ThinkLogin riunisce in un solo plugin le funzioni che ruotano attorno all’accesso a WordPress: una pagina di login con l’aspetto del sito, un secondo fattore con codice inviato via email, le foto profilo gestite in locale, la duplicazione di articoli e pagine e la protezione dell’elenco degli utenti. Ogni modulo si accende separatamente dalla pagina Impostazioni → ThinkLogin, organizzata in schede (sfondo, logo, colori, tipografia, scheda, testi, CSS, avatar, duplicazione, sicurezza).
Pagina di accesso su misura
La schermata di wp-login.php prende i colori e il logo del sito. Lo sfondo può essere un colore, una sfumatura tra due colori o un’immagine a tutto schermo; il riquadro del modulo ha colore, angoli arrotondati e ombra regolabili. Il logo ha larghezza, margini, link e titolo propri, oppure si può nascondere. Si scelgono i colori di pulsanti, etichette, bordi dei campi, link e messaggi di errore, la dimensione del testo e il carattere.
Di serie il carattere è quello di sistema, così la pagina di accesso non contatta Google Fonts e non trasmette dati a terzi; Google Fonts o un file di caratteri ospitato altrove si attivano solo su scelta esplicita. Si possono nascondere il selettore della lingua, il link “Torna al sito”, i link di registrazione e di recupero della password, cambiare i testi e aggiungere CSS personalizzato.
Secondo fattore con codice via email
Per i ruoli scelti (di serie amministratori e redattori) la password non basta: dopo averla verificata, ThinkLogin invia all’indirizzo dell’utente un codice da inserire in una seconda schermata, che mostra l’email in forma mascherata. Il codice scade dopo un tempo impostabile (10 minuti di serie) e accetta un numero limitato di tentativi (3 di serie). Se si ripete l’accesso entro 60 secondi non parte una nuova email ma resta valido il codice già inviato, e i limiti per utente e per indirizzo IP fermano i tentativi a raffica.
Il codice non viene mai salvato in chiaro: nel database resta solo un’impronta HMAC calcolata con un segreto di sito conservato in un file fuori dal database. Il passaggio tra password e codice è tenuto da un cookie tecnico che dura 15 minuti, e la schermata del codice invia intestazioni di sicurezza (Content Security Policy) che limitano le risorse caricabili. Un’opzione estende la protezione anche alle API REST, a XML-RPC e alle Application Passwords, con un elenco di utenti o nomi di applicazione esentati, utile per strumenti di gestione remota come ThinkBridge.
L’email può essere in HTML o in testo semplice, con mittente, oggetto e corpo personalizzabili. Nei testi si usano i segnaposto {user}, {otp}, {expiry} e {site_name}. Se sul sito è attivo SMTP-MailPool l’invio passa dal pool di caselle SMTP; altrimenti usa wp_mail(). Dall’amministrazione si spedisce un’email di prova, e l’ultimo errore di invio resta registrato per la diagnosi, senza mai conservare il codice.
Foto profilo locali
Il modulo avatar sostituisce Gravatar ovunque WordPress mostri l’immagine di un utente, senza richieste a servizi esterni. Chi può caricare file sceglie la foto dalla libreria media; gli altri utenti caricano direttamente un’immagine dal proprio profilo, entro un limite di dimensione. Quando l’allegato viene cancellato, la foto si rimuove anche dal profilo. Se sul sito è già attivo Simple User Avatar, il modulo resta inattivo per non sovrapporsi.
Duplicazione dei contenuti
Articoli, pagine e gli altri tipi di contenuto abilitati si duplicano come nuova bozza oppure come clone, dall’elenco dei contenuti, dalla barra di amministrazione, dall’editor o con un’azione di gruppo su più elementi. Si decide con precisione che cosa copiare: titolo, contenuto, riassunto, immagine in evidenza, template, formato, autore, data, stato, slug, password, ordine nel menu, allegati, pagine figlie e commenti. Al titolo si aggiungono un prefisso o un suffisso (di serie “Copia – ”), e si escludono campi personalizzati e tassonomie specifiche.
I campi riservati e quelli di stato interni non vengono mai copiati, e la funzione è limitata ai ruoli scelti (di serie amministratori e redattori). ThinkLogin riconosce i contenuti del plugin Kevents e li include tra quelli duplicabili. Se è attivo Yoast Duplicate Post, il modulo si mette da parte.
Elenco utenti nascosto
Su richiesta ThinkLogin impedisce ai visitatori non autenticati di ricavare i nomi utente del sito: blocca l’elenco pubblico dell’API REST (/wp/v2/users), le richieste del tipo ?author=1, la sitemap degli utenti e i dati dell’autore nelle anteprime oEmbed; facoltativamente chiude anche gli archivi per autore. Le richieste autenticate, con cookie o Application Password, continuano a funzionare normalmente.
Attività pianificate su hosting che bloccano WP-Cron
Alcuni hosting, come Hostinger, bloccano la chiamata interna a wp-cron.php con una pagina anti-bot, e le attività pianificate (per esempio la coda delle email) restano ferme. Con l’opzione dedicata, ThinkLogin esegue le attività in scadenza durante le visite di un amministratore al pannello, nella stessa richiesta e con le stesse regole di WP-Cron, senza bisogno di un crontab sul server.
Integrazione con l’ecosistema ThinkClouds
Il plugin pubblica il proprio manifesto ThinkClouds: impostazioni e campi di contenuto da trasferire nelle migrazioni, i cookie usati (letti da ThinkConsent per la cookie policy) e una serie di controlli di salute, che segnalano per esempio un secondo fattore attivo senza ruoli selezionati, le API non protette o la mancanza del segreto di sito. Gli aggiornamenti arrivano da ThinkRepo e si installano dalla normale pagina Aggiornamenti di WordPress.
Requisiti
- WordPress 6.0 o successivo
- PHP 7.4 o successivo
- Facoltativi: SMTP-MailPool per l’invio dei codici, Kevents per la duplicazione dei suoi contenuti
Download riservato alle persone autorizzate: ti chiederemo la tua email e un codice di conferma.
Novità per versione
2.17.7 03/11/2026
Aggiornamenti dal repository ThinkClouds. Le nuove versioni arrivano da ThinkRepo e si installano dalla pagina Aggiornamenti, dopo che il sito è stato approvato.
