Il blocco del codice protegge i file, non il database: chi entra in wp-admin come amministratore può ancora cambiare pagine, impostazioni, utenti. Per un sito che non si modifica tutti i giorni la difesa più semplice è chiudere l’amministrazione.
Cosa si chiude
- La pagina di accesso (
wp-login.php) e la registrazione. - Tutto
wp-admin, tranne quello che serve al sito pubblico (admin-ajax.php,admin-post.php, immagini e stili). - L’API di WordPress per chi porta il cookie di accesso: un amministratore entrato da un altro modulo (per esempio «Il mio account» di un negozio) non può scrivere dall’API.
Chi ci prova vede una pagina «Amministrazione chiusa», prima ancora della pagina d’accesso dell’anteprima.
Cosa resta aperto
Il sito pubblico, i moduli, il carrello e le API di plugin come i moduli di contatto: funzionano come prima. Restano valide le application password già esistenti: quelle nuove le segnalano i controlli.
Da dove resta sempre raggiungibile
Dal server stesso, e dagli indirizzi elencati in WP_ADMIN_IP in /etc/site-tools.conf (per esempio l’IP fisso dell’ufficio). Chi lavora in wp-admin ogni giorno, come chi evade gli ordini di un negozio, va messo lì, oppure il sito va lasciato aperto.
Aprire quando serve
Scheda → Manutenzione → Amministrazione di WordPress:
| Scelta | Effetto |
|---|---|
| Chiudi | Chiusa da subito. |
| Apri per 1, 2, 4 o 8 ore | Aperta fino all’ora indicata nella scheda, poi si richiude da sola (il controllo gira ogni 5 minuti). |
| Richiudi | Chiude prima della scadenza. |
| Lascia sempre aperta | Come un WordPress normale. |
Lo stato è nella tabella Stato della scheda e nella pagina Sicurezza. Per i siti con il certificato definitivo e l’amministrazione aperta, la dashboard suggerisce di chiuderla.
Da shell
site.sh admin-access esempio.it close
site.sh admin-access esempio.it open 2
site.sh admin-access esempio.it always