Sicurezza delle password in WordPress: perché la tua password è il rischio più grande
La maggior parte dei siti WordPress violati non cade per mancanza di un plugin di sicurezza, ma per password deboli degli utenti. Perché la lunghezza conta più delle acrobazie con i simboli, quali miti lasciar perdere e come costruire password solide che restano in mente.
Quando un sito WordPress viene violato, il sospetto cade per riflesso sulla tecnica che manca: nessun plugin di sicurezza, nessun firewall, nessuno scanner antimalware. La verità scomoda è un'altra. Nella pratica il punto debole maggiore di quasi ogni sito WordPress è molto più banale: password degli utenti deboli, riutilizzate o indovinabili. Un attaccante che entra con credenziali valide non fa scattare nessun allarme del firewall. È semplicemente dentro.
Questo articolo spiega perché le password sono la porta di ingresso numero uno, fa ordine tra i miti più duri a morire e mostra un metodo per costruire password davvero solide che si riescono comunque a ricordare. E poiché il tema pesa, la ricetta funziona anche senza alcuno strumento.
Perché le password sono la porta di ingresso numero uno
I login di WordPress non vengono attaccati da singoli annoiati, ma da reti di bot che lavorano in automatico giorno e notte. Dominano due schemi di attacco:
Forza bruta e attacchi a dizionario: i bot provano in modo sistematico milioni di combinazioni, a partire dai classici come 123456, password o il nome del sito con un anno. Le password corte od ovvie non cadono in settimane, cadono in secondi o minuti. I bersagli preferiti sono wp-login.php e l'interfaccia spesso dimenticata xmlrpc.php: con la sua funzione system.multicall si possono impacchettare centinaia di tentativi di password in una sola richiesta, cosa che aggira con eleganza i limiti di accesso classici. Chi non usa XML-RPC, per esempio per il collegamento con Jetpack o per vecchie app, dovrebbe disattivare quell'interfaccia.
Credential stuffing: ancora più efficiente è non indovinare affatto. Dalle fughe di dati presso altri servizi circolano miliardi di combinazioni reali di email e password. I bot provano semplicemente quegli elenchi sui login di WordPress. Chi usa la stessa password per il negozio online, la casella di posta e l'amministrazione WordPress resta compromesso ovunque nello stesso momento dopo la prossima fuga presso uno qualsiasi di quei servizi. Riutilizzare una password non è un difetto estetico, è il filo diretto tra la fuga di dati altrui e la tua area di amministrazione.
Un plugin di sicurezza può intercettare e rallentare molti di questi tentativi, e questo ha valore. Ma contro una password valida, rubata o indovinata non serve nessun firewall al mondo. Per questo l'igiene delle password viene prima di qualsiasi decisione sui plugin.
I tre miti più grandi sulle password
Intorno alle password sopravvivono regole ben intenzionate vent'anni fa e che oggi, dati alla mano, danneggiano più di quanto aiutino. Anche il NIST statunitense e il BSI tedesco hanno riorientato le loro raccomandazioni in questo senso.
Mito 1: il guazzabuglio di simboli batte la lunghezza
La breve P@ssw0rd! sembra sicura ma non lo è: proprio queste sostituzioni (a in @, o in 0, punto esclamativo alla fine) fanno parte da tempo di ogni attacco a dizionario. Una password con otto caratteri criptici è nei conti molto più debole di una con venti caratteri semplici. La lunghezza batte la complessità, e non di poco ma di ordini di grandezza. Ogni carattere in più moltiplica lo sforzo dell'attaccante invece di limitarsi a sommarlo.
Mito 2: le password vanno cambiate a intervalli regolari
I cambi forzati ogni 90 giorni portano nella pratica a uno schema prevedibile: da Estate2025! si passa a Autunno2025!. Queste rotazioni abbassano la sicurezza reale, perché le persone si costruiscono sistemi memorizzabili che gli attaccanti conoscono altrettanto bene. La raccomandazione attuale dice: una password solida resta finché non c'è un motivo concreto, per esempio una fuga di dati presso il servizio o il sospetto che qualcuno abbia letto. A quel punto si cambia subito, non secondo il calendario.
Mito 3: «il mio blog è troppo piccolo per essere attaccato»
I bot non conoscono la portata. Scandagliano interi intervalli di indirizzi IP ed elenchi di domini, e un piccolo blog di giardinaggio è per loro interessante quanto una grande rivista: come inoltro di spam, hosting di phishing, fattoria di link per il posizionamento o trampolino per altri attacchi. La domanda non è se la tua pagina di accesso venga attaccata in automatico. Lo è già, probabilmente più volte al giorno. L'unica domanda è se i tentativi finiscono nel vuoto.
Che cosa aiuta davvero: lunghezza, casualità, unicità
La forza di una password si riassume in un solo termine: entropia, cioè la quantità di casualità vera che contiene. In parole semplici: quante possibilità deve provare un attaccante prima di trovare con certezza la tua password? Ogni carattere casuale in più moltiplica quel numero. Una password casuale di 12 caratteri fatta di lettere, cifre e simboli offre già più combinazioni di quante tutti i computer del mondo potrebbero provarne in secoli, e una da 16 a 20 caratteri è, in un orizzonte prevedibile, praticamente inattaccabile.
La parola decisiva è casuale. L'inizio del testo di una canzone lungo 20 caratteri non è casuale, sta negli stessi elenchi dei dizionari. Ne derivano tre regole semplici:
1. Lunghezza: almeno 16 caratteri, meglio di più. 2. Casualità: i mattoni vanno estratti a sorte, non inventati, perché le persone sono pessimi generatori di casualità. 3. Unicità: ogni servizio riceve la sua password, così una fuga presso il servizio A non apre il servizio B. Chi rispetta tutte e tre le regole ha risolto il problema alla radice. Resta una domanda: come si ricorda una cosa del genere?
Il metodo della storia: password da immagini
Il nostro cervello è pessimo con la zuppa di caratteri ed eccellente con immagini e storie. È esattamente questo che sfrutta il metodo della storia: invece di memorizzare Un1c0rn0!Id34#V4sc4-4711 come sequenza, memorizzi un'immagine assurda: «L'unicorno ha un'idea nella vasca» 🦄💡🛁. Da quella frase la password viene ricavata con regole fisse e semplici: prendere le parole marcate, sostituire qualche lettera con cifre, aggiungere separatori e un numero. L'immagine è abbastanza strana da restare, e la password ricavata è lunga, mescolata e non compare in nessun dizionario.
Il difetto delle frasi inventate da soli: le persone pensano a frasi prevedibili. Per questo la storia andrebbe estratta a sorte, non scelta.
Un punto da collocare bene: il metodo della storia è pensato per le poche password che si devono davvero tenere a mente. Per tutte le altre c'è una risposta migliore, tra poco. Una guida più estesa al metodo, esempio di calcolo compreso, si trova nel nostro articolo Creare una password sicura.
Misure concrete per chi gestisce un sito WordPress
Una password personale solida è metà del lavoro. L'altra metà: fare in modo che nemmeno gli altri account del sito siano una porta di ingresso. Queste cinque misure coprono la pratica:
1. Policy di password severa per tutti i ruoli
La password di amministratore più solida serve a poco se un account di redazione è protetto con estate123. Anche gli account con meno permessi sono un bottino prezioso, per esempio per contenuti di spam o come punto di partenza per un'escalation di privilegi. WordPress mostra un indicatore di forza al momento della scelta, ma accetta comunque password deboli con una semplice conferma. Una forza minima imposta a tutti i ruoli, tramite plugin o come regola di squadra, chiude quella falla. Ha una responsabilità particolare chi gestisce un'area riservata: lì si agganciano in fretta centinaia o migliaia di account utente, e le loro credenziali le proteggi anche tu. Chi pianifica o gestisce qualcosa del genere dovrebbe puntare su una soluzione che pensi alla sicurezza fin dall'inizio, come il nostro MemberJet, progettato con la sicurezza al centro. Quanto costano le versioni a pagamento sta nella pagina dei prezzi, e la versione gratuita resta gratuita.
2. Attivare l'autenticazione a due fattori
Un secondo fattore (app di autenticazione o chiave di sicurezza) rende inutile da sola una password rubata. Per gli account di amministrazione e redazione l'autenticazione a due fattori dovrebbe essere obbligatoria, non facoltativa. La configurazione richiede pochi minuti per account ed è di gran lunga l'integrazione più efficace a una password solida.
3. Limitare i tentativi di accesso
Per impostazione predefinita WordPress consente tentativi di accesso illimitati, un regalo per ogni bot di forza bruta. Un limite con blocco o tempo di attesa successivo frena drasticamente gli attacchi automatizzati. Molti dei plugin di sicurezza più diffusi portano con sé questa funzione, e come descritto sopra xmlrpc.php va incluso nel limite, altrimenti l'attacco prosegue semplicemente dalla porta di servizio.
4. Password per applicazioni al posto della password principale per le API
Quando servizi esterni, app o script accedono al sito tramite la REST API, la tua password principale non c'entra nulla. WordPress porta dalla versione 5.6 le password per applicazioni: codici di accesso propri e generati a caso per ogni applicazione, revocabili uno per uno senza cambiare la password vera. Se un servizio compromette uno di questi codici, ritiri esattamente quello e il resto resta intatto.
5. Nessun nome utente «admin»
Il nome utente è metà della combinazione di accesso, e admin è la prima metà che ogni bot prova. Un nome utente personale non è una protezione forte di per sé, ma scarta in anticipo il 90 per cento più sciocco dei tentativi automatizzati. Se il tuo account di amministrazione gira ancora su admin: crea un nuovo account con un nome proprio, trasferisci i permessi, cancella il vecchio account.
Per tutto il resto: il gestore di password
Il metodo della storia è pensato di proposito per poche password: le due o tre che non puoi consultare da nessuna parte, cioè la password principale del tuo gestore di password e l'accesso ai tuoi dispositivi. Per tutti gli altri account il gestore di password è la raccomandazione standard, senza se e senza ma: genera per ogni servizio una password lunga, casuale e unica e la ricorda al posto tuo. Così la regola dell'unicità è soddisfatta da sola, e il credential stuffing finisce nel vuoto.
La divisione dei compiti è quindi semplice: una password principale solida, costruita con il metodo della storia, protegge il gestore di password, il gestore protegge tutto il resto, e l'autenticazione a due fattori mette in sicurezza in più gli account più importanti. Chi combina questi tre mattoni ha fatto per la sicurezza del proprio sito WordPress più di quanto possa fare da solo qualsiasi plugin di sicurezza, per quanto ben configurato.
Un'area riservata con la sicurezza fin dall'inizio
Chi gestisce account utente protegge anche le credenziali di altre persone. MemberJet porta livelli di accesso, struttura dei corsi e collegamento con Digistore24, senza partecipazione al fatturato e senza commissione per transazione.
Domande frequenti
Quanto deve essere lunga una password WordPress sicura?
Almeno 16 caratteri, meglio di più. Oltre alla lunghezza è decisivo che la password sia composta a caso e non sia in uso presso nessun altro servizio. Una password lunga e casuale da 16 a 20 caratteri è praticamente impossibile da forzare per tentativi con la tecnica odierna, mentre una password corta con sostituzioni come «P@ssw0rd!» cade in pochi secondi, perché proprio quegli schemi fanno parte di ogni attacco a dizionario.
Devo cambiare regolarmente la password di WordPress?
No, i cambi forzati a calendario sono oggi considerati controproducenti, perché portano a schemi prevedibili come «Estate2025!» che diventa «Autunno2025!». Sia il NIST sia il BSI tedesco raccomandano ormai: una password solida e unica resta finché non c'è un motivo concreto, per esempio una fuga di dati nota o il sospetto di un abuso. A quel punto va cambiata subito, non alla prossima scadenza.
Un plugin di sicurezza non risolve il problema delle password?
Non da solo. Un plugin di sicurezza intercetta e rallenta molti tentativi automatizzati, e limitare i tentativi di accesso fa parte delle buone pratiche. Ma contro una password valida, rubata o indovinata non serve alcun firewall: chi entra con credenziali corrette non fa scattare allarmi. Per questo l'igiene delle password viene prima della scelta del plugin, non dopo.
