In breve
Wordfence, Solid Security (oggi Kadence Security) e All-In-One Security proteggono il sito con un firewall che gira sul tuo server; Sucuri offre un firewall in cloud che si attiva cambiando il DNS; Patchstack è specializzato nel segnalare e bloccare le vulnerabilità dei plugin. Nessuno di questi sostituisce aggiornamenti regolari e backup: sono un livello di protezione in più.
Scegliere un plugin di sicurezza per WordPress sembra semplice finché non si leggono le pagine dei prodotti: tutti promettono firewall, scansioni e protezione dagli attacchi. Le differenze reali stanno in dove lavora il firewall, cosa controlla lo scanner e quali funzioni sono davvero incluse nella versione gratuita. Le informazioni su Wordfence, Solid Security, Sucuri, All-In-One Security e Patchstack che trovi qui sono verificate sulle pagine ufficiali (settembre 2026).
Che differenza c’è tra firewall applicativo e firewall in cloud?
Un firewall applicativo gira sul tuo server, dentro o subito prima di WordPress, ed esamina le richieste quando sono già arrivate al sito. Un firewall in cloud (o a livello DNS) si mette davanti al sito: il traffico passa prima dai server del fornitore, che filtrano gli attacchi prima che raggiungano il tuo hosting.
Il firewall (in inglese WAF, web application firewall) è un filtro che blocca richieste con schemi di attacco noti. Quello applicativo ha il vantaggio di “vedere” WordPress dall’interno, per esempio sapere se un utente è loggato; lo svantaggio è che il server deve comunque ricevere ed elaborare ogni richiesta, anche quelle malevole. Quello in cloud alleggerisce il server e può assorbire attacchi di massa, ma richiede di modificare i record DNS del dominio e dipende da un servizio esterno.
Come si confrontano Wordfence, Solid Security, Sucuri, All-In-One Security e Patchstack?
I cinque prodotti coprono esigenze diverse: Wordfence e All-In-One Security sono suite complete con firewall applicativo, Solid Security punta su login e hardening, Sucuri separa plugin gratuito e firewall in cloud a pagamento, Patchstack si concentra sulle vulnerabilità.
| Plugin | Tipo di firewall | Scansione malware | Punti di forza | Da sapere |
|---|---|---|---|---|
| Wordfence | Applicativo, sul tuo server | Sì, su core, temi e plugin | Suite completa, 2FA, traffico in tempo reale | Nella versione gratuita le regole del firewall arrivano con 30 giorni di ritardo |
| Solid Security (Kadence Security) | Applicativo, sul tuo server | Scansione vulnerabilità e controllo Safe Browsing | Protezione login, 2FA, rilevamento modifiche ai file | Virtual patching tramite Patchstack solo nella versione Pro |
| Sucuri | In cloud, a livello DNS (servizio a pagamento) | Scansione remota tramite SiteCheck | Registro attività, hardening, guida post-attacco | Il plugin gratuito non include il firewall |
| All-In-One Security | Applicativo (regole PHP e .htaccess) | Solo nella versione Premium | Molte opzioni di hardening, 2FA, integrazione con UpdraftPlus | Regole .htaccess da testare con attenzione |
| Patchstack | Regole mirate sulle vulnerabilità (virtual patching) | No, monitora le vulnerabilità note | Avvisi rapidi su plugin vulnerabili | Il virtual patching è nei piani a pagamento |
Non riportiamo i prezzi perché cambiano spesso e variano per numero di siti: controllali sempre sulle pagine ufficiali prima di scegliere.
Wordfence
Wordfence è una delle suite più diffuse: sulla pagina ufficiale del plugin risultano oltre 5 milioni di installazioni attive. Il suo firewall lavora “all’endpoint”, cioè sul tuo server, e può essere configurato per caricarsi prima di WordPress (modalità chiamata Extended Protection), così da filtrare le richieste il prima possibile. Include scanner malware, autenticazione a due fattori, protezione del login e monitoraggio del traffico in tempo reale. La differenza principale tra versione gratuita e a pagamento è la tempestività: le nuove regole del firewall arrivano agli utenti gratuiti con 30 giorni di ritardo.
Solid Security (Kadence Security)
È il plugin nato come Better WP Security e poi diventato iThemes Security e Solid Security; nel 2026 è stato rinominato Kadence Security e con questo nome compare oggi nella directory di WordPress.org. Il suo punto forte è la protezione degli accessi: blocco dei tentativi di login ripetuti, anche con una rete condivisa tra i siti che lo usano, autenticazione a due fattori, ban degli indirizzi. La scansione gratuita controlla vulnerabilità note in core, plugin e temi e verifica lo stato del sito su Google Safe Browsing. La versione Pro aggiunge, tra le altre cose, il virtual patching tramite Patchstack e scansioni più frequenti. Il firewall lavora sul server, quindi non filtra il traffico prima che arrivi all’hosting.
Sucuri
Con Sucuri bisogna distinguere due prodotti. Il plugin gratuito Sucuri Security offre registro delle attività, scansione remota del malware tramite SiteCheck, consigli di hardening e una procedura guidata dopo un attacco. Il Website Firewall è invece un servizio in cloud a pagamento: per attivarlo si modificano i record DNS del dominio e tutto il traffico passa dai server di Sucuri. È l’unico dei cinque che offre direttamente un firewall a livello DNS. La scansione remota vede solo ciò che il sito mostra dall’esterno.
All-In-One Security
All-In-One Security (AIOS) è sviluppato dal team di UpdraftPlus e combina firewall con regole PHP, regole per il file .htaccess (comprese le regole 6G di Perishable Press), protezione del login, autenticazione a due fattori, rilevamento delle modifiche ai file e registro delle attività. La scansione malware è inclusa solo nella versione Premium. È adatto a chi vuole molte opzioni di hardening, ma proprio per questo va configurato con attenzione: alcune regole possono bloccare funzioni legittime del sito.
Patchstack
Patchstack non è una suite completa: il suo compito è individuare le vulnerabilità note in core, plugin e temi installati e avvisarti. Nei piani a pagamento aggiunge il virtual patching, cioè regole mirate che impediscono di sfruttare una specifica vulnerabilità anche prima che lo sviluppatore del plugin pubblichi la correzione. La versione gratuita si limita agli avvisi. Conviene affiancarlo a un altro strumento.
Quale plugin di sicurezza scegliere per il tuo sito?
Per la maggior parte dei siti aziendali basta un solo plugin di sicurezza ben configurato, scelto in base all’hosting e a chi lo gestisce. Installarne due con funzioni di firewall insieme è sconsigliato: si ostacolano a vicenda e rallentano il sito.
- Sito vetrina su hosting condiviso: una suite come Wordfence o Solid Security, con 2FA attiva per tutti gli amministratori.
- Sito con molto traffico o bersaglio di attacchi di massa: un firewall in cloud (Sucuri o quello offerto dal tuo hosting o CDN) alleggerisce il server.
- Molti plugin installati: un sistema di avvisi sulle vulnerabilità come Patchstack ti dice quali aggiornamenti sono davvero urgenti.
- Hosting gestito: verifica cosa offre già il provider. Molti hosting WordPress includono firewall e scansioni, e alcuni sconsigliano o vietano certi plugin di sicurezza.
Se il sito è già stato compromesso, installare un plugin non basta a ripulirlo: segui prima la procedura della guida su cosa fare quando un sito WordPress è hackerato, e usa lo scanner come controllo in più per capire se il sito è stato hackerato.
Perché un plugin di sicurezza non basta?
Perché le cause più comuni di compromissione sono plugin non aggiornati, password deboli e software scaricato da fonti non ufficiali, e nessun plugin corregge queste cause al posto tuo.
Un firewall può bloccare molti tentativi di sfruttare una vulnerabilità, ma non tutti, e solo se ha una regola per quel caso. Lo scanner trova il malware dopo che è entrato. Se il sito non è aggiornato, stai chiedendo al plugin di coprire una porta che potresti semplicemente chiudere. E se qualcosa va storto, solo un backup recente e conservato fuori dall’hosting ti permette di tornare indietro.
Le basi restano queste:
- Aggiornamenti regolari di core, plugin e temi, con un backup prima di ogni aggiornamento: trovi il metodo nella guida su come aggiornare WordPress senza rompere il sito e i pro e contro nell’articolo sugli aggiornamenti automatici.
- Backup automatici conservati in un luogo diverso dall’hosting, con un ripristino provato almeno una volta, come spiegato nella guida ai backup di WordPress.
- Password uniche e autenticazione a due fattori per tutti gli amministratori.
- Solo plugin e temi da fonti ufficiali, mai versioni nulled.
- Eliminazione di plugin, temi e utenti che non servono più.
È lo stesso approccio che seguiamo in Dottor WP: il firewall e la scansione malware sono inclusi in tutti i piani di manutenzione, ma la parte più importante del lavoro sono aggiornamenti, backup e controlli regolari.
Il tuo sito è protetto davvero?
Controlliamo dall’esterno, senza password, versioni, esposizione e segnali di rischio del tuo sito.
Domande frequenti
Posso installare due plugin di sicurezza insieme?
È sconsigliato se entrambi hanno un firewall o bloccano i login: le regole si sovrappongono, possono bloccare funzioni legittime e appesantiscono il sito. Si può invece affiancare a una suite uno strumento specifico, come un sistema di avvisi sulle vulnerabilità.
La versione gratuita di Wordfence è sufficiente?
Per molti siti piccoli è un buon punto di partenza. Tieni però presente che nella versione gratuita le nuove regole del firewall arrivano con 30 giorni di ritardo, quindi conviene comunque aggiornare i plugin appena esce una correzione.
Un plugin di sicurezza rallenta il sito?
Può farlo, soprattutto durante le scansioni e su hosting con poche risorse, perché il firewall applicativo esamina ogni richiesta sul tuo server. Un firewall in cloud sposta questo lavoro fuori dall’hosting.
Se ho un plugin di sicurezza devo comunque fare i backup?
Sì, sempre. Il plugin riduce il rischio di attacco ma non lo azzera, e non protegge da errori, aggiornamenti falliti o problemi dell’hosting; solo un backup esterno permette di ripristinare il sito.