\/p>\n
Se usi Nginx, aggiungi le stesse direttive nel blocco server<\/span> della configurazione:<\/p>\n
add_header X-Content-Type-Options \"nosniff\" always;\nadd_header X-Frame-Options \"SAMEORIGIN\" always;\nadd_header Strict-Transport-Security \"max-age=31536000; includeSubDomains\" always;\nadd_header Referrer-Policy \"strict-origin-when-cross-origin\" always;\nadd_header Permissions-Policy \"camera=(), microphone=(), geolocation=()\" always;<\/pre>\n
Il parametro always<\/span> assicura che gli header vengano inviati anche per le risposte di errore (404, 500, ecc.).<\/p>\n
Metodo 3: tramite plugin<\/strong><\/p>\n
Se non hai accesso ai file di configurazione del server, puoi usare un plugin come HTTP Headers<\/strong> o Headers Security Advanced & HSTS WP<\/strong>. Questi plugin aggiungono gli header tramite PHP, senza modificare .htaccess o Nginx.<\/p>\n
Verificare che gli header siano attivi<\/h2>\n
Dopo aver configurato gli header, verifica che funzionino correttamente. Puoi usare il terminale:<\/p>\n
curl -I https:\/\/tuodominio.com<\/pre>\n
Oppure visita SecurityHeaders.com<\/strong> e inserisci l’URL del tuo sito. Il servizio analizza gli header e ti assegna un voto. L’obiettivo \u00e8 ottenere almeno un voto A<\/strong>.<\/p>\n
Content-Security-Policy: l’header avanzato<\/h2>\n
L’header Content-Security-Policy<\/span> (CSP) \u00e8 il pi\u00f9 potente ma anche il pi\u00f9 complesso da configurare. Definisce da quali origini il browser pu\u00f2 caricare script, stili, immagini e altre risorse. Una policy troppo restrittiva pu\u00f2 rompere il tuo sito, mentre una troppo permissiva non protegge abbastanza.<\/p>\n
Per iniziare, usa la modalit\u00e0 report-only<\/strong> che registra le violazioni senza bloccare nulla:<\/p>\n
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' 'unsafe-inline'<\/pre>\n
Monitora i report per alcune settimane, poi converti la policy in modalit\u00e0 di blocco effettivo. Se il tuo sito usa Google Analytics, font esterni o CDN per jQuery, dovrai aggiungere queste origini alla policy. La configurazione CSP richiede tempo e test accurati, ma \u00e8 la protezione pi\u00f9 efficace contro gli attacchi XSS.<\/p>\n
Errori comuni da evitare<\/h2>\n
Quando configuri gli header di sicurezza, fai attenzione a questi errori frequenti:<\/p>\n