Cosa fa All-In-One Security sul tuo sito WordPress
All-In-One Security (AIOS) è sviluppato da Team Updraft, il team di UpdraftPlus. Raccoglie in un solo menu la protezione dell’accesso (limite dei tentativi, autenticazione a due fattori con app TOTP, pagina di login rinominata, blocco dell’enumerazione degli account), un firewall applicativo basato su regole PHP e .htaccess, tra cui le regole 6G di Perishable Press, la sicurezza dei file (permessi, editor dei file disattivato, rilevamento dei file modificati), il filtro antispam dei commenti e un registro di audit.
Ogni funzione è classificata come base, intermedia o avanzata e fa salire il punteggio del “Security strength meter” nella bacheca del plugin. Una procedura guidata iniziale propone di attivare un primo gruppo di impostazioni consigliate. Una volta “configurato”, il firewall PHP viene caricato prima di WordPress tramite la direttiva auto_prepend_file. Secondo l’informativa sulla privacy del plugin, gli indirizzi IP e i log raccolti restano sul tuo server.
La versione gratuita copre bene accesso e firewall. AIOS Premium, un add-on che si installa sopra la versione gratuita, aggiunge la scansione malware con monitoraggio di disponibilità e tempi di risposta, il blocco per paese, il blocco degli IP che accumulano errori 404, un’autenticazione a due fattori avanzata (obbligatoria per alcuni ruoli, codici di emergenza, dispositivi attendibili, moduli di login WooCommerce) e il supporto via ticket. Piani annuali, tasse escluse: Personal a 89 $ per 2 siti, Business a 149 $ per 10 siti, Agency a 249 $ per 35 siti ed Enterprise a 349 $ per siti illimitati.
Per quali siti AIOS è una buona scelta
- Blog e siti vetrina su Apache o LiteSpeed che vogliono accesso, firewall e file configurati in un unico posto, gratis.
- Chi è alle prime armi con la sicurezza: i livelli delle funzioni e il punteggio indicano da dove partire.
- Siti che fanno già i backup con UpdraftPlus: AIOS può avviare un backup del database tramite UpdraftPlus dal suo menu Database Security.
- Freelance con pochi siti: il primo piano Premium copre già 2 siti, il successivo 10.
AIOS è meno adatto a un sito su Nginx o IIS, dove le protezioni scritte in .htaccess non si applicano, a un sito che vuole una scansione malware gratuita (lo scanner di Wordfence lo è) o a un sito che mantiene un’altra suite di sicurezza completa: due firewall e due limitatori di accesso si ostacolano.
Punti di forza e limiti di All-In-One Security
Punti di forza
- Molte funzioni gratuite. Autenticazione a due fattori, limite degli accessi, firewall, rilevamento dei file modificati e registro di audit non richiedono licenza.
- Una configurazione guidata. La procedura guidata, i livelli da base ad avanzato e il punteggio evitano di attivare subito le opzioni rischiose.
- Nessun account da creare. Firewall, limite degli accessi e log della versione gratuita funzionano sul tuo server, senza licenza né account TeamUpdraft.
- Un Premium condiviso tra siti. Il piano base copre 2 siti ed Enterprise un numero illimitato.
Limiti
- Nessuna scansione malware gratuita. La versione gratuita rileva i file modificati, ma non cerca codice malevolo.
- Regole generiche. Il firewall applica set di regole come il 6G, senza patch virtuali annunciate per la falla di un plugin specifico.
- Legato ad Apache. Su Nginx o IIS le regole
.htaccessnon hanno effetto. - Opzioni che possono chiuderti fuori. Rinominare la pagina di login o bloccare XML-RPC o la REST API rompe alcune funzioni se le attivi senza test.
- 2FA obbligatoria e codici di emergenza a pagamento. Nella versione gratuita ogni utente decide se attivarla.
Le impostazioni di AIOS che consigliamo
Etichette di AIOS 5.5 in inglese: la traduzione italiana dell’interfaccia è incompleta. Fai un backup prima di toccare il firewall e tieni a portata un accesso FTP o il file manager dell’hosting per disattivare il plugin se resti chiuso fuori.
| Impostazione | Valore consigliato | Perché |
|---|---|---|
| “Enable login lockout feature” AIOS > User Security > Login lockout | Attivo; “Max login attempts” tra 3 (predefinito) e 5 | Disattivato dopo l’installazione. Ogni nuovo blocco triplica la durata, fino a 60 minuti per impostazione predefinita. |
| “Allow unlock requests” Stessa scheda | Attivo | Un utente legittimo bloccato può chiedere un link di sblocco via email. |
| “Make two factor authentication available” AIOS > Settings > Two factor authentication | Almeno amministratori ed editori | Poi ogni utente attiva il proprio codice in AIOS > Two Factor Auth. Prova il login da una finestra privata. |
| “Disable PHP file editing” AIOS > File Security > File protection | Attivo | Un account amministratore rubato non può più iniettare codice dall’editor di temi e plugin. |
| “Enable automated file change detection scan” AIOS > Scanner > File change detection | Attivo, una volta al giorno | Escludi le cartelle di cache e di log, altrimenti gli avvisi diventano rumore. |
| “IP address detection settings” AIOS > Settings > Advanced settings | La variabile della tua infrastruttura (HTTP_CF_CONNECTING_IP dietro Cloudflare) | Un valore sbagliato può far bloccare l’indirizzo del proxy, e con lui tutti i visitatori. |
| “Enable 6G firewall protection” AIOS > Firewall > PHP rules > nG firewall rules | Attivo, dopo un test in staging | Lascia consentito il metodo PUT (predefinito): lo usano alcune estensioni WooCommerce e alcune richieste REST. |
| “Disable pingback functionality from XMLRPC” AIOS > Firewall > PHP rules > Security enhancements | Attivo; “Completely block access to XMLRPC” solo senza Jetpack né app mobili | Blocca i pingback abusati senza rompere i servizi che usano XML-RPC. |
| “Detect spambots posting comments” AIOS > Spam Prevention > Comment spam | Attivo se i commenti sono aperti | Il commento di un visitatore senza JavaScript o cookie viene scartato o segnato come spam; controlla anche la cache delle pagine. |
Rinominare la pagina di login (AIOS > Brute Force > Rename login page) è utile, ma non combinarlo con un altro strumento che modifica già quell’indirizzo. Annota il nuovo indirizzo prima di salvare. Per scegliere le soglie di blocco, leggi la nostra guida su come limitare i tentativi di accesso.
- Il tuo account accede con il codice a due fattori da una finestra privata.
- L’indirizzo IP che AIOS mostra per te nelle impostazioni avanzate è davvero il tuo.
- Moduli, carrello e pagamento funzionano ancora dopo l’attivazione del 6G.
- Una prima scansione dei file modificati è terminata e ne hai controllato i risultati.
Le vulnerabilità corrette in AIOS
Come ogni plugin di sicurezza, anche AIOS ha avuto le sue falle. La più seria tra le recenti, CVE-2026-8438, permetteva a un visitatore anonimo di iniettare JavaScript nel log di debug quando il blocco della REST API e quel log erano attivi insieme; è corretta nella 5.4.8. CVE-2024-1037, un XSS riflesso tramite il parametro tab, è corretta nella 5.2.6, e CVE-2022-4097, che consentiva di falsificare l’indirizzo IP per aggirare i blocchi, nella 5.0.8. La versione 5.5.0 di ottobre 2026 ha inoltre rafforzato l’autenticazione a due fattori e lo sblocco degli account. La mossa utile: attivare gli aggiornamenti automatici dei plugin per AIOS.
Nascondere AIOS non corregge nessuna falla, ma rende più difficile individuarlo ai bot che cercano le sue versioni vulnerabili. Il nostro confronto dei plugin di sicurezza per WordPress mette AIOS a confronto con Wordfence, Solid Security e Sucuri.
Cosa nasconde WP Masquerade di All-In-One Security (AIOS)
Pro Gestito solo da WP Masquerade Pro
La versione gratuita non conosce le tracce proprie di All-In-One Security (AIOS): senza Pro vengono tolti solo i tag generator, come per qualsiasi plugin.
Versione gratuita
Gestito solo da WP Masquerade Pro
Con Pro
- nome della cartella
- ID dei tag
Resta visibile
Nessuna traccia nota
Domande frequenti su All-In-One Security
AIOS gratuito basta per un sito piccolo?
Per un blog o un sito vetrina aggiornato, spesso sì: limite degli accessi, autenticazione a due fattori e firewall sono gratuiti. Manca la scansione malware, che offre Premium o un altro plugin.
Si può usare AIOS insieme a Wordfence?
Non è consigliato: due firewall e due limitatori di accesso si sovrappongono e complicano la gestione dei blocchi. Scegli una suite principale e disattiva le funzioni doppie.
AIOS mi ha chiuso fuori dal sito: cosa faccio?
Aspetta la fine del blocco o chiedi il link di sblocco via email se l’opzione è attiva. Altrimenti rinomina via FTP la cartella all-in-one-wp-security-and-firewall per disattivare il plugin, poi correggi l’impostazione responsabile.
AIOS funziona su un server Nginx?
Sì per le funzioni gestite in PHP (accesso, autenticazione a due fattori, regole PHP del firewall). Secondo le FAQ dello sviluppatore, le protezioni scritte in .htaccess non si applicano.