🔒 Come disabilitare la visualizzazione del codice sorgente in WordPress: plugin e configurazione

Hai pubblicato un articolo e una settimana dopo il suo testo è già sul sito di qualcun altro. Cambiano i link con i propri, impostano redirect e raccolgono il tuo traffico. Il pulsante «Visualizza sorgente» nel browser rende il furto di contenuti una questione di un paio di clic: Ctrl+U e tutto l'HTML con il testo è in bella vista.

Ma il problema è più ampio della semplice copia. Tramite Visualizza sorgente, un malintenzionato vede la versione di WordPress, i nomi dei plugin installati e le loro directory, e questo è già un vettore d'attacco bell'e pronto. Uno scanner di vulnerabilità trova un exploit in pochi minuti se sa cosa e dove cercare.

WordPress di per sé non fornisce un interruttore integrato per «disabilitare la visualizzazione del codice». Serve un plugin, e non ce ne sono molti se si contano quelli che funzionano davvero. Di seguito esaminiamo due strumenti che bloccano Visualizza sorgente, più un metodo bonus per mascherare le tracce di WordPress.

💡 Panoramica rapida:

• Scoprirai quali informazioni rivela Visualizza sorgente e perché è pericoloso
• Vedremo come installare WPShield Content Protector con 16 moduli di protezione
• Configureremo WP Content Copy Protection per disabilitare il codice sorgente
• Nasconderemo il fatto di usare WordPress a bot e scanner di vulnerabilità

Cosa rivela Visualizza sorgente e perché è pericoloso

Il codice sorgente della pagina non è solo markup HTML. Mostra:

• Versione esatta di WordPress. Gli scanner hacker raccolgono automaticamente la versione del CMS e selezionano gli exploit per le vulnerabilità note.
• Nomi e percorsi dei plugin. Ogni wp-content/plugins/<slug> nel codice segnala quali estensioni sono installate sul sito, e ognuna di esse può avere la propria CVE.
• Struttura del tema. Nomi dei file del template, custom post type, meta field, tutto questo facilita il reverse engineering.
• Commenti degli sviluppatori. <!-- TODO: fix auth --> o chiavi API commentate nell'HTML si incontrano ancora, e Visualizza sorgente le rende pubbliche.

Bloccare il codice sorgente non è paranoia ma un livello standard di difesa in profondità, che integra le misure di base: password robuste, autenticazione a due fattori, aggiornamenti tempestivi e un firewall a livello di web server.

1. WPShield Content Protector, suite di protezione premium

WPShield Content Protector (ex Content Protector Pack di BetterStudio) è cresciuto da plugin per la protezione del codice a kit completo di 16 moduli. Ogni modulo è un interruttore separato per uno specifico vettore d'attacco:

• View Source Protector, disabilita l'apertura del codice sorgente tramite Ctrl+U, tasto destro e F12.
• Developer Tools Protector, blocca i DevTools non solo da F12, ma anche da Ctrl+Shift+I, Ctrl+Shift+J e Ctrl+Shift+C.
• Right Click Menu Disabler, disabilita completamente il menu contestuale, incluse le voci «Salva immagine» e «Stampa».
• Right Click Menu Limiter (pro), il menu viene mostrato, ma le voci «Copia» e «Visualizza codice» non sono disponibili.
• Feeds Protector, rimuove i feed RSS/Atom che gli autoblog usano per il parsing.
• Hotlinking Protector, vieta di incorporare le tue immagini direttamente su altri siti.

Il plugin è a pagamento. Il prezzo dipende dal numero di siti, la licenza include aggiornamenti e supporto. Al momento dell'acquisto, si ottiene subito accesso a tutti i 16 moduli, senza costi nascosti per singole funzionalità.

Installazione e attivazione della protezione

• Scarica l'archivio zip del plugin dal tuo account personale su wpshield.com.
• Nell'amministrazione di WordPress: Plugin → Aggiungi nuovo → Carica plugin.
• Seleziona l'archivio e clicca «Installa», poi «Attiva».

• Dopo l'attivazione, nel menu a sinistra compare la sezione WPShield. Vai su Content Protector.

• Trova il modulo View Source Protector e sposta l'interruttore su Enabled.
• Salva le modifiche.

Da questo momento, Ctrl+U, tasto destro e «Visualizza codice» non funzionano per gli utenti non loggati. I motori di ricerca vedono il contenuto per intero, il plugin non tocca il rendering lato server, solo il lato client.

2. WP Content Copy Protection, metodo gratuito per bloccare il codice

WP Content Copy Protection di Tyche Softwares funziona secondo il principio «attiva e dimentica»: nessuna pagina di impostazioni, dopo l'attivazione la protezione è immediatamente operativa.

Cosa viene bloccato nella versione gratuita: visualizzazione del codice sorgente tramite Ctrl+U, tasto destro e tasto F, selezione del testo con mouse e drag-and-drop, salvataggio delle immagini tramite menu contestuale, combinazioni Ctrl+A, Ctrl+C, Ctrl+X, Ctrl+S, Ctrl+P, accesso diretto alla directory /wp-content/uploads/.

Nessuna finestra pop-up, la protezione funziona in modo silenzioso senza degradare l'esperienza utente. Il plugin è compatibile con WooCommerce e con la maggior parte dei temi.

Sfumatura importante: l'ultimo aggiornamento è stato rilasciato a giugno 2023 e la scheda su WordPress.org mostra un avviso «non testato con le ultime tre versioni principali di WP». Sulle versioni recenti di WordPress il plugin funziona, ma non vengono aggiunte nuove funzionalità, lo sviluppatore è concentrato sui prodotti commerciali. Se hai bisogno di una compatibilità futura garantita, orientati su WPShield.

La versione premium aggiunge la protezione del tasto Print Screen, maschere CSS avanzate per le immagini, disabilitazione dei feed RSS e disabilitazione selettiva della protezione per gli utenti registrati.

Bonus: come nascondere che il sito gira su WordPress

Disabilitare Visualizza sorgente è positivo. Ma c'è un altro livello: fare in modo che uno scanner non capisca nemmeno di trovarsi di fronte a un sito WordPress.

• Rimuovere il meta-tag generator. In functions.php aggiungi: remove_action('wp_head', 'wp_generator');. Il tag <meta name="generator" content="WordPress X.X"> scomparirà dall'head.
• Nascondere la versione di WP. Oltre al meta-tag, la versione è visibile nei parametri di query di script e stili (?ver=X.X). Snippet per la rimozione: add_filter('style_loader_src', 'remove_version_query', 999); add_filter('script_loader_src', 'remove_version_query', 999); function remove_version_query($src) { return remove_query_arg('ver', $src); }.
• Rinominare le directory. I percorsi standard wp-content, wp-includes e wp-admin tradiscono il sito con gli scanner passivi. Plugin come Hide My WP Ghost li cambiano con percorsi personalizzati.
• Cambiare la struttura dei permalink. Il formato predefinito ?p=123 è un altro indicatore di WordPress. URL parlanti come /post-name/ risolvono questo problema.

Nessuno di questi metodi fornisce un anonimato assoluto, uno specialista esperto identificherà il CMS da segni indiretti. Ma taglia fuori i bot e gli scanner automatici, e sono loro a generare il flusso principale di attacchi ai siti WordPress.

Video: configurazione completa della protezione dei contenuti

Questo video mostra il processo di installazione e configurazione dei plugin di protezione dei contenuti, dalla disabilitazione del tasto destro all'occultamento del codice sorgente. Tutti i passaggi dallo schermo, su un sito WordPress reale.

⁉️🤔 Domande frequenti

Disabilitare Visualizza sorgente protegge dagli attacchi hacker?

No, di per sé non protegge. È un livello di sicurezza tramite offuscamento: un malintenzionato non vede la versione di WP e l'elenco dei plugin, quindi non può selezionare automaticamente un exploit. Ma se il sito ha un plugin vulnerabile con una falla, la troverà con altri metodi. View Source Protection funziona solo in combinazione con aggiornamenti regolari, un firewall e un set minimo di plugin.

Il blocco del tasto destro influisce sulla SEO?

No. I bot di ricerca ricevono l'HTML direttamente dal server e la protezione JavaScript funziona solo nel browser dell'utente. Google, Yandex e Bing vedono il contenuto per intero. In pratica, il posizionamento dei siti con protezione attivata non differisce dalla norma.

La protezione di Visualizza sorgente può essere aggirata?

Sì. Il modo più semplice è disabilitare JavaScript nel browser o usare gli strumenti per sviluppatori aperti prima del caricamento della pagina. La protezione non è progettata per un aggiramento deliberato da parte di uno specialista, il suo compito è tagliare fuori la copia di massa e gli scanner automatici di vulnerabilità.

Cosa scegliere: WPShield o WP Content Copy Protection?

Se ti serve un solo interruttore «attiva e dimentica» a costo zero, WP Content Copy Protection. Se ti serve uno scudo completo con protezione da Print Screen, DevTools, feed RSS e la possibilità di configurare in modo flessibile per ruoli utente, WPShield Content Protector.

Un plugin di protezione dei contenuti rallenta il sito?

Entrambi i plugin hanno un impatto minimo sulla velocità. WP Content Copy Protection aggiunge un file JS (circa 5 KB compressi). WPShield carica gli script solo per i moduli attivi, se hai abilitato solo View Source Protector, gli altri 15 moduli non caricano una sola riga di codice.

Devo disabilitare la cache quando uso i plugin di protezione?

No. I plugin di protezione dei contenuti iniettano codice JavaScript che viene eseguito nel browser del visitatore indipendentemente dalla cache del server. Metti in cache le pagine come al solito, questo non influisce sul funzionamento della protezione. Dopo aver installato o aggiornato il plugin, svuota la cache in modo che i nuovi script raggiungano con certezza tutte le pagine.

Vale la pena bloccare il codice sorgente e cosa installare

Disabilitare Visualizza sorgente non è la panacea, ma uno dei mattoni nel muro della sicurezza del sito. Da solo non fermerà un attacco mirato, ma taglia fuori la parte del leone degli scanner automatici e rende inutile il parsing di massa dei contenuti.

Se il budget non consente soluzioni a pagamento, inizia con WP Content Copy Protection. Gratuito, attivazione immediata, impostazioni minime. Tieni solo presente che il plugin non viene aggiornato da metà 2023.

Se la protezione dei contenuti è critica per te (monetizzazione tramite articoli unici, corsi a pagamento, materiali riservati), acquista WPShield Content Protector. 16 moduli forniscono una copertura che non si può ottenere con un insieme di plugin gratuiti separati, e ogni modulo è aggiornato per le versioni correnti di WordPress e dei browser.

E non dimenticare il mascheramento di base di WP in functions.php: cinque righe di codice della sezione bonus costano zero $ e tagliano fuori la maggior parte degli scanner automatici ancora prima che provino ad aprire Visualizza sorgente.