{"id":28969,"date":"2026-09-07T12:49:03","date_gmt":"2026-09-07T12:49:03","guid":{"rendered":"https:\/\/soccorsowp.it\/blog\/ruoli-permessi-utenti-wordpress-accessi\/"},"modified":"2026-09-07T12:49:03","modified_gmt":"2026-09-07T12:49:03","slug":"ruoli-permessi-utenti-wordpress-accessi","status":"publish","type":"post","link":"https:\/\/soccorsowp.it\/blog\/ruoli-permessi-utenti-wordpress-accessi\/","title":{"rendered":"Chi ha davvero accesso al tuo sito WordPress? Ruoli, permessi e vecchi account"},"content":{"rendered":"<p>Apri l&#8217;elenco utenti del tuo sito e conta quanti hanno il ruolo di amministratore. Se sono pi\u00f9 di due o tre, e se tra questi c&#8217;\u00e8 qualcuno con cui non lavori da anni, hai gi\u00e0 trovato la falla pi\u00f9 comune e pi\u00f9 sottovalutata dei siti WordPress.<\/p>\n<p>Non serve un attacco sofisticato per entrare in un sito: nella maggior parte dei casi basta una credenziale valida rimasta in giro.<\/p>\n<h2>I ruoli, in due minuti<\/h2>\n<p>WordPress ne prevede cinque, dal pi\u00f9 ampio al pi\u00f9 limitato:<\/p>\n<ul>\n<li><strong>Amministratore<\/strong> \u2014 pu\u00f2 fare tutto: installare plugin, modificare codice, creare e cancellare utenti, cambiare le impostazioni. <em>Chi ha questo ruolo pu\u00f2 prendere il controllo del sito.<\/em><\/li>\n<li><strong>Editore<\/strong> \u2014 gestisce tutti i contenuti, anche quelli scritti da altri, ma non tocca plugin, temi o impostazioni.<\/li>\n<li><strong>Autore<\/strong> \u2014 scrive e pubblica solo i propri contenuti.<\/li>\n<li><strong>Collaboratore<\/strong> \u2014 scrive ma non pubblica: qualcuno deve approvare.<\/li>\n<li><strong>Sottoscrittore<\/strong> \u2014 legge e gestisce il proprio profilo. Su un sito senza area riservata \u00e8 di fatto inutile.<\/li>\n<\/ul>\n<p>Su WooCommerce se ne aggiungono altri due: il gestore del negozio, che amministra ordini e prodotti senza toccare il resto, e il cliente.<\/p>\n<h2>L&#8217;errore che fanno quasi tutti<\/h2>\n<p><strong>Dare a tutti il ruolo di amministratore &#8220;cos\u00ec non ci sono problemi&#8221;.<\/strong><\/p>\n<p>Succede perch\u00e9 \u00e8 la strada che non richiede di pensare: la persona che scrive gli articoli non riesce a fare qualcosa, la si promuove ad amministratore e il problema sparisce. Ma il risultato \u00e8 che chi doveva scrivere un articolo ora pu\u00f2 disinstallare il sito.<\/p>\n<p>Il costo non si vede finch\u00e9 non succede qualcosa: una password riutilizzata altrove e finita in una fuga di dati, un computer infetto, un rapporto che finisce male. In tutti questi casi il danno \u00e8 proporzionale ai permessi.<\/p>\n<p>Nella pratica: <strong>chi scrive contenuti deve essere Editore o Autore<\/strong>. Amministratore serve a chi gestisce davvero il sito, e sono una o due persone.<\/p>\n<h2>Gli account da controllare adesso<\/h2>\n<p>Apri l&#8217;elenco utenti e cerca:<\/p>\n<ul>\n<li><strong>L&#8217;agenzia o il freelance che ha fatto il sito<\/strong> e non lavora pi\u00f9 con te. Il loro accesso \u00e8 quasi sempre ancora l\u00ec, ed \u00e8 ancora amministratore.<\/li>\n<li><strong>Ex collaboratori e dipendenti.<\/strong> Quando qualcuno va via si revocano email e badge, quasi mai l&#8217;accesso al sito.<\/li>\n<li><strong>Account di prova<\/strong> con nomi tipo &#8220;test&#8221; o &#8220;demo&#8221;, creati per una verifica e mai rimossi.<\/li>\n<li><strong>L&#8217;utente &#8220;admin&#8221;.<\/strong> \u00c8 il primo nome che prova chiunque: se esiste, met\u00e0 del lavoro di chi tenta di entrare \u00e8 gi\u00e0 fatta.<\/li>\n<li><strong>Utenti che non riconosci.<\/strong> Se ce n&#8217;\u00e8 anche solo uno, il problema non \u00e8 organizzativo: il sito \u00e8 stato violato.<\/li>\n<\/ul>\n<h3>Come si rimuove un utente senza perdere i suoi contenuti<\/h3>\n<p>Cancellando un utente WordPress chiede cosa fare degli articoli che ha scritto: si possono <strong>riassegnare a un altro utente<\/strong>. Scegli sempre quella, mai &#8220;elimina tutti i contenuti&#8221; \u2014 \u00e8 il modo pi\u00f9 rapido per far sparire anni di lavoro.<\/p>\n<p>Se preferisci non cancellare, l&#8217;alternativa \u00e8 <strong>abbassare il ruolo a sottoscrittore<\/strong> e cambiare la password: l&#8217;account resta, ma non pu\u00f2 pi\u00f9 fare nulla.<\/p>\n<h2>Oltre i ruoli: gli altri accessi<\/h2>\n<p>L&#8217;elenco utenti di WordPress \u00e8 solo una delle porte. Vanno controllate anche:<\/p>\n<ul>\n<li><strong>Gli accessi FTP\/SFTP<\/strong>, spesso creati uno per fornitore e mai rimossi.<\/li>\n<li><strong>Il pannello dell&#8217;hosting<\/strong>, che tipicamente ha un unico accesso condiviso da chiunque abbia lavorato al sito.<\/li>\n<li><strong>Le password applicazione<\/strong> di WordPress, usate da app e servizi esterni: restano valide anche cambiando la password principale, e vanno revocate a parte.<\/li>\n<li><strong>Le chiavi API<\/strong> dei plugin collegati a servizi esterni.<\/li>\n<\/ul>\n<h2>Due misure che valgono pi\u00f9 di qualunque plugin di sicurezza<\/h2>\n<ul>\n<li><strong>Autenticazione a due fattori su tutti gli amministratori.<\/strong> Rende inutile una password rubata. \u00c8 la singola misura con il miglior rapporto tra fatica e protezione.<\/li>\n<li><strong>Una revisione degli accessi una volta l&#8217;anno.<\/strong> Dieci minuti: apri l&#8217;elenco, e per ogni persona chiediti se le serve ancora quel ruolo. \u00c8 noioso, e nessuno lo fa: per questo funziona.<\/li>\n<\/ul>\n<h2>Il caso del fornitore che se ne va<\/h2>\n<p>Quando cambi chi si occupa del sito, la lista \u00e8 breve ma va fatta tutta: revocare l&#8217;accesso WordPress, cambiare le credenziali di hosting e FTP, rigenerare le chiavi di sicurezza in <code>wp-config.php<\/code> (invalida le sessioni ancora aperte), e verificare che dominio e backup siano intestati a te.<\/p>\n<p>Quest&#8217;ultimo punto \u00e8 quello che crea pi\u00f9 problemi: scoprire che il dominio \u00e8 registrato a nome di qualcun altro, nel momento in cui i rapporti si sono gi\u00e0 raffreddati, \u00e8 una situazione difficile da risolvere in fretta.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Apri l&#8217;elenco utenti del tuo sito e conta quanti hanno il ruolo di amministratore. Se sono pi\u00f9 di due o tre, e se tra questi&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Ruoli e permessi WordPress: chi ha accesso al tuo sito","_seopress_titles_desc":"Amministratori dimenticati, agenzie che hanno ancora le chiavi, tutti amministratori \"per comodit\u00e0\": come mettere ordine negli accessi al tuo sito WordPress.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-28969","post","type-post","status-publish","format-standard","category-domande-frequenti"],"_links":{"self":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/28969","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/comments?post=28969"}],"version-history":[{"count":0,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/28969\/revisions"}],"wp:attachment":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media?parent=28969"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/categories?post=28969"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/tags?post=28969"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}