WordPress login è l’accesso all’area amministrativa del sito. Il login WordPress si trova normalmente all’indirizzo /wp-login.php; visitando /wp-admin/ da utenti non autenticati si viene reindirizzati alla schermata di accesso. Per proteggerlo servono HTTPS, password uniche, autenticazione a due fattori, ruoli corretti, aggiornamenti e controllo dei tentativi anomali.
Nascondere l’URL può ridurre traffico automatico, ma non sostituisce le misure di sicurezza fondamentali.
Come accedere al login WordPress?
Gli indirizzi standard sono:
https://esempio.it/wp-login.php
https://esempio.it/wp-admin/
Se WordPress è installato in una sottocartella, il percorso include quella directory. La documentazione ufficiale su accesso e autenticazione WordPress conferma che la pagina si trova normalmente in wp-login.php.
È possibile accedere con nome utente o indirizzo e-mail associato all’account e con la relativa password.
Cosa fare se wp-admin non si apre?
Prima di modificare file o database controlla:
- che il dominio punti al server corretto;
- che HTTPS e certificato siano validi;
- che l’URL non restituisca 403, 404 o 500;
- che non esista un plugin che modifica il percorso di login;
- che firewall o protezioni non abbiano bloccato il tuo IP;
- che cookie e cache del browser non siano corrotti;
- che gli URL WordPress e sito siano corretti.
Prova una finestra privata e controlla l’URL finale. Se compare un errore server, consulta i log prima di disattivare componenti casualmente.
Come recuperare la password?
Nella pagina di login seleziona “Password dimenticata?”, inserisci username o e-mail e segui il collegamento ricevuto. WordPress descrive anche metodi alternativi nella guida ufficiale per reimpostare la password.
Se l’e-mail non arriva:
- controlla spam e indirizzo associato;
- verifica la consegna delle e-mail del sito;
- usa WP-CLI se hai accesso al server;
- intervieni sul database soltanto con backup e competenze adeguate;
- cambia nuovamente la password dopo aver risolto un’eventuale compromissione.
Usare password lunghe, uniche e gestite
La password non deve essere riutilizzata su altri servizi. Un password manager consente di generare credenziali casuali e differenti per WordPress, hosting, registrar ed e-mail.
La guida WordPress sulle buone pratiche per le password raccomanda credenziali lunghe e difficili da indovinare.
Evita:
- nome del sito o dell’azienda;
- date, sequenze e parole comuni;
- la stessa password per più amministratori;
- condivisioni tramite e-mail non cifrate;
- account generici usati da più persone.
Attivare l’autenticazione a due fattori
La 2FA richiede un secondo elemento oltre alla password, come un codice temporaneo o una chiave di sicurezza. Riduce il rischio quando una credenziale viene sottratta tramite phishing, malware o violazioni esterne.
OWASP considera la MFA una difesa essenziale contro brute force, credential stuffing e riutilizzo di password. La guida MFA tratta anche recupero e gestione dei fattori.
Conserva codici di recupero in un luogo sicuro e definisci una procedura per la perdita del dispositivo.
Proteggere il login con HTTPS
La pagina di accesso deve essere servita esclusivamente in HTTPS. TLS cifra username, password e cookie durante il trasferimento.
WordPress raccomanda HTTPS per proteggere login e visitatori nella propria documentazione HTTPS.
Verifica:
- certificato valido e rinnovato;
- redirect permanente da HTTP a HTTPS;
- assenza di contenuti misti;
- URL WordPress configurati in HTTPS;
- cookie sicuri e proxy correttamente configurati.
Ruoli e numero di amministratori
Non tutti gli utenti devono essere amministratori. WordPress dispone di ruoli con capacità differenti: amministratore, editor, autore, collaboratore e sottoscrittore.
Assegna il privilegio minimo necessario e rimuovi account inutilizzati. La documentazione su ruoli e capacità descrive le operazioni consentite.
Ogni persona dovrebbe avere un account personale. In questo modo è possibile revocare l’accesso e attribuire le attività senza condividere credenziali.
Limitare brute force e credential stuffing
I bot provano combinazioni di username e password in modo automatico. Un sistema di limitazione può introdurre ritardi, blocchi temporanei, CAPTCHA adattivi o regole firewall.
La protezione deve evitare blocchi permanenti facili da provocare contro utenti legittimi. È preferibile combinare:
- rate limit;
- 2FA;
- password uniche;
- controllo di IP e comportamento;
- notifiche su accessi sospetti;
- WAF aggiornato.
Cambiare l’username admin è sufficiente?
Usare un nome diverso da “admin” evita alcune prove banali, ma gli username possono essere scoperti in altri modi. La difesa reale resta password unica, 2FA, ruoli e limitazione dei tentativi.
Non rinominare direttamente record nel database senza backup. È spesso più sicuro creare un nuovo amministratore, verificare l’accesso e poi rimuovere o ridurre il vecchio account.
Nascondere la pagina di login
Un plugin può cambiare l’URL pubblico e ridurre rumore nei log. Tuttavia:
- non corregge password deboli;
- non protegge sessioni già rubate;
- può causare problemi dopo aggiornamenti;
- l’URL personalizzato deve essere conservato;
- firewall e bot possono trovare altri endpoint.
Consideralo un livello aggiuntivo, non la protezione principale.
CAPTCHA e challenge
CAPTCHA e challenge possono ridurre automazioni, ma introducono attrito e problemi di accessibilità. Devono essere attivati in modo proporzionato, preferibilmente dopo comportamenti sospetti e non a ogni visita.
Aggiornare WordPress, temi e plugin
Molti accessi non autorizzati non avvengono dalla pagina di login, ma attraverso vulnerabilità di plugin o temi. Mantieni aggiornati core e componenti, elimina estensioni inutilizzate e scarica software da fonti affidabili.
Prima degli aggiornamenti crea un backup e verifica il sito. La guida sui conflitti tra plugin aiuta a diagnosticare problemi senza disattivazioni indiscriminate in produzione.
Sessioni, dispositivi e cookie
Non selezionare “Ricordami” su dispositivi condivisi. Disconnettiti dopo attività amministrative e revoca le sessioni quando un dispositivo viene perso o un collaboratore lascia il progetto.
Dopo un sospetto furto:
- cambia password WordPress e hosting;
- revoca le sessioni;
- cambia chiavi e token interessati;
- controlla utenti amministratori;
- verifica plugin, temi e file;
- analizza log e modifiche;
- ripristina una copia pulita se necessario.
Backup e ripristino
Il backup non impedisce l’accesso abusivo, ma permette di recuperare da modifiche, malware o cancellazioni. Devono essere disponibili più versioni e almeno una copia separata dall’account.
Con JetBackup è possibile recuperare file e database dal pannello. Prima di ripristinare, identifica però la data della compromissione per non reintrodurre il problema.
Checklist per la sicurezza login WordPress
| Controllo | Stato consigliato |
|---|
| HTTPS | Attivo su login e sito |
| Password | Unica, lunga, gestita |
| 2FA | Attiva per amministratori |
| Ruoli | Minimo privilegio |
| Tentativi | Limitati e monitorati |
| Utenti | Account personali, inutilizzati rimossi |
| Aggiornamenti | Core, temi e plugin aggiornati |
| Backup | Separati e verificati |
| Log | Accessi e anomalie controllati |
Domande frequenti
Qual è l’URL del login WordPress?
Normalmente è /wp-login.php. Anche /wp-admin/ reindirizza alla schermata quando non sei autenticato.
Nascondere wp-login.php blocca gli hacker?
No. Riduce alcune richieste automatiche, ma servono password uniche, 2FA, aggiornamenti e firewall.
È sicuro usare “Ricordami”?
Solo su dispositivi personali e protetti. Evitalo su computer condivisi o non affidabili.
Quanti amministratori dovrebbe avere un sito?
Il numero minimo necessario. Gli altri utenti dovrebbero avere ruoli con capacità più limitate.
Cosa fare dopo molti tentativi falliti?
Controlla log, IP, username usati e protezioni. Attiva 2FA e verifica che non esistano accessi riusciti o account sospetti.
Una configurazione WordPress login sicura deve essere verificata dopo ogni cambio di plugin, URL o sistema di autenticazione.
Conclusione
Proteggere wp-admin richiede più livelli: HTTPS, credenziali uniche, 2FA, ruoli corretti, aggiornamenti, limitazione dei tentativi e backup.
Il cambio dell’URL o il CAPTCHA possono essere utili, ma non devono sostituire le difese fondamentali. Controlla periodicamente utenti, sessioni e log per individuare rapidamente attività anomale.
