{"id":25927,"date":"2026-10-28T10:00:00","date_gmt":"2026-10-28T09:00:00","guid":{"rendered":"https:\/\/soccorsowp.it\/blog\/?p=25927"},"modified":"2026-10-28T10:00:00","modified_gmt":"2026-10-28T09:00:00","slug":"web-application-firewall-waf-wordpress-guida","status":"publish","type":"post","link":"https:\/\/soccorsowp.it\/blog\/web-application-firewall-waf-wordpress-guida\/","title":{"rendered":"Come configurare un Web Application Firewall (WAF) per WordPress"},"content":{"rendered":"<h1>Come configurare un Web Application Firewall (WAF) per WordPress<\/h1>\n<p>Un <strong>Web Application Firewall (WAF)<\/strong> \u00e8 uno scudo di sicurezza che analizza il traffico in entrata verso il tuo sito <a href=\"https:\/\/soccorsowp.it\/blog\/blocco-di-contenuti-opt-in-per-wordpress\/\">WordPress<\/a> e blocca le richieste malevole prima che raggiungano il server. Protegge da attacchi come SQL injection, Cross-Site Scripting (XSS), brute force e exploit di <a href=\"https:\/\/soccorsowp.it\/blog\/600-000-siti-wordpress-a-rischio-scoperta-grave-vulnerabilita-in-wp-fastest-cache\/\">vulnerabilit\u00e0<\/a> note. In questa guida ti spiego come funziona un WAF e come configurarlo per WordPress.<\/p>\n<h2>Come funziona un WAF<\/h2>\n<p>Un WAF si posiziona tra il visitatore e il tuo server WordPress. Ogni richiesta HTTP viene analizzata in base a un set di <strong>regole di sicurezza<\/strong>. Se la richiesta sembra legittima, viene inoltrata al server. Se corrisponde a un pattern di attacco noto, viene bloccata.<\/p>\n<p>I WAF possono operare in due modi:<\/p>\n<ul>\n<li><strong>WAF basato su cloud (DNS-level):<\/strong> il traffico passa prima attraverso i server del provider WAF (es. Cloudflare, Sucuri). Il WAF filtra il traffico e inoltra solo le richieste pulite al tuo server. Non richiede installazione sul server.<\/li>\n<li><strong>WAF basato su plugin (application-level):<\/strong> un <a href=\"https:\/\/soccorsowp.it\/blog\/rivediamo-il-plugin-wordpress-con-opzioni-di-affiliazione\/\">plugin WordPress<\/a> come Wordfence analizza le richieste direttamente sul tuo server. Pi\u00f9 semplice da configurare ma usa risorse del server.<\/li>\n<\/ul>\n<h2>WAF cloud: Cloudflare<\/h2>\n<p><strong>Cloudflare<\/strong> offre un WAF integrato nel suo servizio CDN. Il piano gratuito include protezione DDoS base e regole di sicurezza essenziali. Il WAF completo con regole personalizzabili \u00e8 disponibile dal piano Pro (20$\/mese).<\/p>\n<p><strong>Come configurare il WAF di Cloudflare per WordPress:<\/strong><\/p>\n<ol>\n<li>Accedi alla dashboard Cloudflare e seleziona il tuo dominio.<\/li>\n<li>Vai su <strong>Security \u2192 WAF<\/strong>.<\/li>\n<li>Nella sezione <strong>Managed Rules<\/strong>, attiva il set di regole &#8220;Cloudflare Managed Ruleset&#8221; che include protezione contro vulnerabilit\u00e0 comuni.<\/li>\n<li>Attiva anche &#8220;Cloudflare OWASP Core Ruleset&#8221; per protezione contro le vulnerabilit\u00e0 OWASP Top 10.<\/li>\n<li>Nella sezione <strong>Custom Rules<\/strong>, puoi creare regole specifiche per WordPress:\n<ul>\n<li>Blocca l&#8217;accesso a <span style=\"font-family: monospace\">xmlrpc.php<\/span> se non lo usi.<\/li>\n<li>Limita le richieste a <span style=\"font-family: monospace\">wp-login.php<\/span> per prevenire brute force.<\/li>\n<li>Blocca l&#8217;accesso diretto ai file PHP nella cartella <span style=\"font-family: monospace\">wp-content\/uploads\/<\/span>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><strong>Vantaggi:<\/strong> nessun carico sul server, protezione DDoS, CDN incluso. <strong>Svantaggio:<\/strong> il WAF completo richiede un piano a pagamento.<\/p>\n<h2>WAF cloud: Sucuri<\/h2>\n<p><strong>Sucuri<\/strong> \u00e8 un servizio di sicurezza specifico per siti web che offre un WAF cloud potente. \u00c8 particolarmente popolare nell&#8217;ecosistema WordPress.<\/p>\n<p><strong>Funzionalit\u00e0 del WAF Sucuri:<\/strong><\/p>\n<ul>\n<li>Protezione contro SQL injection, XSS, brute force e exploit di vulnerabilit\u00e0 WordPress note.<\/li>\n<li><strong>Virtual patching:<\/strong> quando viene scoperta una vulnerabilit\u00e0 in un plugin WordPress, Sucuri aggiunge una regola WAF per bloccarla prima ancora che il plugin venga aggiornato.<\/li>\n<li>Protezione DDoS inclusa.<\/li>\n<li>CDN integrato con nodi distribuiti nel mondo.<\/li>\n<li>Monitoraggio uptime e blacklist.<\/li>\n<\/ul>\n<p><strong>Prezzo:<\/strong> da 199$\/anno per il piano base (un sito). Include anche la rimozione malware se il sito viene compromesso.<\/p>\n<h2>WAF plugin: Wordfence<\/h2>\n<p><strong>Wordfence<\/strong> \u00e8 il plugin di sicurezza WordPress pi\u00f9 installato (oltre 4 milioni di installazioni) e include un WAF application-level.<\/p>\n<p><strong>Come configurare il WAF di Wordfence:<\/strong><\/p>\n<ol>\n<li>Installa e attiva Wordfence dalla repository di WordPress.<\/li>\n<li>Vai su <strong>Wordfence \u2192 Firewall<\/strong>.<\/li>\n<li>Inizialmente il firewall \u00e8 in <strong>modalit\u00e0 apprendimento<\/strong>: analizza il traffico del tuo sito per una settimana per capire quali richieste sono normali.<\/li>\n<li>Dopo il periodo di apprendimento, passa alla <strong>modalit\u00e0 attiva<\/strong> (Enabled and Protecting).<\/li>\n<li>Per la protezione massima, abilita la <strong>protezione estesa<\/strong> che modifica il file .htaccess per analizzare le richieste prima che WordPress venga caricato.<\/li>\n<\/ol>\n<p><strong>Vantaggi:<\/strong> gratuito, facile da installare, scanner malware incluso. <strong>Svantaggi:<\/strong> usa risorse del server, le regole premium richiedono l&#8217;abbonamento (119$\/anno), non protegge da attacchi DDoS a livello rete.<\/p>\n<h2>WAF plugin: NinjaFirewall<\/h2>\n<p><strong>NinjaFirewall<\/strong> \u00e8 un&#8217;alternativa meno conosciuta ma tecnicamente superiore a Wordfence come WAF. Si carica prima di WordPress e dei plugin, intercettando le richieste malevole a un livello pi\u00f9 basso.<\/p>\n<p><strong>Punti di forza:<\/strong><\/p>\n<ul>\n<li>Si esegue come un <strong>standalone firewall<\/strong> prima del caricamento di WordPress, consumando meno risorse.<\/li>\n<li>Regole di filtraggio molto potenti e personalizzabili.<\/li>\n<li>Monitoraggio delle modifiche ai file.<\/li>\n<li>Versione gratuita gi\u00e0 molto efficace.<\/li>\n<\/ul>\n<h2>Quale WAF scegliere<\/h2>\n<ul>\n<li><strong>Budget zero + protezione base \u2192 Wordfence gratuito.<\/strong> Facile da installare e sufficiente per la maggior parte dei siti.<\/li>\n<li><strong>Massima protezione + CDN \u2192 Cloudflare Pro.<\/strong> WAF cloud che non carica il server, con CDN e protezione DDoS.<\/li>\n<li><strong>Sito gi\u00e0 compromesso + protezione totale \u2192 Sucuri.<\/strong> Include rimozione malware e virtual patching.<\/li>\n<li><strong>Prestazioni massime del WAF \u2192 NinjaFirewall.<\/strong> Leggero e potente per chi vuole un firewall senza il peso di Wordfence.<\/li>\n<\/ul>\n<h2>Evitare i conflitti tra WAF<\/h2>\n<p><strong>Non usare mai due WAF contemporaneamente.<\/strong> Ad esempio, Cloudflare WAF + Wordfence possono creare conflitti: doppi blocchi, falsi positivi e problemi di accesso. Se usi un WAF cloud come Cloudflare, disattiva il firewall di Wordfence e usa Wordfence solo per lo scanner malware. Se usi Wordfence come WAF, non attivare le regole WAF di Cloudflare.<\/p>\n<h2>Serve assistenza?<\/h2>\n<p>Configurare un WAF senza causare falsi positivi o blocchi indesiderati richiede esperienza. Se vuoi proteggere il tuo sito WordPress con un firewall configurato correttamente, il team di <strong>SoccorsoWP<\/strong> pu\u00f2 occuparsene. <a href=\"https:\/\/soccorsowp.it\/ticket\/\">Apri un ticket<\/a> e blinda il tuo WordPress.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Come configurare un Web Application Firewall (WAF) per WordPress Un Web Application Firewall (WAF) \u00e8 uno scudo di sicurezza che analizza il traffico in entrata&#8230;<\/p>\n","protected":false},"author":1,"featured_media":25928,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"WAF per WordPress: come configurare un Web Application Firewall","_seopress_titles_desc":"Guida completa al Web Application Firewall per WordPress: Cloudflare, Sucuri, Wordfence e NinjaFirewall. Quale WAF scegliere e come configurarlo.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1700],"tags":[],"class_list":["post-25927","post","type-post","status-publish","format-standard","has-post-thumbnail","category-sicurezza-wordpress"],"_links":{"self":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25927","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/comments?post=25927"}],"version-history":[{"count":0,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25927\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media\/25928"}],"wp:attachment":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media?parent=25927"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/categories?post=25927"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/tags?post=25927"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}