Cosa fa WPCode nel tuo WordPress
WPCode è un gestore di snippet di codice: ti permette di aggiungere PHP, JavaScript, CSS, HTML o testo dalla bacheca, senza modificare il file functions.php del tema. Gli snippet sono salvati nel database, quindi sopravvivono a un aggiornamento o a un cambio di tema. Ogni snippet viene inserito automaticamente nella posizione che scegli (ovunque, solo nell’area di amministrazione, prima o dopo il contenuto, dopo un certo paragrafo...) oppure a mano con uno shortcode.
Il plugin aggiunge anche la schermata «Header & Footer», con tre campi (header, subito dopo il tag body di apertura, footer) per incollare codici di tracciamento o di verifica, una libreria di snippet pronti, generatori di codice e una logica condizionale: tipo di pagina, tipo di contenuto, URL della pagina, referrer, tassonomia, utente connesso o ruolo. Prima di attivare uno snippet PHP, WPCode lo esegue una volta e lo lascia inattivo se genera un errore. Può importare gli snippet da Code Snippets, Header Footer Code Manager, Post Snippets, Simple Custom CSS and JS e Woody Code Snippets.
Syed Balkhi e il team di WPBeginner lo hanno creato nel 2011 con il nome Insert Headers and Footers, rinominato WPCode nel 2022 (la sua cartella si chiama ancora insert-headers-and-footers). WPCode è un marchio di WPCode LLC. La versione a pagamento, WPCode Pro, offre già dal piano Basic la programmazione, le revisioni, la modalità di test e gli script per pagina; i piani superiori aggiungono i pixel di conversione automatici (Plus) e il controllo degli accessi per ruolo (Pro).
Per quali siti WPCode è una buona scelta
WPCode conviene non appena aggiungi spesso piccoli pezzi di codice:
- Siti che incollano codici di terze parti: tag di Google Analytics, pixel pubblicitari, verifica di AdSense o di Search Console, senza toccare il tema.
- Freelance e piccoli team: le modifiche PHP stanno in un elenco con nomi chiari, attivabili una per una, invece che in un functions.php che continua a crescere.
- Siti che sostituiscono piccoli plugin: la libreria offre snippet per disattivare i commenti o XML-RPC, consentire il caricamento di SVG e altro.
Non è lo strumento giusto se il tuo codice è versionato in Git e distribuito con un deploy: un plugin personalizzato o un mu-plugin resta più tracciabile. Se ti serve solo uno script nell’header, bastano la «Modalità Headers & Footers» di WPCode o Header Footer Code Manager; per il confronto con il rivale diretto, leggi la scheda di Code Snippets.
Punti di forza e limiti di WPCode
Punti di forza
- Reti di sicurezza gratuite. Prova prima dell’attivazione, disattivazione automatica degli snippet difettosi nell’area di amministrazione e una modalità provvisoria tramite parametro nell’URL.
- Logica condizionale inclusa. La versione gratuita filtra già per tipo di pagina, URL, referrer, ruolo o stato di accesso.
- Libreria e generatori. Gli snippet più comuni si installano con un clic, e i generatori scrivono il codice per tipi di contenuto o dati strutturati.
- Migrazione facile. Importazione da cinque plugin concorrenti ed esportazione degli snippet da un sito all’altro.
Limiti
- Revisioni e modalità di test a pagamento. Senza di esse, ogni modifica a uno snippet arriva subito sul sito pubblico, senza cronologia delle versioni.
- Gli errori pubblici non disattivano. Un errore PHP sul lato pubblico viene segnalato, ma lo snippet continua a girare.
- Molti richiami a Pro. Dispositivo, programmazione o script per pagina compaiono nell’editor con l’etichetta PRO.
- Prezzo di lancio. Il piano Basic costa 99 $ all’anno (49 $ il primo anno): lo sviluppatore precisa che i rinnovi sono a prezzo pieno.
Le impostazioni che consigliamo per WPCode
Tutte esistono nella versione gratuita attuale, in Snippet di codice > Impostazioni e nell’editor di ogni snippet.
| Impostazione | Valore consigliato | Perché |
|---|---|---|
| Registro degli errori Snippet di codice > Impostazioni > Gestione degli errori | Attivo | Disattivato di default; conserva gli errori di ogni snippet, consultabili in Snippet di codice > Strumenti > Registri. |
| Info della barra di amministrazione Snippet di codice > Impostazioni > Impostazioni generali | Attivo (predefinito) | Mostra quali snippet vengono caricati nella pagina e il link «Snippet con errori». |
| Modalità Headers & Footers Stessa schermata | Disattivato (predefinito) | Riduce WPCode ai tre campi di header e footer e disattiva tutti i tuoi snippet personalizzati. |
| «AI & Automation Access» Stessa schermata | Disattivato (predefinito) | Da attivare solo se uno strumento di IA collegato tramite la Abilities API di WordPress deve creare o modificare i tuoi snippet. |
| Elimina tutti i dati in fase di disinstallazione Stessa schermata | Disattivato (predefinito) | Se attivo, eliminare il plugin cancella per sempre tutti gli snippet. |
| Permetti il tracciamento dell’utilizzo Stessa schermata | Secondo la tua politica sui dati | Invia allo sviluppatore informazioni sulla tua configurazione, sui temi e sui plugin. |
| Posizione di uno snippet PHP Snippet di codice > Aggiungi Snippet > Inserimento | «Solo per gli amministratori» o «Solo frontend» invece di «Esegui ovunque» | Il codice che serve a un solo lato del sito non deve girare anche sull’altro. |
- Annota l’indirizzo della modalità provvisoria:
/wp-admin/admin.php?page=wpcode&wpcode-safe-mode=1; ferma gli snippet inseriti automaticamente solo per te. - Prova ogni nuovo snippet PHP su una copia di staging prima di attivarlo in produzione.
- Esporta i tuoi snippet da Snippet di codice > Strumenti > Esporta e conserva il file insieme ai backup.
- Se non riesci più ad accedere, la costante
WPCODE_SAFE_MODEimpostata a true in wp-config.php ferma gli snippet per tutti i visitatori: toglila appena lo snippet è corretto.
La sicurezza di WPCode: un plugin che esegue PHP
Per sua natura, WPCode esegue il codice che gli affidi: un account in grado di gestire gli snippet può far girare qualsiasi PHP sul server. Nella versione gratuita solo gli amministratori gestiscono gli snippet; dare permessi ad altri ruoli richiede il piano Pro. Le falle pubblicate riguardano soprattutto controlli dei permessi insufficienti:
- CVE-2026-8832, corretta nella 2.3.6: un account autore poteva pubblicare uno snippet PHP tramite XML-RPC e farlo eseguire, una esecuzione di codice da remoto (CVSS 8,8).
- CVE-2023-1624, corretta nella 2.0.9: una falla CSRF permetteva di far cancellare file di log a un utente autorizzato ad attivare snippet.
- CVE-2023-0328, corretta nella 2.0.7: qualsiasi account in grado di modificare articoli poteva cambiare o cancellare la chiave di collegamento alla Libreria di WPCode.
Attiva gli aggiornamenti automatici di WPCode (vedi la nostra guida agli aggiornamenti automatici dei plugin) e limita il numero di amministratori e autori, come spiega il nostro articolo su ruoli e capacità di WordPress. WP Masquerade rimuove dal codice pubblico i riferimenti alla cartella e ai file di WPCode, rendendo il plugin più difficile da individuare per i bot, senza sostituire l’aggiornamento.
Cosa nasconde WP Masquerade di WPCode
Versione gratuita Gestito dalla versione gratuita di WP Masquerade
WPCode è uno dei 50 plugin più usati che la versione gratuita conosce. Pro va oltre e rinomina i suoi file.
Versione gratuita
Niente da togliere
Con Pro
- nome della cartella
- ID dei tag
Resta visibile
Nessuna traccia nota
Domande frequenti su WPCode
WPCode è lo stesso plugin di Insert Headers and Footers?
Sì. Insert Headers and Footers è stato rinominato WPCode nel 2022 e ha mantenuto la stessa pagina su wordpress.org. Se vuoi solo i vecchi campi di header e footer, la «Modalità Headers & Footers» nelle impostazioni ripristina quell’interfaccia.
Perdo i miei snippet se cambio tema?
No: sono salvati nel database, indipendentemente dal tema. Spariscono solo se elimini il plugin con l’opzione di cancellazione dei dati attiva.
Cosa faccio se uno snippet PHP manda in errore il sito?
Apri l’elenco degli snippet con il parametro wpcode-safe-mode=1, disattiva lo snippet colpevole e poi clicca su «Esci dalla modalità provvisoria». Se l’area di amministrazione non è raggiungibile, usa la costante WPCODE_SAFE_MODE in wp-config.php.
Quanto costa WPCode Pro?
La pagina dei prezzi indica il piano Basic a 99 $ all’anno per un sito (49 $ il primo anno), con rinnovi a prezzo pieno. Plus (5 siti, 149 $ all’anno), Pro (25 siti, con controllo degli accessi, 249 $ all’anno) e Bundle (100 siti, 399 $ all’anno) seguono lo stesso schema, con garanzia di rimborso di 14 giorni.