Scaricare i siti web che utilizzano Wordfence

Un plugin di sicurezza la cui impronta si può riconoscere dall’esterno ha, in piccola misura, già rivelato qualcosa. Wordfence gira dentro WordPress come codice PHP sul server: filtra le richieste prima che l’applicazione le veda, scansiona i file alla ricerca di schemi dannosi noti e rafforza il modulo di login. Il lavoro di un plugin di sicurezza, svolto con discrezione, non ha alcun bisogno di essere visibile a un visitatore. In pratica, però, pagine di blocco, schermate di verifica, percorsi degli asset e indicazioni di versione trapelano, e le installazioni che lasciano trapelare qualcosa sono quelle che possiamo contare.

Ne risulta un numero che va letto con attenzione. A ottobre 2026 attribuiamo il plugin a 149 siti. Il conteggio non è una stima di quante installazioni WordPress usino il plugin, e non andrebbe mai citato come tale. I plugin lato server sono sistematicamente invisibili al rilevamento esterno, quindi ciò che il conteggio misura davvero è il sottoinsieme di installazioni che espongono un elemento identificabile. La base installata reale è molto più ampia di qualsiasi cosa una scansione possa vedere.

La distorsione di quel sottoinsieme è la parte interessante, non un difetto di cui scusarsi. Un sito che serve una pagina di blocco riconoscibile o un percorso di asset con la versione al suo interno è un sito la cui configurazione è rimasta vicina a quella predefinita, il che si associa ai siti in cui è meno probabile che qualcuno ne curi le impostazioni. Per un ricercatore che studia la rapidità con cui le correzioni di sicurezza raggiungono davvero i siti web comuni, quella popolazione non è un campione scadente. Le installazioni trascurate sono la popolazione oggetto di studio.

I dati di versione sostengono la stessa linea di lavoro. Nei nostri archivi il plugin compare con 35 stringhe di versione distinte, tra cui la 7.4.14, una dispersione ampia per un prodotto che rilascia aggiornamenti di frequente e invita gli amministratori ad applicarli. Uno strumento di sicurezza che usa codice vecchio è di per sé un risultato rilevante, perché il valore protettivo di un firewall dipende dall’aggiornamento delle sue regole, e un plugin non aggiornato può far sentire protetto un gestore mentre nel frattempo la copertura si è degradata.

Un po’ di contesto sul prodotto inquadra tutto questo. Venduto da Defiant Inc. dal 2011 con un modello di licenza Freemium, il plugin si rivolge esplicitamente ai siti WordPress gestiti in proprio, quelli senza un team di sicurezza alle spalle. La presenza del plugin indica quindi un proprietario di sito che si è preoccupato di una possibile compromissione al punto da agire, ma che usa anche la piattaforma che riceve più traffico di attacchi automatizzati sul web.

Gli usi di un elenco scaricabile nascono proprio da questa distorsione, non a dispetto di essa. Le aziende di hosting verificano quali dei loro clienti si stanno proteggendo e quali no. I fornitori di sicurezza concorrenti e i fornitori di WordPress gestito cercano clienti da contattare. I ricercatori misurano i tempi di applicazione delle patch su una popolazione reale invece che con un sondaggio. Una ricerca su un singolo dominio risponde a una domanda di assistenza. Solo l’esportazione permette il conteggio, il confronto tra esportazioni successive e qualsiasi affermazione sul comportamento di un ecosistema di plugin nel tempo.