Ogni sito WordPress ha la stessa porta d’ingresso, e tutti sanno dove si trova: basta aggiungere /wp-login.php o /wp-admin all’indirizzo del sito. Lo sanno anche i bot, programmi automatici che girano giorno e notte provando migliaia di combinazioni di nomi utente e password. Non fanno differenze: anche il sito della più piccola associazione di volontariato, di una cooperativa sociale o di un ente del terzo settore riceve ogni giorno tentativi di accesso da indirizzi sconosciuti.
In questo articolo vediamo perché la pagina di login è il bersaglio preferito degli attacchi e come proteggerla con CS Access Gate, il plugin gratuito per WordPress che abbiamo sviluppato per i siti di Comunicare Sociale e che mettiamo a disposizione delle associazioni del terzo settore e degli enti non profit.
Perché la pagina di login è così presa di mira
Per un attaccante la pagina di accesso è il punto più comodo: è sempre allo stesso indirizzo, è uguale su milioni di siti e basta indovinare una password per avere in mano tutto. Gli attacchi “a forza bruta” funzionano proprio così: tentativi automatici, ripetuti, finché una combinazione non va a segno.
Anche quando non riescono a entrare, questi tentativi hanno un costo:
- appesantiscono il server, che deve rispondere a ogni richiesta e può rallentare per tutti i visitatori;
- riempiono i registri di tentativi falliti, rendendo più difficile accorgersi dei problemi veri;
- mettono alla prova le password di tutti gli utenti, comprese quelle dei volontari che accedono di rado e magari usano password deboli.
Perché riguarda da vicino il terzo settore
Per un ente non profit il sito non è solo una vetrina: raccoglie iscrizioni, donazioni, richieste di aiuto, a volte dati personali di soci, volontari e beneficiari. Un accesso non autorizzato può significare contenuti modificati, dati esposti e, soprattutto, un danno alla fiducia di chi sostiene l’associazione.
C’è poi una caratteristica tipica del nostro mondo: i siti delle associazioni sono gestiti spesso da volontari, a turno, con poco tempo e budget ridotti per la sicurezza. Account condivisi, password scelte in fretta, persone che cambiano da un anno all’altro: sono proprio le condizioni in cui un attacco automatico ha più probabilità di riuscire. Una protezione che lavora da sola, senza richiedere competenze tecniche, fa la differenza.
L’idea: spostare la porta
Password robuste e aggiornamenti restano fondamentali. Ma c’è un passo in più, semplice ed efficace: togliere la porta dal posto in cui tutti la cercano. Se il modulo di accesso non si trova più agli indirizzi standard, la gran parte dei bot non ha nulla da attaccare e passa oltre.
È esattamente quello che fa CS Access Gate.
Cosa fa CS Access Gate
- Indirizzo di accesso segreto: wp-login.php e wp-admin non sono più la porta d’ingresso. Si entra da un indirizzo scelto da te, che conosce solo chi gestisce il sito.
- Pagina portale: chi arriva dagli indirizzi standard non trova il modulo di login ma una pagina pulita, senza campi da compilare.
- Niente si rompe: recupero password, admin-ajax, REST API, cron e plugin come WooCommerce continuano a funzionare normalmente.
- Sito singolo e multisito: è stato progettato fin dall’inizio per entrambe le installazioni.
- Funziona anche da solo: non richiede altri plugin per proteggere il sito.
Ancora più forte insieme a CS Total Armor
Se sul sito è installato anche CS Total Armor, il nostro plugin di sicurezza attiva, i due lavorano in squadra: i tentativi di accesso dal vecchio indirizzo vengono segnalati a Total Armor e contano come comportamento sospetto. Chi insiste viene bloccato, e con la rete di Total Armor l’informazione può proteggere anche gli altri siti.
Come iniziare
CS Access Gate si scarica gratuitamente da CS Hub, il sito da cui distribuiamo i plugin di Comunicare Sociale. Si installa da Plugin → Aggiungi nuovo → Carica plugin e, una volta attivato, gli aggiornamenti arrivano da soli.
Qualche consiglio pensato per chi gestisce il sito di un’associazione:
- salva l’indirizzo segreto nei preferiti del browser o in un gestore di password, e comunicalo solo a chi deve accedere;
- non pubblicarlo in pagine, email di massa o documenti condivisi: perderebbe il suo valore;
- dai a ogni volontario il suo account, con la propria password, invece di un accesso condiviso: quando qualcuno lascia l’associazione basta disattivare il suo utente;
- tieni a mente la via d’uscita: se lo dimentichi, chi ha accesso ai file del sito può disattivare il plugin rinominandone la cartella, e l’accesso torna quello standard.
Un piccolo passo, una grande differenza
Nascondere la porta non sostituisce le altre buone pratiche, ma riduce drasticamente il rumore degli attacchi automatici e rende il sito un bersaglio molto meno interessante. Per un’associazione o un ente non profit significa proteggere i dati di soci e donatori e il lavoro di tanti volontari, senza costi e senza bisogno di un tecnico dedicato. Insieme a un buon sistema di backup, come quello che raccontiamo nell’articolo su CS Backup, è una delle protezioni più semplici da mettere in campo. Trovi tutte le informazioni e il download sulla pagina di CS Access Gate su CS Hub.
