Il pannello admin esposto a internet è il bersaglio numero uno di brute force e scanner. La difesa a strati, dal più efficace:
- non esporlo affatto: admin raggiungibile solo da VPN/overlay o da IP fidati – per un
/wp-admin, un/admin, la GUI di Proxmox, è la soluzione che chiude il problema alla radice - allowlist IP sul proxy: quattro righe in Caddy/Nginx che rispondono 403 a chiunque non venga dagli IP giusti – rudimentale e devastantemente efficace per chi ha IP stabili
- un'autenticazione in più davanti: basic auth sul path admin (il WordPress bucabile resta dietro una porta in più), o il gradino sopra – forward auth con identità e MFA (Authelia/Authentik), lo Zero Trust fatto in casa
- il contorno che non deve mancare: rate limiting e ban degli insistenti, admin su path non standard (non è sicurezza, è meno rumore nei log), e log degli accessi guardati