Serve accesso root/SSH al VPS: questa guida presume che tu abbia già un VPS attivo con WordPress installato e un accesso SSH con privilegi amministrativi.

Se gestisci un VPS con WordPress, prima o poi vedrai i log del server riempirsi di tentativi di accesso falliti, spesso migliaia in poche ore, provenienti da bot automatizzati che provano combinazioni di username e password. Se vedi questo, niente panico: è un fenomeno costante su qualsiasi server esposto a internet, non un segnale che sei stato preso di mira specificamente. La difesa efficace si costruisce su due livelli distinti e complementari: un firewall di rete sul VPS, e un firewall applicativo (WAF) a livello di WordPress. Vediamo come impostare entrambi senza rischiare di bloccare il tuo stesso accesso.

Vai direttamente a: Firewall di rete sul VPS · WAF a livello WordPress · Bloccare il brute force · Problemi comuni

In breve

  • Un firewall di rete (VPS) e un firewall applicativo (WAF) coprono minacce diverse e vanno usati insieme, non l'uno al posto dell'altro.
  • Sul VPS, un firewall come UFW permette di aprire solo le porte davvero necessarie, bloccando tutto il resto.
  • Un plugin con WAF integrato filtra le richieste dannose prima che raggiungano il codice di WordPress.
  • Limitare i tentativi di accesso al login è la difesa più efficace contro gli attacchi brute force.
  • Per DDoS su larga scala serve una protezione a livello di rete/CDN dedicata, non solo un WAF applicativo.
Non ti senti sicuro a configurare il firewall da solo?

Configuriamo firewall di rete e WAF sul tuo VPS WordPress, con test delle regole prima di attivarle in produzione.

Richiedi un intervento tecnico rapido

Firewall di rete sul VPS

Il primo livello di difesa riguarda il sistema operativo del VPS stesso: quali porte sono raggiungibili dall'esterno e da chi.

  1. Attiva un firewall di sistema come UFW (Uncomplicated Firewall), disponibile sulla maggior parte delle distribuzioni Linux usate sui VPS.
  2. Consenti esplicitamente solo le porte necessarie: 80 e 443 per il traffico web, e la porta usata per l'accesso SSH.
  3. Blocca di default tutto il resto: qualsiasi altra porta non serve a WordPress e resta solo una superficie di attacco inutile.
  4. Valuta di spostare l'accesso SSH su una porta non standard (diversa dalla 22): riduce drasticamente il numero di tentativi automatizzati, anche se non è una misura di sicurezza da sola sufficiente.

Un firewall applicativo (WAF) a livello WordPress

Il firewall di rete non sa nulla di cosa sia effettivamente WordPress: lascia passare qualsiasi richiesta diretta alle porte 80 e 443, comprese quelle dannose. Un WAF (Web Application Firewall) lavora a un livello più alto, analizzando il contenuto delle richieste HTTP prima che raggiungano il codice di WordPress, bloccando pattern noti di attacco come tentativi di SQL injection, upload di file sospetti o richieste malformate.

La strada più pratica per la maggior parte dei siti è un plugin di sicurezza con WAF integrato: gestisce automaticamente un elenco di firme di attacco aggiornato, senza richiedere configurazioni manuali complesse a livello di server.

Pagine ufficiali verificate
W Hardening WordPressdeveloper.wordpress.org F Wordfence Security (WAF incluso)wordpress.org

Bloccare gli attacchi brute force sul login

Gli attacchi brute force provano automaticamente centinaia o migliaia di combinazioni di username e password sulla pagina di login, sperando di indovinarne una valida. La difesa più efficace è il rate limiting: limitare il numero di tentativi falliti consentiti da uno stesso indirizzo IP in un certo intervallo di tempo, bloccandolo temporaneamente oltre quella soglia.

  • Configura il blocco temporaneo dell'IP dopo un numero ragionevole di tentativi falliti (ad esempio 5 in 5 minuti), funzione inclusa nella maggior parte dei plugin di sicurezza.
  • Attiva l'autenticazione a due fattori per gli account amministratore: anche se un attaccante indovina la password, non basterà ad accedere.
  • Valuta di rinominare la pagina di login predefinita (wp-login.php) tramite un plugin dedicato, per ridurre il numero di tentativi automatizzati che la trovano.

Protezione di base da DDoS

Un WAF applicativo può attenuare piccoli picchi di traffico anomalo, ma un vero attacco DDoS (Distributed Denial of Service) su larga scala genera un volume di richieste che nessun firewall software sul singolo server può assorbire da solo. Per una protezione seria contro attacchi volumetrici, serve una soluzione a livello di rete, come un servizio di proxy/CDN che filtra il traffico prima che raggiunga il tuo VPS, distribuendo il carico su un'infrastruttura molto più ampia della tua.

Risolvere i problemi più comuni

1

Ho bloccato per errore il mio stesso accesso SSH

Il più rischioso

Prima di attivare regole restrittive sul firewall di rete, verifica sempre di avere una regola esplicita che consente la tua porta SSH attuale, e testa la connessione da un secondo terminale prima di chiudere quello attivo: se ti blocchi fuori, potresti dover contattare il supporto del provider VPS per un accesso alternativo (console web).

2

Il WAF genera troppi falsi positivi

Alcuni plugin WAF offrono una modalità "solo log" prima di passare al blocco attivo: usala per qualche giorno per individuare eventuali regole troppo aggressive che bloccherebbero traffico legittimo (ad esempio da servizi di pagamento o API esterne), prima di attivare il blocco automatico.

3

Gli attacchi brute force continuano nonostante il firewall

Verifica che il rate limiting sia configurato correttamente e che la soglia non sia troppo alta. Se gli attacchi provengono da un numero limitato e ricorrente di indirizzi IP, valuta di bloccarli in modo permanente a livello di firewall di rete, oltre al blocco temporaneo del WAF.

Testa sempre prima di bloccareAttiva le nuove regole in modalità di solo log per qualche giorno prima di passare al blocco automatico: è il modo più sicuro per evitare di bloccare traffico legittimo, incluso il tuo stesso accesso.

Conclusioni

Un firewall efficace su un VPS con WordPress non è un singolo strumento, ma una combinazione di due livelli complementari: il firewall di rete che riduce la superficie di attacco a livello di sistema, e il firewall applicativo che filtra le richieste dannose prima che raggiungano WordPress. Insieme al rate limiting sul login e all'autenticazione a due fattori, coprono la stragrande maggioranza dei tentativi di intrusione automatizzati, lasciando solo gli attacchi DDoS su larga scala come scenario che richiede una protezione dedicata a livello di rete.

Vuoi un VPS configurato in sicurezza fin da subito?

Impostiamo firewall di rete, WAF e protezione brute force sul tuo VPS WordPress, da remoto o a Roma.

Richiedi assistenza ora
WordPress VPS Firewall Sicurezza