Quale plugin di sicurezza WordPress scegliere? Per una suite gratuita completa che gira sul tuo server, Wordfence resta il riferimento. Per fermare gli attacchi prima del server e affidare la pulizia a persone in carne e ossa, Sucuri. Per neutralizzare in fretta le vulnerabilità note dei plugin, Patchstack. Su un hosting modesto, MalCare, che analizza il sito sui propri server. Per un’agenzia, Defender. Abbiamo confrontato undici plugin con gli stessi criteri (firewall, scansione, login, avvisi di vulnerabilità, mascheramento, prezzo), partendo dalle pagine ufficiali verificate.
Nessuno fa tutto: un firewall applicativo filtra le richieste, uno scanner cerca il malware a cose fatte, un servizio di monitoraggio segnala le vulnerabilità note, altri strumenti riducono ciò che i bot vedono del tuo sito. Questa pagina ti aiuta a scegliere un plugin principale, poi un complemento senza doppioni.
Trasparenza: questa pagina è pubblicata dallo sviluppatore di WP Masquerade, uno dei plugin confrontati, segnalato con la dicitura «Il nostro prodotto». Tutti i plugin sono descritti con gli stessi criteri; nessuno sviluppatore citato ci paga e la pagina non contiene link di affiliazione. Dettagli nel metodo.
La nostra selezione in breve
Un plugin per ogni esigenza principale; ogni scheda spiega anche cosa non fa.
- La suite gratuita più completa Wordfence Firewall, scansione e autenticazione a due fattori gratis, sul tuo server.
- Firewall prima del server Sucuri Filtraggio nel cloud e pulizia manuale nei piani Platform.
- Vulnerabilità dei plugin Patchstack Patch virtuali da 5 $ al mese per sito.
- Hosting modesto MalCare La scansione gira sui suoi server, non sul tuo.
- Agenzia con molti siti Defender Suite gratuita completa e gestione centralizzata con WPMU DEV.
- Nascondere WordPress, come complemento WP Masquerade Meno indizi per i bot, login blindato con Pro (il nostro prodotto).
Gli 11 plugin a confronto
La tabella serve a fare una prima selezione; le schede che seguono spiegano le differenze che contano al momento di pagare.
| Plugin | Ideale per | Approccio | A pagamento da | Punto forte | Limite |
|---|---|---|---|---|---|
| Wordfence | Avere tutto gratis | Suite sul tuo server | 149 $/anno | Firewall e scansione gratis | Regole gratuite in ritardo di 30 giorni |
| Sucuri | Siti aziendali | Firewall cloud (DNS) | 9,99 $/mese | Filtra prima del tuo server | Firewall assente nel plugin gratuito |
| Kadence Security | Siti con molti account | Login e account | 299 $/anno (Kadence Pro) | 2FA e regole sulle password | Nessuna scansione dei file |
| All-In-One Security (AIOS) | Piccoli siti, budget zero | Suite sul tuo server | 89 $ IVA esclusa/anno, 2 siti | Registro di audit gratuito | Scansione malware a pagamento |
| Jetpack Protect | Siti che usano già Jetpack | Monitoraggio vulnerabilità | 8,95 €/mese | Controllo quotidiano gratuito | Niente autenticazione a due fattori |
| Patchstack | Siti con molti plugin | Patch virtuali | 5 $/mese per sito | Blocca le vulnerabilità note | Gratis: avvisa ma non blocca |
| MalCare | Hosting modesti | Scansione sui suoi server | 99 $/anno | Non appesantisce il tuo server | Pulizia nei piani Repair |
| Shield Security | Commenti aperti | Suite sul tuo server | 139 € IVA esclusa/anno | Bot bloccati senza CAPTCHA visibile | Avvisi di vulnerabilità a pagamento |
| WP Cerber | Amministratori esperti | Controllo degli accessi | 99 $/anno | Regole di accesso molto precise | Fuori da wordpress.org dal 2022 |
| Defender | Agenzie e freelance | Suite e gestione multisito | 50 $/anno (WPMU DEV) | Tutta la tabella gratis | Pro legato al piano WPMU DEV |
| WP Masquerade (il nostro prodotto) | Completare una suite | Superficie di attacco e login | 59 € IVA esclusa/anno | Nasconde WordPress ai bot | Né firewall né scanner |
Cosa contiene ogni versione gratuita
La stessa funzione è gratuita in un plugin e a pagamento in un altro: spesso è questo a fare la vera differenza di prezzo.
| Plugin | Firewall | Malware | 2FA | Falle | Login nascosto |
|---|---|---|---|---|---|
| Wordfence | Gratis | Gratis | Gratis | Gratis | No |
| Sucuri | Pagato | Gratis | Pagato | Pagato | No |
| Kadence Security | Gratis | Parziale | Gratis | Gratis | Gratis |
| All-In-One Security (AIOS) | Gratis | Pagato | Gratis | N.d. | Gratis |
| Jetpack Protect | Pagato | Pagato | No | Gratis | No |
| Patchstack | Pagato | No | Pagato | Gratis | No |
| MalCare | Gratis | Gratis | Gratis | Gratis | No |
| Shield Security | Gratis | Gratis | Gratis | Pagato | Gratis |
| WP Cerber | Sì | Sì | Gratis | N.d. | Sì |
| Defender | Gratis | Gratis | Gratis | Gratis | Gratis |
| WP Masquerade (il nostro prodotto) | No | No | Pro | Pro | Gratis |
Le suite complete che girano sul tuo server
Questi plugin riuniscono firewall applicativo, protezione del login e scansione dei file dentro WordPress. Vantaggio: vedono il contesto del sito (utente connesso, plugin preso di mira). Rovescio della medaglia: ogni richiesta filtrata e ogni scansione consumano le risorse del tuo hosting. Installane uno solo.
Wordfence
Il firewall e lo scanner gratuiti più installati, eseguiti sul tuo server
Suite sul tuo server Gratis, Premium 149 $/anno Blog, siti vetrina, piccoli negozi
- Installazioni Oltre 5 milioni
- Ultima versione 9.0.2 del 30 settembre 2026
- Premium 149 $ all’anno per sito
- Pulizia Piani Care e Response
Wordfence offre gratis ciò che la maggior parte dei concorrenti fa pagare: firewall applicativo, scansione dei file, limitazione dei login, CAPTCHA, autenticazione a due fattori e avvisi sulle vulnerabilità note. La vera differenza con Premium sta nei tempi: le regole del firewall e le firme della versione gratuita arrivano con 30 giorni di ritardo. Contro una vulnerabilità sfruttata appena pubblicata è tanto; Premium riceve le regole in tempo reale e aggiunge la blocklist di indirizzi IP in tempo reale e il blocco per paese.
Il rovescio di una suite che gira dentro WordPress: la scansione legge i file sul tuo hosting. Su un hosting condiviso affollato, pianificala nelle ore di minor traffico. Per un negozio che incassa pagamenti, il ritardo di 30 giorni giustifica Premium o un filtraggio a monte. Il nostro articolo Wordfence e WP Masquerade mostra come dividere i ruoli senza doppioni.
Punti di forza
- La versione gratuita più completa del confronto
- Scansione eseguita sul tuo server
- Avvisi sulle vulnerabilità note inclusi gratis
Limiti
- Regole e firme gratuite in ritardo di 30 giorni
- Scansioni pesanti su un piccolo hosting
- Registro attività e pulizia a pagamento
Per chi: un blog, un sito vetrina o un piccolo negozio che vuole una protezione ampia senza pagare, su un hosting che regge le scansioni locali.
Il nostro parere: il miglior punto di partenza gratuito; passa a Premium appena il sito incassa denaro.
Defender
Una suite gratuita completa, pensata per gestire molti siti con WPMU DEV
Suite sul tuo server Gratis, WPMU DEV da 50 $/anno Agenzie e freelance
- Installazioni Oltre 80.000
- Ultima versione 6.3.0 del 29 settembre 2026
- Piano a pagamento WPMU DEV Pro Basic, 50 $ all’anno, 1 sito
- Gestione Dashboard WPMU DEV
La versione gratuita di Defender spunta tutte le caselle della tabella: firewall locale, blocco dei bot malevoli, scansione dei file, autenticazione a due fattori, indirizzo di login nascosto, registro di audit e impostazioni di hardening. Ciò che la distingue da Wordfence non è una funzione in più, è la gestione: dalla dashboard di WPMU DEV un’agenzia applica e monitora le stesse impostazioni su tutti i siti dei clienti.
Defender Pro non ha un prezzo separato: fa parte dei piani WPMU DEV, che includono gli altri plugin Pro dello sviluppatore. Conviene se usi già questo ecosistema, meno se ti servono solo le scansioni pianificate, riservate alla versione a pagamento.
Punti di forza
- Tutte le funzioni della tabella in versione gratuita
- Gestione centralizzata di molti siti
- Registro di audit gratuito
Limiti
- Scansioni pianificate a pagamento
- Pro venduto solo nei piani WPMU DEV
- Meno utenti di Wordfence o AIOS
Per chi: le agenzie e i freelance che gestiscono più siti, soprattutto se usano già WPMU DEV.
Il nostro parere: l’alternativa gratuita più equilibrata a Wordfence, e la scelta migliore per gestire un parco di siti.
All-In-One Security (AIOS)
Tante impostazioni gratuite, dal firewall .htaccess al registro di audit
Suite sul tuo server Gratis, da 89 $ IVA esclusa/anno Piccoli siti, budget zero
- Installazioni Oltre 1 milione
- Ultima versione 5.5.0 del 26 ottobre 2026
- Personal 89 $ IVA esclusa all’anno, 2 siti (44,50 $ il primo anno per un nuovo cliente)
AIOS punta sulla quantità di impostazioni gratuite: regole di firewall in PHP e nel file .htaccess, limitazione dei login, autenticazione a due fattori di base, protezione dallo spam nei commenti, rilevamento delle modifiche ai file, registro di audit e indirizzo di login rinominato. Il registro di audit gratuito è un vero vantaggio rispetto a Wordfence e Kadence, che lo fanno pagare.
Due limiti pesano sulla scelta: la scansione malware è a pagamento, e lo sviluppatore non dichiara avvisi sulle vulnerabilità note. Su un piccolo sito, colma questa lacuna con un monitoraggio gratuito (Jetpack Protect o Patchstack). Il piano Personal copre due siti, quindi costa meno per sito di Wordfence Premium.
Punti di forza
- Registro di audit gratuito
- Antispam per i commenti incluso
- Piano a pagamento valido per 2 siti
Limiti
- Scansione malware a pagamento
- Nessun avviso di vulnerabilità dichiarato
- Molte opzioni da capire prima di attivarle
Per chi: i piccoli siti che vogliono molte impostazioni e un registro di audit senza pagare.
Il nostro parere: la versione gratuita più ricca per regolare tutto da sé, da completare con un monitoraggio delle vulnerabilità.
Shield Security
Blocca i bot su login e commenti senza CAPTCHA visibile
Suite sul tuo server Gratis, ShieldPRO 139 € IVA esclusa/anno Blog con commenti aperti
- Installazioni Oltre 30.000
- Ultima versione 22.3.4 del 27 ottobre 2026
- ShieldPRO Plus 139 € IVA esclusa all’anno
- Anti-bot silentCAPTCHA
Shield si distingue per silentCAPTCHA: riconosce i bot su login, registrazione e commenti senza chiedere al visitatore di cliccare su delle immagini. Per un blog che riceve spam nei commenti, è un plugin in meno da installare. La versione gratuita aggiunge un registro attività, l’autenticazione a due fattori e un indirizzo di login nascosto.
La scansione gratuita si limita al core di WordPress: la scansione di plugin e temi, gli avvisi di vulnerabilità e l’antispam dei moduli sono a pagamento. Eppure sono proprio i plugin da monitorare per primi (vedi monitorare le vulnerabilità dei plugin). Shield è anche molto meno installato di Wordfence o AIOS: meno esperienze condivise in caso di conflitti.
Punti di forza
- Bot bloccati senza disturbare i visitatori
- Registro attività gratuito
- Prezzo indicato in euro
Limiti
- Scansione di plugin e temi a pagamento
- Avvisi di vulnerabilità a pagamento
- Pochi utenti
Per chi: i blog e i siti community che vogliono filtrare bot e spam nei commenti con un solo plugin.
Il nostro parere: una buona scelta per i siti con commenti aperti, meno adatta se hai molti plugin da monitorare.
E WP Cerber? Il suo controllo degli accessi è molto preciso (ispezione del traffico, regole per paese, antispam dei moduli, controllo di integrità), ma non lo consigliamo come prima scelta: il plugin è stato rimosso da wordpress.org il 22 settembre 2022 (motivo indicato: problema di sicurezza), si installa e si aggiorna dal sito dello sviluppatore (versione 9.10 del 13 ottobre 2026), e lo sviluppatore non pubblica quali funzioni sono gratuite. Il piano Single costa 99 $ all’anno. Da riservare agli amministratori che conoscono già lo strumento.
Filtrare e analizzare fuori dal tuo server
Due approcci spostano il lavoro altrove: Sucuri filtra il traffico prima che raggiunga il tuo hosting, MalCare analizza i tuoi file sui propri server. Il tuo server lavora meno, ma un fornitore vede passare il tuo traffico o i tuoi file: vedi dove passano i tuoi dati.
Sucuri
Firewall nel cloud, attivato dai tuoi DNS, e pulizia affidata a persone
Firewall cloud e servizio Da 9,99 $/mese Siti aziendali
- Installazioni Oltre 600.000 (plugin)
- Ultima versione 2.8.1 del 14 ottobre 2026
- Firewall Basic 9,99 $ al mese, 1 sito
- Con pulizia 229 $ all’anno
Sucuri non protegge da dentro WordPress: modifichi i record DNS e tutto il traffico passa dalla sua rete, che blocca le richieste pericolose prima del tuo server. Secondo la pagina del prodotto, questo firewall offre anche patch virtuali, mitigazione degli attacchi denial of service, una CDN e pagine protette da password o da un elenco di indirizzi IP. Il tuo hosting non vede più gli attacchi di massa, cosa che nessuna suite installata in WordPress può offrire.
Attenzione a un equivoco frequente: il plugin gratuito Sucuri Security (audit delle attività, monitoraggio dell’integrità dei file, scansione esterna, hardening) non contiene il firewall. Il vero prodotto è l’abbonamento; i piani Platform includono una pulizia manuale illimitata se il sito viene violato (vedi cosa comporta ripulire un sito violato). Il nostro articolo Sucuri e WP Masquerade mostra come abbinarli.
Punti di forza
- Attacchi fermati prima del tuo server
- Pulizia manuale illimitata nei piani Platform
- Audit delle attività gratuito nel plugin
Limiti
- Firewall assente nel plugin gratuito
- Modifica dei DNS obbligatoria
- Tutto il traffico passa da un fornitore
Per chi: i siti aziendali e i negozi che vogliono alleggerire il server e affidare il ripristino a un fornitore.
Il nostro parere: la scelta migliore per filtrare a monte e delegare la pulizia; confrontalo con il firewall del tuo hosting o di Cloudflare prima di pagare due volte.
MalCare
La scansione malware gira sui suoi server, non sul tuo
Scansione remota e suite Gratis, Protect 99 $/anno Hosting modesti
- Installazioni Oltre 100.000
- Ultima versione 6.76 del 17 settembre 2026
- Protect 99 $ all’anno, 1 sito
- Pulizia Piani Repair e superiori
MalCare esegue la scansione sui propri server invece di farla girare sul tuo hosting. Su un hosting condiviso economico, dove una scansione locale può rallentare il sito, è questa la differenza concreta con Wordfence. La versione gratuita aggiunge un firewall di base, la protezione del login con CAPTCHA, l’autenticazione a due fattori per due amministratori e gli avvisi di vulnerabilità.
La pulizia in un clic arriva solo con i piani Repair e superiori, e il registro attività è a pagamento. Il prezzo della scansione remota: MalCare diventa un responsabile del trattamento per il tuo sito, da indicare nella tua informativa sulla privacy. L’articolo MalCare e WP Masquerade descrive la combinazione.
Punti di forza
- Non appesantisce il tuo hosting
- Autenticazione a due fattori gratuita per due amministratori
- Avvisi di vulnerabilità gratuiti
Limiti
- Pulizia riservata ai piani Repair e superiori
- Registro attività a pagamento
- Responsabile del trattamento da dichiarare (GDPR)
Per chi: i piccoli siti su un hosting modesto, dove una scansione locale peserebbe troppo.
Il nostro parere: l’opzione migliore quando il tuo server non regge le scansioni locali.
Monitorare e bloccare le vulnerabilità note
Un plugin o un tema vulnerabile non ancora aggiornato è una delle porte d’ingresso più sfruttate. Questi due strumenti confrontano le versioni installate con un database di vulnerabilità pubblicate (CVE, gravità CVSS); Patchstack può inoltre bloccarne lo sfruttamento in attesa dell’aggiornamento.
Patchstack
Patch virtuali che bloccano una vulnerabilità nota in attesa dell’aggiornamento
Monitoraggio e patch virtuali Gratis, 5 $/mese per sito Siti con molti plugin
- Installazioni Oltre 100.000
- Ultima versione 2.3.7 del 28 luglio 2026
- Protezione 5 $ al mese per sito
- Developer 69 $ al mese, fatturazione annuale
Patchstack non cerca malware e non è un firewall generico: applica patch virtuali mirate, regole eseguite nel sito e attivate solo se viene rilevato un plugin vulnerabile. Per un sito che dipende da decine di plugin, o un negozio dove ogni aggiornamento va prima testato, è ciò che copre l’intervallo tra la pubblicazione di una vulnerabilità e il tuo aggiornamento.
La versione gratuita segnala le vulnerabilità ma non blocca nulla: la protezione costa 5 $ al mese per sito come opzione, e il piano Developer (69 $ al mese con fatturazione annuale) è pensato per le agenzie. Patchstack non sostituisce una scansione dei file: abbinalo a uno scanner se vuoi rilevare un’infezione. Vedi Patchstack e WP Masquerade.
Punti di forza
- Blocca lo sfruttamento di una vulnerabilità prima dell’aggiornamento
- Regole attive solo quando servono
- Avvisi e registro gratuiti
Limiti
- Versione gratuita senza blocco
- Nessuna scansione malware
- Costo mensile per sito
Per chi: i siti che usano molti plugin e non possono aggiornare tutto in giornata; le agenzie, con il piano Developer.
Il nostro parere: lo strumento migliore contro le vulnerabilità note dei plugin, da completare con uno scanner.
Jetpack Protect
Un controllo quotidiano gratuito delle vulnerabilità, basato sul database WPScan
Monitoraggio vulnerabilità Gratis, Scan 8,95 €/mese Siti che usano già Jetpack
- Installazioni Oltre 100.000
- Ultima versione 6.1.0 del 12 agosto 2026
- Jetpack Scan 8,95 € al mese, fatturazione annuale (4,95 € al mese il primo anno)
Jetpack Protect fa una cosa gratis e senza configurazione: ogni giorno confronta core, plugin e temi installati con il database di vulnerabilità WPScan di Automattic, e protegge il login dagli attacchi di forza bruta. Firewall applicativo, scansione malware e correzioni in un clic richiedono Jetpack Scan, a pagamento.
Niente autenticazione a due fattori né registro gratuiti: è uno strumento di monitoraggio, non una suite. È più utile se usi già Jetpack, o accanto a una suite che non dichiara avvisi di vulnerabilità, come AIOS.
Punti di forza
- Controllo quotidiano gratuito, senza configurazione
- Database di vulnerabilità WPScan
- Primo anno di Scan a prezzo ridotto
Limiti
- Niente autenticazione a due fattori
- Firewall e scansione a pagamento
- Da solo non blocca un attacco applicativo
Per chi: i siti che usano già Jetpack, e i principianti che vogliono essere avvisati di una vulnerabilità senza configurare nulla.
Il nostro parere: un monitoraggio gratuito semplice, da abbinare a una suite o all’autenticazione a due fattori.
Blindare il login e ridurre la superficie di attacco
I bot iniziano individuando un sito WordPress (fingerprinting), poi provano delle password sulla pagina di login. I due plugin che seguono agiscono in questa fase, prima che venga sfruttata una vulnerabilità o una password debole.
Kadence Security
Specialista di login e account, ex iThemes poi Solid Security
Login e account Gratis, Pro in Kadence Pro 299 $/anno Siti con molti account
- Installazioni Oltre 700.000
- Ultima versione 10.0.6 del 14 ottobre 2026
- Sviluppatore Nexcess
- Pro Incluso in Kadence Pro, 299 $ all’anno
Kadence Security è il plugin più incentrato sugli account: protezione dalla forza bruta, autenticazione a due fattori, regole sulle password, indirizzo di login personalizzato, rilevamento delle modifiche ai file e ricerca delle vulnerabilità note, tutto gratis. Quando accedono più redattori o clienti, imporre password robuste conta quanto un firewall.
Ha cambiato nome due volte (iThemes Security, poi Solid Security): le vecchie guide descrivono lo stesso plugin. Non analizza i file alla ricerca di malware (solo un controllo della blacklist). Le patch virtuali (fornite da Patchstack), il reCAPTCHA e il registro degli utenti sono a pagamento, senza prezzo separato: serve il piano Kadence Pro a 299 $ all’anno, interessante soprattutto se usi già il tema Kadence.
Punti di forza
- Regole sulle password e 2FA gratis
- Monitoraggio delle vulnerabilità gratuito
- Patch virtuali di Patchstack in Pro
Limiti
- Nessuna scansione malware
- Pro senza prezzo separato (299 $ all’anno)
- Due cambi di nome in poco tempo
Per chi: i siti con molti account che vogliono prima di tutto blindare il login, e chi usa il tema Kadence.
Il nostro parere: la scelta gratuita migliore per proteggere gli account, da completare con uno scanner.
WP Masquerade
Nasconde WordPress ai bot e blinda il login, come complemento a un firewall
Il nostro prodotto Superficie di attacco e login Gratis, Pro da 59 € IVA esclusa/anno
- Versione gratuita Masquerade Security, sul nostro sito
- Licenze Pro 59 € IVA esclusa/anno (1 sito), 149 € (10), 399 € (100)
- A vita 990 € IVA esclusa, siti illimitati
Conflitto di interessi: WP Masquerade è il plugin dello sviluppatore di questa pagina. Non fa lo stesso lavoro degli altri: rimuove gli indizi che identificano il tuo sito come WordPress e chiude punti di ingresso noti. La versione gratuita, Masquerade Security (non ancora pubblicata su wordpress.org, da scaricare dal nostro sito), si presenta come Joomla!, Drupal, PrestaShop, TYPO3 o MediaWiki al posto di WordPress, rimuove i link tecnici, sposta la pagina di login, blocca XML-RPC e i pingback, e conta i bot che cercano vulnerabilità.
WP Masquerade Pro aggiunge 41 profili di imitazione di un altro CMS, gli alias degli indirizzi dei file, la limitazione dei login, l’autenticazione a due fattori obbligatoria per ruolo, gli header di sicurezza, il controllo di integrità del core, gli avvisi sui plugin vulnerabili, il registro attività degli amministratori e il ban dei bot caduti nelle trappole. Non è né un firewall applicativo (non filtra le iniezioni SQL o XSS) né uno scanner malware: tieni una delle suite qui sopra.
Punti di forza
- L’unico del confronto a nascondere le tracce di WordPress
- Versione gratuita che non invia nulla a servizi terzi
- Licenze per 10 siti, 100 siti e a vita
Limiti
- Né firewall né scansione malware
- Versione gratuita non ancora su wordpress.org
- Funzioni doppie da disattivare nella tua suite
Per chi: ogni sito che ha già una suite o un firewall e vuole essere meno visibile ai bot; con Pro, i negozi e le agenzie che vogliono autenticazione a due fattori, avvisi e registro.
Il nostro parere: un complemento, non una suite: da giudicare per ciò che toglie ai bot, non per un firewall che non ha.
Dove passano i tuoi dati: cloud, GDPR e supporto
Tutti questi plugin sono venduti in tutto il mondo; da uno sviluppatore all’altro cambia il luogo in cui vengono trattati il tuo traffico e i tuoi file. Per un sito soggetto al GDPR, fatti queste quattro domande prima di scegliere.
- Il traffico passa da un fornitore? Con il firewall di Sucuri sì: tutti i visitatori, e quindi i loro indirizzi IP, transitano dalla sua rete. Sucuri è gestito da GoDaddy Media Temple, Inc., società del gruppo statunitense GoDaddy, la cui informativa sulla privacy e l’adesione al Data Privacy Framework regolano i trasferimenti dall’Europa.
- I file vengono analizzati altrove? MalCare analizza il sito sui suoi server, Wordfence sul tuo (riceve solo le sue regole e firme). Un servizio che riceve i tuoi file o i tuoi log è un responsabile del trattamento da indicare nella tua informativa sulla privacy.
- Dove ha sede lo sviluppatore? Patchstack è sviluppato da Patchstack OÜ, società estone soggetta al diritto europeo; la sua informativa indica che può ricorrere a fornitori fuori dallo Spazio economico europeo, con clausole contrattuali tipo o il Data Privacy Framework. Leggi questo documento per ogni sviluppatore: è questo, più del paese della sede, a fissare le garanzie.
- Il supporto parla la tua lingua? Se conti su una pulizia fatta da persone (Sucuri, piani Care e Response di Wordfence, piani Repair di MalCare), verifica lingua e orari del supporto prima di acquistare: in piena crisi, uno scambio faticoso costa ore.
Per WP Masquerade (il nostro prodotto): la versione gratuita non invia nulla a servizi terzi. Pro contatta il server delle licenze dello sviluppatore, trasmette i nomi dei plugin a WPVulnerability.net per il controllo delle vulnerabilità, la versione di WordPress a wordpress.org per il controllo di integrità e, se l’opzione resta attiva, lo stato degli aggiornamenti alla tua area clienti; nessun contenuto né utente.
Come si combinano le protezioni
Nessun plugin copre tutti i livelli. Lo schema colloca ogni plugin in base alle funzioni dichiarate dal suo sviluppatore; un clic su un nome apre la sua scheda.
Sul percorso di ogni richiesta
- 1. Firewall cloud e CDNA monte del server, attivato tramite i DNS: filtra il traffico prima che arrivi da te.
Anche: CDN e firewall dell’hosting o di Cloudflare.
- 2. Server e hostingFirewall del server, PHP e web server aggiornati: il lavoro del tuo hosting.
Compito dell’hosting: nessun plugin di questo confronto.
- 3. Firewall dentro WordPressRegole eseguite nel sito: blocca le richieste pericolose (injection, falle note).
- 4. Protezione del loginLimite dei tentativi, autenticazione a due fattori, CAPTCHA.
- 5. Hardening e superficie di attaccoMeno indizi e punti di ingresso: tracce di WordPress, indirizzo di login, XML-RPC.
Monitoraggio e ripristino
- 6. Scansione malwareRileva a posteriori i file modificati o infetti.
- 7. Monitoraggio delle vulnerabilitàSegnala i plugin e i temi installati che hanno una falla nota.
- 8. BackupCopie fuori dal server per ripristinare il sito.
Fuori da questo confronto: plugin di backup o servizio dell’hosting.
«a pagamento»: solo in un piano a pagamento; «Pro»: WP Masquerade Pro. Ogni nome rimanda alla scheda del plugin.
L’animazione mostra il principio della difesa in profondità: ogni tentativo automatizzato viene fermato, o rilevato, da un livello diverso.
- Traffico malevolo in massa Bloccato: Firewall cloud e CDN. Fermato a monte da un firewall cloud.
- SQL injection in un modulo Bloccato: Firewall dentro WordPress. Bloccata dal firewall dentro WordPress.
- Tentativi di password Bloccato: Protezione del login. Bloccati dal limite dei tentativi di login e dall’autenticazione a due fattori.
- Individuazione di WordPress e dei plugin Bloccato: Hardening e superficie di attacco. Pochi indizi da trovare: tracce di WordPress nascoste, indirizzo di login spostato.
- Falla non ancora corretta Rilevato: Scansione malware. Supera i filtri: la scansione rileva i file modificati, il backup permette di ripristinare il sito.
In pratica, una combinazione solida si regge su tre elementi: una suite o un firewall cloud per filtrare e analizzare, un monitoraggio delle vulnerabilità se la tua suite non lo ha, e uno strumento che riduce la superficie di attacco. Aggiungi backup fuori dal server: nessun plugin di questo confronto li fa.
Come scegliere
Parti dalla tua situazione, non dall’elenco delle funzioni:
- Vuoi tutto gratis: Wordfence se il tuo hosting regge le scansioni locali, altrimenti MalCare, perché la scansione dei file è la funzione più pesante.
- Il tuo sito incassa pagamenti: Wordfence Premium, il firewall di Sucuri o le patch di Patchstack, perché 30 giorni di ritardo delle regole gratuite sono troppi contro una vulnerabilità sfruttata.
- Gestisci dieci siti o più: Defender con WPMU DEV o il piano Developer di Patchstack, perché gestione centralizzata e costo per sito contano più delle funzioni.
- Accedono più persone: Kadence Security o l’autenticazione a due fattori della tua suite, perché basta una password riutilizzata per aprire l’amministrazione.
- Ricevi spam nei commenti: Shield, perché il suo silentCAPTCHA protegge anche i commenti.
- La tua suite non dichiara avvisi di vulnerabilità: Jetpack Protect o Patchstack gratuito, perché il monitoraggio colma la lacuna senza conflitti.
- Non vuoi più che i bot riconoscano WordPress: WP Masquerade accanto alla tua suite (il nostro prodotto), perché nessun altro plugin del confronto nasconde le tracce di WordPress.
Gli errori che annullano la protezione
- Due firewall o due limitazioni dei login. Un solo plugin per funzione: disattiva indirizzo di login, limitazione dei tentativi e autenticazione a due fattori in uno dei due.
- Credere che il plugin gratuito di Sucuri contenga il firewall. Servono l’abbonamento e la modifica dei DNS.
- Attivare due plugin di sicurezza direttamente in produzione. Prova prima su un ambiente di staging.
- Contare solo sul plugin. Aggiornamenti, password uniche e backup fuori dal server restano indispensabili; impara anche a riconoscere i segni di un sito violato per reagire in fretta.
Cosa aggiunge WP Masquerade a un plugin di sicurezza
WP Masquerade è il nostro prodotto. Ecco, senza esagerare, cosa porta accanto ai plugin confrontati, e cosa non porta.
Sicurezza
Gli attacchi automatizzati iniziano con una ricognizione: versione di WordPress, plugin, pagina di login (vedi il fingerprinting di WordPress). WP Masquerade rimuove questi indizi, si presenta come un altro CMS, sposta wp-login.php e, con Pro, limita i tentativi di login e impone l’autenticazione a due fattori per ruolo. Non filtra le iniezioni: tieni il tuo firewall.
Continuità
Pro monitora nel tempo: controllo di integrità del core, avvisi sui plugin vulnerabili con la correzione da applicare, registro attività degli amministratori, trappole per bot con ban. Se la licenza scade, la versione gratuita continua a funzionare e il sito non si rompe.
SEO
Un sito violato perde in fretta il posizionamento: pagine di spam iniettate, avviso di Google, deindicizzazione. Meno tentativi andati a segno significano un capitale SEO protetto. Il mascheramento non tocca i contenuti; gli header di sicurezza si configurano senza modificare il server. Il nostro articolo sull’impatto SEO del mascheramento spiega cosa cambia per Google.
GEO
I motori di risposta (ChatGPT, Perplexity, le AI Overview di Google) citano pagine affidabili e disponibili. Un sito sano, senza spam iniettato né reindirizzamenti malevoli, resta citabile. WP Masquerade non influenza direttamente queste risposte: aiuta a mantenere pulito il sito. Per misurare la tua visibilità in GEO, vedi il nostro confronto degli strumenti di monitoraggio GEO.
Per iniziare, scarica Masquerade Security, la versione gratuita, poi confronta gratis e Pro o consulta i prezzi: 59 € IVA esclusa all’anno per un sito, 149 € per 10, 399 € per 100, 990 € una tantum per siti illimitati.
Fonti e metodo
In conformità all’articolo L111-7 del Codice del consumo francese (Code de la consommation) e all’articolo D111-7 che ne precisa l’applicazione, ecco come è costruita questa pagina:
- Nessun voto né classifica generale. I plugin sono raggruppati per tipo di protezione; l’ordine all’interno di un gruppo segue la pertinenza per l’esigenza descritta, non un voto. La «selezione in breve» indica la scelta più adatta a un profilo, secondo i criteri qui sotto.
- Conflitto di interessi dichiarato: questa pagina è pubblicata dallo sviluppatore di WP Masquerade, uno dei plugin confrontati, segnalato con la dicitura «Il nostro prodotto». Nessun altro plugin citato ha con noi rapporti contrattuali, legami di capitale o compensi, e la pagina non contiene link di affiliazione.
- Stessi criteri per tutti: firewall e relativo tipo, scansione malware, forza bruta, autenticazione a due fattori, avvisi di vulnerabilità, mascheramento, registro attività, prezzo d’ingresso, luogo di trattamento dei dati.
- Fonti: informazioni raccolte sulle pagine ufficiali di ogni sviluppatore (pagina del plugin su wordpress.org, prezzi, funzioni e, per Sucuri e Patchstack, l’informativa sulla privacy). Una funzione assente da queste pagine è indicata come «No» o «N.d.» (non dichiarato).
- Non misurato: tasso di rilevamento, effetto sulle prestazioni, qualità del supporto. Per questo non pubblichiamo alcun voto.
- Correzioni: un errore o un cambio di prezzo? Scrivici e correggiamo.
Domande frequenti
Qual è il miglior plugin di sicurezza WordPress gratuito?
Wordfence offre la versione gratuita più completa (firewall, scansione, autenticazione a due fattori, avvisi di vulnerabilità), con regole in ritardo di 30 giorni. Defender e AIOS sono le alternative più vicine; MalCare è più adatto a un piccolo hosting, perché analizza il sito sui propri server.
Si possono installare due plugin di sicurezza?
Sì, se non fanno la stessa cosa. Due firewall, due limitazioni dei login o due cambi dell’indirizzo di login si intralciano. Una suite e uno strumento complementare (monitoraggio delle vulnerabilità, WP Masquerade) convivono se ogni funzione è attiva in uno solo dei due.
Il plugin gratuito Sucuri contiene un firewall?
No. Il plugin Sucuri Security fa audit delle attività, monitoraggio dell’integrità dei file, una scansione esterna e hardening. Il firewall cloud è un abbonamento (da 9,99 $ al mese) che si attiva modificando i DNS.
Wordfence gratuito basta per un negozio WooCommerce?
Raramente: le sue regole del firewall e le firme gratuite arrivano con 30 giorni di ritardo. Per un sito che incassa pagamenti, Wordfence Premium (149 $ all’anno per sito), un firewall cloud o le patch virtuali di Patchstack riducono questo ritardo.
Che cos’è una patch virtuale?
Una regola che blocca lo sfruttamento di una vulnerabilità nota di un plugin senza modificarne il codice, in attesa dell’aggiornamento. Patchstack le applica solo ai plugin vulnerabili rilevati; Kadence Security Pro le riceve tramite Patchstack.
Firewall nel plugin o nel cloud?
Un firewall nel plugin (Wordfence, Defender, AIOS, Shield) vede il contesto di WordPress ma gira sul tuo server. Un firewall nel cloud (Sucuri, o quello del tuo hosting o di Cloudflare) filtra prima del server ma richiede di modificare i DNS e fa passare il traffico da un fornitore.
WP Masquerade sostituisce Wordfence o Sucuri?
No. WP Masquerade (il nostro prodotto) non contiene né un firewall applicativo né uno scanner malware. Riduce ciò che i bot vedono del tuo sito, chiude punti di ingresso e, con Pro, blinda il login e ti avvisa. Si affianca a un firewall o a uno scanner, non li sostituisce.
Un plugin di sicurezza basta a proteggere un sito WordPress?
No. Aggiornamenti, password uniche, autenticazione a due fattori, backup fuori dal server e un hosting aggiornato contano altrettanto. Se il danno è fatto, la nostra guida per ripulire un sito WordPress violato spiega i passaggi.
I marchi e i loghi citati appartengono ai rispettivi proprietari; servono unicamente a identificare i prodotti confrontati.
Riduci ciò che i bot vedono del tuo WordPress
Inizia con la versione gratuita di WP Masquerade, accanto al tuo firewall o al tuo scanner. Passa a Pro per l’autenticazione a due fattori, la limitazione dei login e gli avvisi.