WordPress alimenta il 41,5% di tutti i siti web su internet. Questa popolarità attira non solo imprenditori e sviluppatori, ma anche hacker. Ogni giorno, bot scansionano migliaia di siti alla ricerca di una versione vulnerabile di un plugin, una password debole o una porta aperta.

Un attacco raramente si limita a una homepage deturpata. Più spesso, il sito viene silenziosamente trasformato in una piattaforma per phishing, campagne di spam o cryptomining. I visitatori vengono reindirizzati a URL fraudolenti, Google segnala il sito come pericoloso e il provider di hosting blocca l'account. Il traffico crolla a zero e il recupero richiede settimane.

Il modo più affidabile per evitare questa situazione è la scansione automatica regolare. I moderni plugin per WordPress sono in grado di rilevare codice malevolo, backdoor, modifiche sospette ai file, link di phishing e plugin obsoleti con vulnerabilità note. Abbiamo selezionato 10 strumenti che funzionano davvero e ne abbiamo verificato l'attualità nel 2026.

💡 Panoramica rapida:

• Scegli un plugin in base al tuo scenario: protezione completa (Wordfence, Solid Security), rilevamento preciso (MalCare, MalCure) o scansione leggera delle vulnerabilità (Jetpack Protect).
• Installa il plugin tramite il pannello di amministrazione di WordPress ed esegui la prima scansione completa. Può richiedere da 5 a 20 minuti a seconda delle dimensioni del sito.
• Imposta la scansione automatica giornaliera e le notifiche via email. Per le versioni premium, abilita la pulizia automatica e il firewall.
• Dopo ogni scansione, esamina il report anche se il sito sembra funzionare senza problemi. I falsi positivi esistono, ma una vera backdoor è silenziosa e invisibile.

Di seguito una tabella riepilogativa, seguita da un'analisi dettagliata di ciascun plugin.

1. Jetpack VaultPress Backup

🔗 Informazioni e download🔗 Funzionalità

VaultPress è una soluzione di backup e scansione di Automattic, l'azienda dietro WordPress.com e WooCommerce. Nel 2024, il prodotto è stato completamente integrato nell'ecosistema Jetpack e ora si chiama Jetpack VaultPress Backup. Se disponi già di un piano Jetpack a pagamento, l'accesso al backup e alla scansione è incluso automaticamente senza dover installare un plugin separato.

Lo scanner confronta i file del sito con copie di riferimento del repository WordPress.org e segnala qualsiasi discrepanza. La scansione giornaliera è inclusa nel piano Jetpack Security (da €8,95 al mese), mentre il piano Jetpack Complete aggiunge la scansione su richiesta e il ripristino automatico, in cui il sistema riporta un file infetto a una versione pulita senza il tuo intervento.

Il vantaggio principale di VaultPress è che i backup sono archiviati sui server di Automattic anziché sul tuo hosting. Se il sito va completamente offline, lo ripristini dal cloud anche senza accedere al pannello di amministrazione. Lo svantaggio è che non esiste un piano gratuito e un firewall completo è disponibile solo tramite il prodotto separato Jetpack Protect.

2. MalCare Security

🔗 WordPress.org🔗 Demo dal vivo

MalCare è costruita sull'analisi di oltre 240.000 siti WordPress e sfrutta l'intelligenza collettiva della sua rete per rilevare le minacce. La sua caratteristica principale è la scansione eseguita sui server remoti di MalCare anziché sul tuo hosting. Questo significa che il controllo non carica la CPU del tuo sito né ne rallenta le prestazioni.

La tecnologia di rilevamento precoce individua malware complessi che altri plugin popolari non vedono. Gli sviluppatori hanno dato priorità alla precisione: il tasso di falsi positivi qui è tra i più bassi di tutti i concorrenti. Ricevi una notifica solo quando il plugin è realmente certo del rilevamento, non per ogni file sospetto.

La versione gratuita include un web application firewall, protezione contro gli attacchi di forza bruta e scansione di base. La versione premium di MalCare aggiunge la pulizia automatica con un clic delle infezioni rilevate, il blocco degli IP, l'hardening del login e la gestione centralizzata di più siti da un'unica dashboard.

3. Sucuri Security

🔗 WordPress.org🔗 SiteCheck online

Sucuri non è solo un plugin ma un intero ecosistema di sicurezza con il proprio scanner remoto SiteCheck, che puoi eseguire senza installare il plugin: inserisci un URL su sitecheck.sucuri.net e ricevi un report entro un minuto. Lo scanner controlla il sito dall'esterno, come farebbe il bot di un motore di ricerca, e confronta pagine e link con il database di malware noti di Sucuri.

Il plugin Sucuri Security per WordPress aggiunge registrazione degli audit, verifica dell'integrità dei file, avvisi email e strumenti di hardening della sicurezza. Può anche monitorare le modifiche ai DNS e ai certificati SSL.

È importante comprendere il limite: lo scanner remoto non ha accesso al server. Backdoor, script di phishing e account utente malevoli che non vengono renderizzati nel browser restano invisibili per questo strumento. Per una copertura completa, Sucuri offre un firewall a pagamento e un servizio professionale di pulizia, ma si tratta di servizi esterni, non del plugin in sé.

4. MalCure WP

🔗 WordPress.org🔗 Demo dal vivo

MalCure WP è uno scanner relativamente giovane ma tecnicamente avanzato. Il suo database contiene oltre 50.000 firme di infezione e il suo approccio ibrido combina tre metodi: verifica del checksum (integrità dei file), confronto con firme malware note e analisi euristica. Questo triplo controllo garantisce un’elevata precisione con un minimo di falsi positivi.

Il plugin esegue la scansione sia dei file sia del database, esaminando ogni record di ogni tabella. Questo è importante perché molti attacchi nascondono codice malevolo nel database (ad esempio in wp_options o wp_posts) e gli scanner che lavorano solo sui file non lo rilevano.

Il principale vantaggio tecnico di MalCure è la piena integrazione con WP-CLI. Se l’hosting ha bloccato l’accesso al pannello di amministrazione per contenere la diffusione di malware, è comunque possibile scansionare e pulire il sito da riga di comando. Questo consente anche di automatizzare le scansioni tramite cron. Il firewall integrato protegge dai vettori di attacco più comuni e l’integrazione con Google Search Console aggiunge controlli per link spam e avvisi di Google.

5. Solid Security (ex iThemes Security)

🔗 WordPress.org🔗 Demo dal vivo

Nel 2024, iThemes Security è stato rinominato Solid Security dopo l’ingresso del brand nella famiglia SolidWP sotto Liquid Web. Il nome è cambiato, ma la sostanza è rimasta: questo è uno dei plugin di sicurezza più diffusi, con oltre 800.000 installazioni attive.

La versione gratuita offre 30 livelli di protezione, tra cui controllo di sicurezza con un clic, scansione malware tramite Sucuri SiteCheck, imposizione di policy per le password, protezione contro la forza bruta, backup del database e rilevamento delle modifiche ai file.

La versione premium Solid Security Pro aggiunge l'autenticazione a due fattori, la scansione programmata, il confronto dei file core di WordPress con il riferimento, l'integrazione con il database delle vulnerabilità di Patchstack e l'applicazione automatica delle regole del firewall. Il costo è di $99 all'anno, il che la rende una delle soluzioni professionali più convenienti. Il lato negativo è che la configurazione può sembrare complessa per i principianti: 30 opzioni richiedono una messa a punto attenta.

6. Anti-Malware Security (GOTMLS)

🔗 WordPress.org🔗 Demo dal vivo

GOTMLS è uno scanner malware specializzato che non solo individua le minacce, ma aiuta anche a risolverle. Rileva malware, virus e altre minacce lato server, segnalando i file sospetti e offrendo opzioni di intervento.

Dopo la registrazione su GOTMLS.NET, il plugin ottiene l'accesso al download automatico delle nuove definizioni di malware e alle patch per le vulnerabilità note. Lo sviluppatore mantiene le definizioni aggiornate, aspetto critico per rilevare le minacce più recenti.

Revolution Slider è stato storicamente uno dei bersagli più colpiti in WordPress e GOTMLS include automaticamente la protezione per questo plugin. La versione premium aggiunge la protezione contro attacchi brute force e DDoS, oltre alla verifica dell'integrità del core. È adatto a chi cerca uno strumento specifico per trovare e rimuovere codice malevolo, piuttosto che una suite di sicurezza universale.

7. All In One WP Security & Firewall

🔗 WordPress.org🔗 Demo dal vivo

All In One WP Security & Firewall è un plugin completamente gratuito senza livelli premium. Offre un set di funzionalità notevole: imposizione di password complesse, protezione brute force, captcha integrato, modifica del prefisso del database, controllo dei permessi dei file, backup di .htaccess e wp-config.php e un firewall.

Il sistema di punteggio della sicurezza in tempo reale mostra il livello di protezione attuale del sito in punti e in forma grafica, il che è comodo per i principianti: puoi vedere subito dove servono miglioramenti e cosa correggere.

Lo scanner per il rilevamento delle modifiche ai file traccia le alterazioni ai file del core, ai temi e ai plugin, mentre lo scanner del database controlla la presenza di voci sospette nelle tabelle. Puoi impostare una scansione automatica giornaliera con report via email. Per un plugin gratuito, la copertura è notevole, ma l'assenza di pulizia automatica significa che dovrai rimuovere le infezioni manualmente.

8. Wordfence Security

🔗 WordPress.org🔗 Demo dal vivo

Wordfence è il plugin gratuito per la sicurezza di WordPress più diffuso, con oltre 5 milioni di installazioni attive. Il suo web application firewall utilizza un database di firme delle minacce costantemente aggiornato e può bloccare più di 44.000 varianti note di malware. Lo scanner verifica la presenza di backdoor, URL di phishing, trojan, codice sospetto e qualsiasi altra minaccia alla sicurezza.

La scansione viene eseguita ogni poche ore per impostazione predefinita, ma la versione gratuita ha un ritardo di 30 giorni nella ricezione delle nuove firme. Questo significa che la versione gratuita è meno efficace contro le minacce più recenti rispetto a quella premium.

La chiave premium (Wordfence Premium) elimina il ritardo delle firme, aggiunge il blocco per paese, la verifica della reputazione degli IP in tempo reale e il monitoraggio del traffico. Wordfence controlla anche l'integrità del core confrontando i file del sito con quelli di riferimento del repository di WordPress.org. Durante le scansioni complete carica il server; su hosting deboli, è meglio eseguire i controlli di notte.

9. Quttera ThreatSign

🔗 WordPress.org🔗 Demo dal vivo

Quttera ThreatSign è uno scanner basato su cloud che analizza i siti tramite un motore esterno, confrontandoli con oltre 40 database globali di minacce, tra cui Google Safe Browsing, McAfee, Norton e Yandex. Rileva malware, virus, trojan, backdoor, web shell e contenuti dannosi generati automaticamente.

Il plugin genera un report dettagliato che indica le linee di codice specifiche e la posizione dei file infetti. Se il sito è stato inserito nella blacklist di Google, Quttera lo segnalerà durante la scansione.

A marzo 2026, il plugin conta oltre 10.000 installazioni attive e una valutazione di 3,9 su 5. La versione gratuita offre solo la scansione manuale su richiesta; i controlli automatici e la pulizia richiedono un piano a pagamento. Funziona bene come secondo scanner per verificare in modo incrociato i risultati del tuo plugin di sicurezza principale.

10. Jetpack Protect

🔗 WordPress.org🔗 Demo dal vivo

Jetpack Protect è uno scanner di vulnerabilità gratuito di Automattic che nella nostra lista del 2026 ha sostituito il deprecato McAfee SECURE. Utilizza il database WPScan con oltre 53.500 vulnerabilità registrate e controlla quotidianamente la versione di WordPress, i plugin installati e i temi per problemi di sicurezza noti.

La configurazione richiede letteralmente un clic: installa, attiva, connetti a un account WordPress.com e lo scanner funziona. La versione gratuita include anche la protezione contro gli attacchi di forza bruta, che blocca in media oltre 5.000 attacchi durante la vita di un sito.

Il passaggio a un piano a pagamento (da 4,95 € al mese) aggiunge la scansione malware giornaliera con correzioni in un clic per la maggior parte dei problemi, un web application firewall con aggiornamenti automatici delle regole e notifiche istantanee delle minacce via email. Jetpack Protect non richiede l'installazione del plugin principale Jetpack; è un prodotto completamente autonomo.

Questo dettagliato confronto video degli scanner malware per WordPress dal canale WPDev ti aiuterà a vedere le interfacce dei plugin in azione e a capire le differenze tra loro attraverso esempi reali.

⁉️🤔 Domande frequenti

Un solo plugin è sufficiente per una protezione completa di WordPress?

No. Un plugin di sicurezza è un elemento importante ma non l'unico. Una protezione completa include: hosting affidabile, backup regolari, password robuste, autenticazione a due fattori, aggiornamenti tempestivi di core, temi e plugin, oltre all'HTTPS. Un plugin chiude le falle ma non sostituisce una buona igiene.

È vero che gli scanner gratuiti non rilevano il malware?

Non proprio. Le versioni gratuite di Wordfence, MalCare e Solid Security trovano la maggior parte delle minacce conosciute. La differenza rispetto alle versioni premium sta nella rapidità con cui arrivano le firme. Wordfence ha un ritardo di 30 giorni per le nuove firme nella versione gratuita; il piano gratuito di MalCare non pulisce automaticamente. Per un sito WordPress commerciale con traffico superiore a 1.000 visitatori al giorno, vale la pena considerare soluzioni premium.

Si possono usare due scanner contemporaneamente?

Tecnicamente sì, ma non è consigliato. Due firewall possono entrare in conflitto e due scanner possono creare un doppio carico sul server. È meglio scegliere un plugin principale con firewall (Wordfence o MalCare) e, se necessario, affiancarlo a uno scanner esterno come Sucuri SiteCheck o Quttera, che lavorano da remoto e non gravano sul tuo hosting.

Ogni quanto bisognerebbe scansionare il sito alla ricerca di malware?

Ogni giorno. La maggior parte dei plugin in questa lista supporta la scansione automatica giornaliera. Se il sito elabora pagamenti o dati personali degli utenti, prendi in considerazione soluzioni con scansione oraria, come Wordfence. Un controllo manuale una volta a settimana non è sufficiente: in quel lasso di tempo, il codice malevolo può causare danni e portare al blocco del sito da parte dei motori di ricerca.

Cosa devo fare se lo scanner trova malware?

Primo, niente panico. Secondo, fai un backup completo del sito (anche se infetto). Terzo, avvia la pulizia: MalCare Pro, Wordfence Premium o MalCure WP lo faranno automaticamente. Se la pulizia non aiuta o l'hosting ha bloccato completamente il sito, contatta servizi professionali come Sucuri, che puliscono i siti manualmente con garanzia. Dopo la pulizia, cambia tutte le password, verifica gli account amministratore e aggiorna tutto alle ultime versioni.

Cosa installare nel 2026: raccomandazioni finali

Non esiste una risposta universale: la scelta dipende da cosa ti serve esattamente. Ecco però tre scenari collaudati.

Se il budget è limitato e hai un solo sito, inizia con All In One WP Security. È completamente gratuito, offre un firewall, protezione contro gli attacchi brute force, uno scanner per file e modifiche al database e mostra il livello di protezione in punti, aiutando anche i principianti a capire la situazione.

Se il sito genera ricavi e il downtime è critico, prendi Wordfence Premium. Eliminare il ritardo di 30 giorni sulle firme, il blocco per paese, il monitoraggio del traffico in tempo reale e la scansione oraria sono investimenti che valgono la spesa quando la posta in gioco è alta.

Se ti serve una scansione senza carico sul server, scegli MalCare o Sucuri. Entrambi eseguono i controlli sui loro server cloud senza toccare la CPU del tuo hosting. MalCare offre una migliore accuratezza e un firewall già nella versione gratuita, mentre Sucuri fornisce audit esterni e pulizia professionale come servizio.

Qualunque plugin tu scelga, installalo oggi. La scansione di domani potrebbe rilevare ciò che quella di ieri non poteva ancora vedere.