Introduzione
La sicurezza di un sito WordPress non si misura solo dalla presenza di plugin popolari o firewall: una parte fondamentale è quanto la superficie esposta dall’esterno è ridotta.
Il nostro Lean Bunker Security Checker analizza in modo passivo le superfici WordPress esposte, file sensibili, headers di sicurezza e configurazioni critiche, senza compromettere il sito e senza eseguire attacchi.
In questo caso studio abbiamo analizzato tre siti WordPress con plugin di sicurezza noti:
-
Wordfence.com
-
SolidWP.com
-
TeamUpdraft / All-in-One Security
L’obiettivo è capire quali aree rimangono esposte e come la riduzione della superficie varia tra siti diversi.
1. Wordfence.com
Punteggio complessivo: 76/100
Risultati principali
Sicurezza generale
-
✅ HTTPS attivo
-
✅ HSTS configurato
Protezione WordPress
-
❌ REST API non completamente ridotta
-
✅ XML-RPC disabilitato
-
✅ Enumerazione utenti bloccata
-
✅ Directory listing disabilitato
File sensibili
-
✅ Nessun file sensibile esposto
-
✅ Tutti i file core, backup e config correttamente protetti
-
✅ PHP execution bloccata ovunque
HTTP Headers
-
✅ X-Content-Type-Options: nosniff
-
✅ X-Frame-Options impostato
-
✅ X-XSS-Protection presente
-
✅ Referrer-Policy impostato
-
⚠️ Permissions-Policy presente
-
⚠️ Content-Security-Policy presente
-
⚠️ COEP / COOP / CORP presenti ma non completi
Analisi
Wordfence.com mostra una ottima protezione dei file sensibili e un corretto hardening di base.
La REST API è visibile dall’esterno, ma filtrata dal plugin, motivo per cui il punteggio non arriva a 100.
Il sito dimostra che anche plugin famosi non eliminano completamente la superficie esterna, ma la gestiscono con sicurezza runtime.
2. SolidWP.com
Punteggio complessivo: 50/100
Risultati principali
Sicurezza generale
-
✅ HTTPS attivo
-
⚠️ HSTS configurato (non al massimo)
Protezione WordPress
-
❌ REST API non protetta
-
✅ XML-RPC disabilitato
-
✅ Enumerazione utenti bloccata
-
✅ Directory listing disabilitato
File sensibili
-
❌ wp-admin/install.php esposto
-
❌ wp-admin/upgrade.php esposto
-
✅ Tutti gli altri file core e sensibili protetti
-
✅ PHP execution bloccata
HTTP Headers
-
⚠️ X-Content-Type-Options: nosniff
-
⚠️ X-Frame-Options impostato
-
⚠️ X-XSS-Protection presente
-
⚠️ Referrer-Policy impostato
-
⚠️ Permissions-Policy, Content-Security-Policy, COEP/COOP/CORP presenti ma permissivi
Analisi
Il punteggio più basso riflette endpoint core WordPress ancora visibili (install.php e upgrade.php) e headers non completamente hardening.
Questo non significa che SolidWP sia insicuro: indica che alcune superfici sono accessibili, coerente con una filosofia che privilegia compatibilità e funzionalità.
3. TeamUpdraft / All-in-One Security
Punteggio complessivo: 73/100
Risultati principali
Sicurezza generale
-
✅ HTTPS attivo
-
✅ HSTS configurato
Protezione WordPress
-
❌ REST API non protetta
-
✅ XML-RPC disabilitato
-
✅ Enumerazione utenti bloccata
-
✅ Directory listing disabilitato
File sensibili
-
✅ Nessun file sensibile esposto
-
✅ PHP execution bloccata ovunque
HTTP Headers
-
✅ X-Content-Type-Options: nosniff
-
✅ X-Frame-Options impostato
-
✅ X-XSS-Protection presente
-
✅ Referrer-Policy impostato
-
⚠️ Permissions-Policy e Content-Security-Policy presenti ma permissivi
-
⚠️ COEP / COOP / CORP presenti ma non completi
Analisi
TeamUpdraft mostra ottima protezione dei file sensibili e headers correttamente configurati.
Come negli altri casi, la REST API è visibile ma filtrata, limitando il punteggio complessivo.
Il risultato è coerente con una protezione reale e compatibile con la funzionalità di plugin complessi.
Confronto tra i tre siti
| Sito | Punteggio | REST API | File esposti | Headers avanzati |
|---|---|---|---|---|
| Wordfence.com | 76/100 | Visibile ma filtrata | Nessuno | Presenza parziale COEP/COOP/CORP |
| SolidWP.com | 50/100 | Visibile | wp-admin/install.php & upgrade.php | Presenza soft headers avanzati |
| TeamUpdraft | 73/100 | Visibile | Nessuno | Headers presenti ma permissivi |
Osservazioni principali
-
La REST API è il discriminante più comune tra i punteggi: visibile → punteggio ridotto.
-
File core e install.php/upgrade.php possono abbassare il punteggio anche se non critici.
-
Headers avanzati (COEP/COOP/CORP) raramente sono configurati in modo completo su siti reali.
-
Il checker non penalizza file realmente protetti o plugin attivi: segnala solo la superficie visibile.
Conclusioni del caso studio
-
Il Lean Bunker Security Checker misura la superficie esposta, non la sicurezza complessiva dei plugin.
-
Anche siti con plugin di sicurezza popolari non raggiungono 100/100, perché alcune aree devono rimanere visibili per funzionalità e compatibilità.
-
Il punteggio riflette scelte architetturali, non vulnerabilità dirette.
-
Questo modello è utile per capire dove un sito potrebbe ridurre la superficie esterna, offrendo un livello di analisi complementare rispetto ai plugin classici.
Messaggio chiave per utenti e sviluppatori
“Il nostro punteggio non è un giudizio morale sulla sicurezza dei plugin.
Mostra quanto la superficie WordPress è ridotta dall’esterno. Anche siti molto protetti mostrano superfici esposte per funzionamento e compatibilità. Il nostro approccio permette agli utenti di capire dove intervenire senza compromettere funzionalità o affidabilità.”