Cambiare l'URL di login di WordPress: protezione dal brute force in 5 minuti

/wp-admin e /wp-login.php sono i due URL più attaccati di ogni sito WordPress. Le reti di bot vi provano in continuazione combinazioni di nome utente e password. Su un sito non protetto qualche migliaio di tentativi di brute force al giorno è la normalità — e molto raramente è innocuo. Il primo meccanismo di difesa più semplice ed efficace: spostare l'URL di login. In questo articolo Le mostro come farlo senza configurazione del server e senza rischiare di chiudersi fuori.

Perché cambiare l'URL di login?

Tre effetti:

1. I tentativi di brute force vanno a vuoto. I bot continuano a provare /wp-login.php — il Suo vero URL di login non lo conoscono.
2. Il carico del server cala. Ogni tentativo di brute force consuma risorse PHP e di database. Sull'hosting condiviso è misurabile.
3. Il log di sicurezza diventa più pulito. Vede gli attacchi reali invece del 99 % di rumore dei bot.

Non è una protezione completa — un aggressore professionista trova il nuovo URL con scanner o impronte (strutture del modulo di login). Ma elimina il 95 % della pressione automatizzata.

Metodo 1 (consigliato): il plugin „WPS Hide Login“

Il plugin fa esattamente un lavoro, lo fa in modo pulito e non richiede permessi sul server. Oltre 1 milione di installazioni attive, mantenuto con continuità.

Ecco come procedere:

1. Plugin → Aggiungi nuovo → cerchi „WPS Hide Login“ → installi, attivi.
2. Sotto Impostazioni → WPS Hide Login inserisca il nuovo slug di login, ad esempio mio-accesso o stellapolare-42. Eviti parole come „admin“, „login“, „secret“, che compaiono nelle liste di parole degli scanner.
3. Imposti l'URL di reindirizzamento — dove vengono reindirizzati i visitatori non connessi quando aprono /wp-admin. Predefinito: pagina 404. Io consiglio invece la homepage o una pagina personalizzata.
4. Salvi.

Importante — prima di salvare: annoti il nuovo slug in un posto sicuro, idealmente nel gestore di password. Se lo dimentica, dovrà disattivare il plugin via FTP (veda la sezione d'emergenza più sotto).

Dopo il salvataggio verifichi subito:

• https://suo-dominio.at/wp-admin → dovrebbe portare alla destinazione del reindirizzamento.
• https://suo-dominio.at/wp-login.php → lo stesso.
• https://suo-dominio.at/mio-accesso → compare il modulo di login.

Se tutto torna: aggiorni subito anche i segnalibri e il gestore di password.

Metodo 2: come funzione integrata nel plugin di sicurezza

Se usa già Solid Security (in passato iThemes Security) o Wordfence, non Le serve un plugin aggiuntivo. Entrambi offrono „Hide Backend“ / „Hide Login URL“ come funzione integrata.

Vantaggio: un plugin in meno. Svantaggio: cambiando plugin deve fare attenzione che il nuovo URL di login venga mantenuto o modificato consapevolmente.

Con Solid Security: Solid → Settings → Hide Backend → attivare → impostare l'URL → salvare.

Altro sul confronto tra i plugin di sicurezza nel mio articolo pilastro Plugin WordPress 2026 e nell'articolo esistente Misure di sicurezza per WordPress.

Metodo 3: lato server con .htaccess (Apache)

Per utenti esperti con hosting Apache. L'URL di login viene spostato senza plugin:

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule ^mio-accesso/?$ /wp-login.php [L]
    RewriteCond %{REQUEST_URI} ^/wp-login\.php [NC]
    RewriteCond %{HTTP_REFERER} !mio-accesso [NC]
    RewriteRule ^.*$ - [F,L]
</IfModule>

Vantaggi: nessun carico da plugin, intervento molto precoce nell'elaborazione della richiesta. Svantaggi: se un altro strumento riscrive il file .htaccess durante un aggiornamento di tema o plugin, la regola viene spesso sovrascritta. Il lavoro di manutenzione è maggiore.

Con Nginx (al posto di Apache) questo non funziona — lì serve un intervento nella configurazione di Nginx, cosa che presso la maggior parte degli hoster non è consentita. La soluzione con plugin è allora la via pragmatica.

L'URL di login da solo non basta — le tre integrazioni

Se è già in modalità sicurezza, aggiunga queste tre cose:

1. Autenticazione a due fattori (2FA)

La singola misura di sicurezza più importante. Anche con la password corretta, la 2FA protegge l'accesso.

Plugin consigliati:

• WP 2FA (gratuito)
• Two-Factor (open source, dagli sviluppatori del core di WordPress)
• Solid Security Pro (integrato)

Si scansiona un codice QR con un'app di autenticazione (Google Authenticator, Authy, 1Password, Bitwarden) e al login, dopo la password, si inserisce un codice di 6 cifre.

2. Eliminare il nome utente standard „admin“

Se il Suo utente amministratore si chiama ancora „admin“, la prima metà del tentativo di brute force è già indovinata. Crei un nuovo utente amministratore con un altro nome, tolga i diritti al vecchio utente „admin“, acceda con il nuovo utente e cancelli il vecchio. I contenuti del vecchio utente, alla cancellazione, vengono assegnati a un altro utente — nessuna perdita di dati.

3. Limitare i tentativi di login

Anche con l'URL spostato — se prima o poi il nuovo URL viene trovato, l'aggressore deve restare bloccato per un'ora dopo 5 tentativi errati.

Plugin: Limit Login Attempts Reloaded (gratuito); Solid Security e Wordfence lo hanno integrato.

Vuole imparare la sicurezza di WordPress non a pezzi, ma come sistema coerente? Nel mio corso online Le mostro lo stack di livelli di sicurezza che imposto su ogni nuovo sito — dal login al firewall. → Al corso online

Emergenza: chiuso fuori perché ha dimenticato l'URL

Succede. Soprattutto dopo un cambio di hosting o quando il plugin dopo un aggiornamento reimposta temporaneamente l'URL. Ecco come rientrare:

1. Via FTP/SFTP entri nella directory wp-content/plugins/wps-hide-login/.
2. Rinomini la cartella in wps-hide-login-disattivato.
3. Con questo WordPress disattiva automaticamente il plugin.
4. /wp-login.php torna raggiungibile al percorso standard.
5. Acceda, imposti un nuovo valore per l'URL o riconfiguri il plugin.

Se non ha accesso FTP: apra lo stesso percorso tramite il gestore file dell'hosting (cPanel, Plesk, ISPConfig ecc.).

Caso limite: account WooCommerce

I clienti WooCommerce non accedono tramite /wp-login.php, ma tramite /il-mio-account. Il plugin WPS Hide Login lascia in pace questa rotta — il login WooCommerce continua a funzionare normalmente. Importante: prima di attivare il plugin, lo verifichi esplicitamente una volta.

Caso limite: plugin di membership (Paid Memberships Pro, Restrict Content Pro)

Questi plugin creano spesso moduli di login propri. Come con WooCommerce: le rotte di login personalizzate non vengono toccate. Lei sposta solo l'accesso al backend di amministrazione.

Effetto SEO: positivo

Un URL di login spostato non ha un effetto SEO diretto — ma indirettamente sì:

• Il carico del server cala → TTFB migliore → Core Web Vitals migliori (veda Page Speed WordPress 2026).
• Meno attacchi riusciti → nessun blocco in Google Safe Browsing, nessuna perdita di reputazione.

Altro contesto SEO in Basi SEO per WordPress.

Domande frequenti

Funziona con il multisito?
Sì, WPS Hide Login supporta esplicitamente il multisito. Per ogni sotto-sito si può impostare un URL diverso.

Posso cambiare di nuovo l'URL in seguito?
In qualsiasi momento. Nelle impostazioni del plugin inserisca il nuovo valore e salvi. Il vecchio URL è immediatamente morto.

Che succede se qualcuno clicca su vecchi segnalibri?
Finisce sull'URL di destinazione del reindirizzamento (homepage o 404, a seconda dell'impostazione).

Gli scanner riconoscono comunque il nuovo URL?
Gli scanner professionali sì, con tempo a sufficienza. I bot standard: di norma no. Spostare l'URL di login è difesa in profondità, non una soluzione miracolosa.

Dovrei cambiare anche il prefisso standard del database wp_?
Sulle installazioni nuove: sì, non fa male. Su quelle esistenti: il rapporto tra sforzo e beneficio di solito non lo giustifica — il rischio di rovinare il database è reale.

Funziona con l'API REST e le password per applicazioni?
Sì. Gli accessi all'API REST passano da /wp-json/, non dall'URL di login — restano intatti.

Conclusione

Installato in 5 minuti, elimina il 95 % della pressione automatizzata da brute force. Integrato con 2FA, cambio del nome utente e limite ai tentativi di login, ottiene un sito WordPress che per la stragrande maggioranza degli aggressori è semplicemente troppo costoso.

Se vuole imparare la sicurezza di WordPress come concetto coerente — non come dieci consigli sparsi — il mio corso online è la via diretta. → Al corso online

---

Fonte delle immagini in evidenza e inline: illustrazioni realizzate appositamente nel design pletzenauer (nessuna foto stock).