Generatore di Chiave Segreta di WordPress

Il Generatore di Chiave Segreta di WordPress crea chiavi di sicurezza e salt crittograficamente sicuri per il tuo file wp-config.php. Queste 8 stringhe uniche proteggono le sessioni degli utenti, prevengono la falsificazione dei cookie e difendono dagli attacchi CSRF. Generate utilizzando un CSPRNG (Generatore di Numeri Pseudo-Casuali Crittograficamente Sicuro), ogni chiave non viene mai memorizzata o registrata.

Cosa sono le chiavi di sicurezza e i salt di WordPress?

WordPress utilizza 8 costanti crittografiche nel file wp-config.php per proteggere l'autenticazione. Quattro sono chiavi (segreti di crittografia primari) e quattro sono salt (casualità aggiuntiva che rafforza l'hash):

Come chiavi e salt lavorano insieme

Quando un utente accede a WordPress, il sistema crea un cookie di autenticazione. Questo cookie viene crittografato utilizzando una combinazione della chiave di sicurezza e del suo salt corrispondente. La chiave fornisce il segreto di crittografia primario, mentre il salt aggiunge dati imprevedibili nell'algoritmo di hashing (HMAC), rendendo esponenzialmente più difficile per un aggressore decodificare il valore del cookie anche se lo intercetta.

Senza chiavi e salt appropriati, WordPress utilizza valori predefiniti che sono più deboli e identici in tutte le installazioni, rendendo il tuo sito vulnerabile agli attacchi basati sui cookie.

Come installare le tue chiavi di sicurezza

1. Genera le chiavi utilizzando questo strumento con le tue impostazioni preferite.
2. Copia tutte le chiavi utilizzando il pulsante "Copia tutte le chiavi".
3. Apri wp-config.php tramite FTP/SFTP. Questo file si trova nella directory principale di WordPress.
4. Trova la sezione delle chiavi — cerca il commento /* Authentication Unique Keys and Salts */.
5. Sostituisci tutte le 8 righe define() con le tue chiavi appena generate, quindi salva e carica il file.

Nota: La modifica delle chiavi di sicurezza disconnetterà tutti gli utenti attualmente loggati. Dovranno accedere di nuovo con la loro password. Questo è un comportamento previsto ed è effettivamente utile per scopi di sicurezza.

Quando dovresti cambiare le tue chiavi di sicurezza?

Lunghezza della chiave ed entropia

L'entropia misura la casualità (imprevedibilità) delle tue chiavi in bit. Un'entropia più alta significa più combinazioni possibili che un aggressore dovrebbe provare. Per contesto:

• 128 bit — Minimo raccomandato per la maggior parte delle applicazioni crittografiche
• 256 bit — Considerato inviolabile con la tecnologia attuale (livello AES-256)
• 400+ bit — La chiave predefinita di WordPress a 64 caratteri con set di caratteri completo fornisce circa 406 bit di entropia

Anche la chiave standard a 64 caratteri con il set di caratteri completo supera di gran lunga ciò che qualsiasi attacco di forza bruta potrebbe decifrare.

Migliori pratiche di sicurezza

• Non condividere mai le tue chiavi — trattale come password
• Usa chiavi uniche per ogni installazione di WordPress
• Non riutilizzare le chiavi su più siti
• Mantieni sicuro wp-config.php — assicura permessi corretti per i file (tipicamente 440 o 400)
• Le chiavi da sole non bastano — usa anche password forti, mantieni WordPress aggiornato e usa un plugin di sicurezza

Domande frequenti

Cosa sono le chiavi di sicurezza e i salt di WordPress?

Le chiavi di sicurezza e i salt di WordPress sono stringhe crittografiche memorizzate in wp-config.php che crittografano i dati nei cookie degli utenti. Ci sono 4 chiavi (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) e 4 salt corrispondenti. Insieme, rendono praticamente impossibile per gli aggressori falsificare i cookie di autenticazione.

Come aggiungo le chiavi di sicurezza a wp-config.php?

Apri il tuo file wp-config.php (nella directory principale di WordPress), trova la sezione etichettata "Authentication Unique Keys and Salts" e sostituisci le linee define() esistenti con le tue nuove chiavi generate. Salva il file e caricalo nuovamente via FTP/SFTP. Tutti gli utenti dovranno effettuare nuovamente il login.

Quando dovrei cambiare le mie chiavi di sicurezza di WordPress?

Cambia le tue chiavi di sicurezza immediatamente se sospetti che il tuo sito sia stato violato, se trovi account amministratore sconosciuti o dopo aver rimosso malware. Non è necessario ruotare le chiavi regolarmente in circostanze normali. Cambiare le chiavi costringerà tutti gli utenti loggati a riautenticarsi.

Questo generatore è sicuro? Le chiavi vengono memorizzate?

Sì, questo generatore utilizza il modulo secrets di Python, crittograficamente sicuro (CSPRNG). Le chiavi sono generate lato server ad ogni richiesta e non vengono mai memorizzate, registrate o memorizzate nella cache. La risposta include un'intestazione no-cache per impedire il caching del browser.

Qual è la differenza tra chiavi e salt di WordPress?

Le chiavi di WordPress crittografano i dati dei cookie, mentre i salt aggiungono ulteriore casualità al processo di crittografia. Le chiavi fungono da segreto di crittografia primario e i salt rendono gli attacchi di forza bruta esponenzialmente più difficili introducendo dati imprevedibili aggiuntivi nella funzione hash. Entrambi sono essenziali per una solida sicurezza di WordPress.

Cosa succede se cambio le mie chiavi di sicurezza di WordPress?

La modifica delle chiavi di sicurezza di WordPress invaliderà tutti i cookie di autenticazione esistenti. Ciò significa che ogni utente loggato (compreso te) verrà disconnesso e dovrà accedere nuovamente con il proprio nome utente e password. Questa è in realtà una funzione di sicurezza, utile dopo una violazione.

Risorse aggiuntive

• Risorse per sviluppatori WordPress - Chiavi di sicurezza
• PRNG crittograficamente sicuro - Wikipedia