Se costruisci plugin WordPress, la sicurezza non \u00e8 opzionale. Una singola vulnerabilit\u00e0 nel tuo plugin pu\u00f2 compromettere migliaia di siti, distruggere la tua reputazione ed esporti a responsabilit\u00e0 legali. La directory dei plugin WordPress ha rimosso centinaia di plugin per problemi di sicurezza, e le vulnerabilit\u00e0 pi\u00f9 comuni sono prevenibili con precauzioni di base.<\/p>\n\n\n\n
Questa guida copre le best practice di sicurezza che ogni sviluppatore di plugin WordPress deve seguire. Non sono teoriche \u2014 sono il livello minimo per pubblicare un plugin che non metta a rischio i tuoi utenti.<\/p>\n\n\n\n
La prima regola della sicurezza WordPress \u00e8 la stessa di ogni altra applicazione web: non fidarti mai dell'input utente. Ogni dato che proviene da una richiesta \u2014 parametri GET, dati POST, valori dei cookie, file caricati \u2014 deve essere validato prima di usarlo.<\/p>\n\n\n\n
WordPress fornisce diverse funzioni per sanificare l'input. Usa sanitize_text_field() per il testo semplice, sanitize_email() per gli indirizzi email, sanitize_key() per le chiavi del database, sanitize_title() per gli slug, absint() per gli interi e wp_kses() per il contenuto HTML che deve permettere tag specifici. Non usare mai $_POST o $_GET direttamente senza sanitizzazione.<\/p>\n\n\n\n
La regola \u00e8 semplice: sanifica all'ingresso, escapa all'uscita. Valida tutto ci\u00f2 che ricevi, escapa tutto ci\u00f2 che produci.<\/p>\n\n\n\n
Il Cross-Site Scripting (XSS) \u00e8 la vulnerabilit\u00e0 pi\u00f9 comune nei plugin WordPress. Si verifica quando i dati forniti dall'utente vengono emessi senza un escaping adeguato, permettendo agli attaccanti di iniettare JavaScript in pagine che altri utenti vedranno.<\/p>\n\n\n\n
WordPress fornisce funzioni di escaping specifiche per contesto. Usa esc_html() quando emetti testo semplice dentro tag HTML, esc_attr() per i valori degli attributi, esc_url() per gli URL, esc_js() per JavaScript inline e wp_kses_post() per il contenuto dei post che deve preservare un po' di HTML. Per i dati visualizzati negli attributi HTML, usa sempre esc_attr().<\/p>\n\n\n\n
Lo sviluppo WordPress moderno usa sempre pi\u00f9 React per le interfacce admin, che gestisce l'escaping automaticamente. Ma per l'output renderizzato in PHP tradizionale, l'escaping manuale \u00e8 essenziale.<\/p>\n\n\n\n
Gli attacchi SQL injection possono permettere a un attaccante di leggere, modificare o eliminare i contenuti del tuo database. La classe wpdb di WordPress fornisce prepared statement che prevengono l'SQL injection se usati correttamente.<\/p>\n\n\n\n
Non usare mai $wpdb->query() con valori concatenati. Usa sempre $wpdb->prepare() con la sintassi dei segnaposto. Il segnaposto %s \u00e8 per le stringhe, %d per gli interi e %f per i float. Se devi usare clausole IN() con array, usa array_fill per generare il numero giusto di segnaposto.<\/p>\n\n\n\n
Ancora meglio che usare $wpdb direttamente \u00e8 usare le API WordPress di livello superiore come WP_Query, get_posts() e get_term_by(). Queste funzioni gestiscono la prevenzione dell'SQL injection internamente.<\/p>\n\n\n\n
Gli attacchi di Cross-Site Request Forgery (CSRF) ingannano gli utenti autenticati facendoli eseguire azioni che non intendevano. I nonce WordPress prevengono questi attacchi aggiungendo un token monouso a moduli e URL.<\/p>\n\n\n\n
Usa wp_nonce_field() nei tuoi moduli e controllalo con check_admin_referer() all'invio. Per gli URL, usa wp_nonce_url() e verificalo con wp_verify_nonce(). Per le richieste AJAX, includi un nonce nei dati della richiesta e verificalo con check_ajax_referer().<\/p>\n\n\n\n
I nonce non proteggono da tutti gli attacchi CSRF, ma alzano significativamente l'asticella. Combinati con controlli di capability adeguati, prevengono i vettori di attacco pi\u00f9 comuni.<\/p>\n\n\n\n
Ogni pagina admin, handler AJAX ed endpoint REST API del tuo plugin dovrebbe verificare che l'utente corrente abbia le capability richieste. Usa current_user_can() con il livello di capability appropriato per ogni azione.<\/p>\n\n\n\n
Per le pagine admin registrate con add_menu_page() e add_submenu_page(), specifica la capability richiesta negli argomenti della funzione. WordPress gestir\u00e0 il controllo automaticamente. Per gli handler AJAX personalizzati e gli endpoint REST, aggiungi controlli espliciti current_user_can().<\/p>\n\n\n\n
Non archiviare mai dati sensibili in chiaro. Se devi archiviare chiavi API, token o password, usa le funzioni di crittografia di WordPress o, meglio ancora, lascia che l'utente le inserisca ogni volta piuttosto che archiviarle del tutto.<\/p>\n\n\n\n
Per archiviare le credenziali API, usa la Options API con valori crittografati. WordPress non fornisce crittografia integrata, ma puoi usare openssl_encrypt() e openssl_decrypt() con una chiave derivata dalla costante AUTH_KEY del sito.<\/p>\n\n\n\n
Non archiviare le credenziali nei file del plugin, nemmeno come costanti. Saranno visibili a chiunque possa leggere il codice sorgente del tuo plugin, e saranno esposte se il tuo plugin viene inviato alla directory WordPress.org.<\/p>\n\n\n\n
Se il tuo plugin gestisce caricamenti di file, devi validare i tipi di file, controllare le dimensioni, scansionare i contenuti dannosi e archiviare i file in una posizione non accessibile direttamente dal web. Usa wp_handle_upload() per i caricamenti standard, che gestisce molti controlli di sicurezza automaticamente.<\/p>\n\n\n\n
Per i download di file, non accettare mai un percorso file dall'utente. Usa un ID o una chiave che mappi a un file sul tuo server. Questo previene gli attacchi di path traversal in cui un attaccante richiede file al di fuori della tua directory prevista.<\/p>\n\n\n\n
La sicurezza WordPress non \u00e8 complicata. Le regole sono consolidate: sanifica l'input, escapa l'output, usa prepared statement, verifica i nonce, controlla le capability e archivia i dati in modo sicuro. Seguire queste pratiche in modo coerente previene il 99% delle vulnerabilit\u00e0 comuni.<\/p>\n\n\n\n
Se pubblichi nella directory dei plugin WordPress.org, il tuo plugin sar\u00e0 sottoposto a revisione di sicurezza. Superare quella revisione dovrebbe essere il tuo pavimento, non il tuo soffitto. Tratta la sicurezza come una pratica continua, non come una checklist una tantum, e i tuoi utenti ne trarranno beneficio.<\/p>","protected":false},"excerpt":{"rendered":"
Una guida completa alla sicurezza WordPress per gli sviluppatori di plugin, coprendo la validazione degli input, l'escape dell'output, la prevenzione delle SQL injection e i pattern di sicurezza moderni.<\/p>","protected":false},"author":3,"featured_media":1241,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ai_primary_source":"","visibility_scope":"","ai_summary":"","ai_intent":"","ai_related_resources":"","ai_priority":0,"ai_entity_type":"","ai_is_based_on":"","ai_citations":"","ai_mentions":"","ai_speakable_selector":"","ai_chunk_hints":"","footnotes":""},"categories":[7,6],"tags":[44,27,26,35],"ai_visibility":[],"class_list":["post-543","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-web-development","category-wordpress","tag-api-first","tag-developer-to-founder","tag-plugin-business","tag-saas"],"blocksy_meta":{"styles_descriptor":{"styles":{"desktop":"","tablet":"","mobile":""},"google_fonts":[],"version":7}},"_links":{"self":[{"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/posts\/543","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/comments?post=543"}],"version-history":[{"count":2,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/posts\/543\/revisions"}],"predecessor-version":[{"id":1355,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/posts\/543\/revisions\/1355"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/media\/1241"}],"wp:attachment":[{"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/media?parent=543"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/categories?post=543"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/tags?post=543"},{"taxonomy":"ai_visibility","embeddable":true,"href":"https:\/\/aarkly.com\/it\/wp-json\/wp\/v2\/ai_visibility?post=543"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}