Scaricare i siti web che utilizzano Wordfence Login Security

Informazioni su Wordfence Login Security

Installare un plugin dedicato al login è una decisione più circoscritta che installare una suite di sicurezza, ed è proprio questa specificità il segnale. Wordfence Login Security esiste perché alcuni amministratori vogliono l’autenticazione a due fattori, il CAPTCHA sulla pagina di login e la protezione XML-RPC su WordPress senza adottare anche un firewall e uno scanner antimalware. Pubblicato da Defiant Inc. nel 2019 con licenza GPL v3 e scritto in PHP, il plugin è il pezzo scorporato di un prodotto molto più ampio, offerto separatamente a chi voleva solo quel pezzo.

La presenza del plugin descrive quindi un amministratore con un’opinione precisa. O un prodotto di sicurezza concorrente occupa già il posto del firewall e la superficie di login era la lacuna rimasta, oppure il sito viene volutamente mantenuto leggero e il proprietario ha scelto l’unico controllo che contrasta il traffico di credential stuffing che ogni installazione WordPress riceve, che qualcuno stia guardando o no. In entrambi i casi il gestore è lo stesso tipo di persona, qualcuno che ha guardato un log dei login e ha fatto una scelta consapevole invece di accettare un’impostazione predefinita. A ottobre 2026 registriamo il plugin su 5041 siti.

È nelle informazioni di versione che un elenco di plugin di sicurezza diventa interessante sul piano operativo, ed è anche lì che richiede la lettura più attenta. Nelle installazioni di cui riusciamo a determinare la versione compaiono 27 versioni distinte, e la 9.0.1 ricorre in una quota consistente di esse. Su un plugin il cui unico scopo è rafforzare l’autenticazione, una dispersione di versioni così ampia è di per sé un risultato rilevante, perché un’installazione rimasta indietro sta usando un controllo di autenticazione a cui mancano correzioni già pubblicate.

Qui i numeri di versione non vengono letti da un pannello di amministrazione, perché nessun crawler vi ha accesso. La versione viene dedotta dagli URL degli asset che la riportano come parametro di query, dai file readme che alcune installazioni lasciano leggibili pubblicamente e da altre impronte che un’installazione espone senza volerlo. Un sito che le rimuove, o che si trova dietro una cache o un ottimizzatore che riscrive gli URL degli asset, non restituisce alcuna versione, anziché una versione sbagliata. Le 27 versioni distinte sono quindi quelle effettivamente osservabili, e la ripartizione per versione copre un sottoinsieme dei 5041 siti, non la loro totalità.

Per un singolo dominio la domanda è abbastanza semplice perché basti una ricerca puntuale a rispondere. Questo sito ha rafforzato il login oppure no. Le domande sulla popolazione sono di natura diversa e non si possono costruire una query alla volta. Quali piattaforme di hosting lasciano i propri parchi WordPress su build vecchie dei plugin. Se l’adozione di una nuova release avviene nell’arco di giorni o di trimestri. Quanto è davvero grande il mercato potenziale per un prodotto concorrente di autenticazione a due fattori, e quale parte di quel mercato oggi non paga nulla per questa funzione.

I fornitori di sicurezza che dimensionano un segmento, i ricercatori che misurano il comportamento di aggiornamento in un ecosistema e le aziende di hosting che verificano che cosa usano davvero i propri clienti hanno tutti bisogno di ogni dominio, del relativo plugin e di qualunque versione sia stato possibile determinare, riuniti in un unico file. Gli schemi di comportamento nell’applicazione delle patch esistono tra un sito e l’altro, non all’interno di un singolo sito, ed è proprio questo il livello a cui una ricerca per singolo dominio non arriva.