Cerchi un'alternativa a Wordfence? Decidono queste sei domande

Un plugin di sicurezza raramente si sostituisce per curiosità. Di solito c'è un motivo: il sito è diventato lento, la casella di posta è piena di segnalazioni, oppure in una verifica sulla protezione dei dati è sorta la domanda su cosa il plugin invii effettivamente all'esterno. Questo testo mette in ordine i motivi abituali e per ciascuno indica la domanda a cui un'alternativa deve rispondere.

Motivo 1: troppe segnalazioni, troppo poche vere

Il motivo più frequente, e il più pericoloso: chi ogni settimana liquida con un clic tre rilevamenti innocui, prima o poi liquiderà anche quello vero. La domanda da porre a ogni alternativa non è quindi «quanti pattern ha», ma come gestisce i falsi positivi.

Come riconoscerlo: lo strumento dice COSA cerca? Si può approvare un rilevamento — e l'approvazione decade se il file cambia? Kakapo Security lega ogni approvazione al checksum del contenuto letto: non appena qualcosa nel file viene modificato, il rilevamento ricompare. È scomodo ed è giusto.

Un pulsante di massa «approva tutti» è un segnale d'allarme, non una comodità. È un'amnistia generale con un clic — proprio per i casi che si sarebbero dovuti esaminare uno per uno.

Motivo 2: il sito è diventato lento

Una scansione su decine di migliaia di file richiede tempo di calcolo. Ciò che conta è se se lo prende quando non c'è nessuno o nel bel mezzo delle visite. Domanda da porre all'alternativa: la passata viene eseguita a piccole porzioni con un budget di tempo, si può mettere in pausa e al successivo avvio riprende da dove era rimasta?

Seconda domanda, spesso dimenticata: cosa succede a ogni singola visita di pagina? Un firewall controlla anche lì. Più regole ci sono, più lavoro serve per ogni richiesta — e tanto più importante è che le regole siano essenziali e verificate anziché numerose.

Motivo 3: nulla deve uscire all'esterno

Un plugin di sicurezza vede tentativi di accesso con nomi utente, indirizzi IP, elenchi di file e contenuti del database. Se qualcosa di tutto questo viene inviato a un servizio, quel servizio va inserito nel tuo registro delle attività di trattamento. Domanda da porre all'alternativa: cosa esce dal server, e si può disattivare?

In Kakapo Security pattern del firewall, pattern di ricerca e logica di verifica si trovano nel plugin. All'esterno va solo ciò che configuri tu: i checksum del core di WordPress da api.wordpress.org e — se ne indichi una — la tua fonte di vulnerabilità. Di serie quest'ultima è vuota.

Motivo 4: il vero punto debole è l'accesso

La maggior parte delle compromissioni non passa da una falla nel codice, ma da una password. Verifica quindi cosa offre l'alternativa per l'accesso — e anche oltre la limitazione dei tentativi falliti: spostare l'indirizzo di accesso, imporre password robuste, vedere e terminare le sessioni attive, una finestra oraria per gli accessi, una restrizione per paese di provenienza.

E la domanda scomoda sui due fattori: basta un codice via e-mail, o vi serve un'app di autenticazione? Kakapo Security fornisce solo codici via e-mail e lo scrive anche così nell'interfaccia. Per molte redazioni è sufficiente. Chi ha bisogno di TOTP deve chiederlo prima di cambiare.

Motivo 5: nell'emergenza mancavano le informazioni

Dopo un incidente non conta cosa è stato respinto, ma cosa si può dimostrare: chi ha effettuato l'accesso e quando, cosa è stato modificato nei file, chi ha cambiato quale impostazione. Domanda da porre all'alternativa: esiste un registro — e vi si vedono le modifiche successive?

Kakapo Security concatena le sue voci di attività e calcola la catena rispetto a un valore del tuo wp-config.php. Chi modifica o rimuove una voce spezza la catena in modo visibile. Non è una cassaforte, ma distingue un registro da un elenco che si può modificare in silenzio.

Motivo 6: cinque plugin per cinque compiti

Sicurezza, cookie, backup, velocità — ogni tema un plugin, ognuno con la propria interfaccia, il proprio login, la propria fattura. Se il motivo è questo, la domanda non è «quale plugin di sicurezza», ma se gli altri moduli arrivano dallo stesso fornitore e se si usano allo stesso modo.

La checklist in breve

Cosa nessuna alternativa può fare

Nessun plugin in WordPress sostituisce un firewall davanti al server web, perché entra in funzione solo quando PHP è già avviato. Nessuno sostituisce gli aggiornamenti tempestivi. E nessuna scansione trova ogni codice malevolo — trova ciò che somiglia ai suoi pattern. Chi tiene a mente queste tre frasi sceglie in modo diverso e più sereno.

Acquisisci lo stato di riferimento dei tuoi file finché è certo che il sito sia pulito. Uno stato acquisito solo dopo un'infezione dichiara il codice malevolo condizione normale — e da quel momento non salta più all'occhio.

Domande frequenti