Se devi entrare nel pannello di amministrazione di un sito WordPress self-hosted, nella maggior parte dei casi ti basta aprire uno di questi indirizzi:
https://tuodominio.it/wp-admin/
oppure:
https://tuodominio.it/wp-login.php
Se non hai ancora effettuato l’accesso, /wp-admin/ normalmente ti reindirizza alla schermata di login. Da lì puoi entrare con nome utente o indirizzo email e password.
Il problema nasce quando l’installazione si trova in una sottocartella, l’URL di accesso è stato modificato, un plugin interferisce con l’autenticazione oppure WordPress continua a riportarti alla pagina di login. In questi casi provare indirizzi a caso serve poco: conviene capire prima dove è installato WordPress e quale sintomo stai vedendo.
In questa guida partiamo dall’URL corretto e arriviamo ai casi in cui il WordPress login non funziona, con un percorso di diagnosi che evita modifiche inutili o rischiose.
Qual è l’URL di login di WordPress?
In un’installazione WordPress standard nella root del dominio, la pagina di autenticazione è wp-login.php. La documentazione ufficiale di WordPress sul login conferma che visitando /wp-admin/ da utente non autenticato si viene normalmente reindirizzati alla pagina di accesso.
Per questo, nella pratica, puoi usare indifferentemente:
https://tuodominio.it/wp-login.php
oppure:
https://tuodominio.it/wp-admin/
Non sono però due pagine con la stessa funzione. wp-login.php gestisce il processo di autenticazione; wp-admin/ è invece la directory dell’area amministrativa. Se hai già effettuato il login, aprendo /wp-admin/ arrivi direttamente alla dashboard. Se non sei autenticato, WordPress ti manda al form di accesso.
wp-admin e wp-login.php: qual è la differenza
La distinzione è utile soprattutto quando qualcosa non funziona.
| Indirizzo | A cosa serve | Cosa succede normalmente |
|---|---|---|
/wp-login.php | Gestisce autenticazione, logout e recupero credenziali | Mostra la schermata di login |
/wp-admin/ | Porta all’area di amministrazione | Se non sei autenticato, reindirizza al login |
| URL personalizzato | Sostituisce o intercetta il percorso standard tramite plugin o configurazione | Il comportamento dipende dalla soluzione utilizzata |
Se /wp-admin/ funziona ma wp-login.php restituisce un errore, oppure accade il contrario, questa differenza aiuta già a restringere la causa.
Login se WordPress è installato in una sottocartella o sottodominio
L’errore più banale è cercare la login nella root del dominio quando WordPress è installato altrove.
Se il sito è installato in:
https://tuodominio.it/wordpress/
gli indirizzi diventano:
https://tuodominio.it/wordpress/wp-admin/ https://tuodominio.it/wordpress/wp-login.php
Se invece WordPress gira su un sottodominio, per esempio:
https://blog.tuodominio.it/
userai:
https://blog.tuodominio.it/wp-admin/ https://blog.tuodominio.it/wp-login.php
La regola è semplice: aggiungi /wp-admin/ o /wp-login.php alla directory in cui è realmente installato WordPress, non necessariamente al dominio principale.
Se non sai dove si trova l’installazione, controlla il pannello hosting, il file manager oppure la configurazione usata quando il sito è stato installato.
WordPress.com e WordPress self-hosted: attenzione a non confonderli
Questa guida riguarda principalmente i siti WordPress self-hosted, cioè installazioni del software WordPress su un hosting scelto dal proprietario del sito.
Se invece il tuo sito è gestito tramite WordPress.com, l’accesso passa dall’account della piattaforma e non devi necessariamente cercare wp-login.php sul dominio nello stesso modo.
È una distinzione importante perché la query “WordPress login” può riferirsi a due cose diverse: entrare nel backend di un sito WordPress installato sul proprio hosting oppure accedere al proprio account WordPress.com.
Come accedere al pannello di amministrazione WordPress
Una volta raggiunta la schermata corretta, il login è lineare: inserisci nome utente o email associata all’account e la relativa password.
La password è case-sensitive, quindi maiuscole e minuscole contano. Se hai un password manager, è preferibile usare quello invece di memorizzare la stessa password in più siti o affidarti a credenziali facili da ricordare.
Accedere con username o email e password
Apri la pagina di login e compila i due campi:
- Nome utente o indirizzo email
- Password
Poi seleziona Accedi.
Se le credenziali sono valide, WordPress crea la sessione autenticata e ti porta nell’area amministrativa. Se invece compare un messaggio di errore, leggilo prima di intervenire: “password errata”, “utente sconosciuto”, “cookie bloccati”, “troppi reindirizzamenti” e un codice HTTP come 403 o 404 indicano problemi diversi.
Questo è un punto che vale la pena sottolineare: non tutti i problemi di WordPress login sono problemi di password.
“Ricordami”, password manager e segnalibro: quale soluzione usare
L’opzione Ricordami prolunga la durata della sessione sul dispositivo. È comoda sul tuo computer personale, ma ha meno senso su un dispositivo condiviso o che non controlli.
Per evitare di dover cercare ogni volta l’URL di login, puoi salvare /wp-admin/ nei preferiti del browser. Se usi un URL personalizzato, salvarlo è ancora più importante: in quel caso gli indirizzi standard potrebbero essere intenzionalmente resi inaccessibili.
Per le credenziali, la scelta migliore è una password unica e robusta conservata in un password manager. Le raccomandazioni ufficiali di WordPress sulle password insistono sia sull’unicità delle password sia sull’utilità dei password manager.
Cosa trovi dopo il login: dashboard, bacheca e wp-admin
Dopo l’autenticazione entri nella Bacheca di WordPress, cioè la parte amministrativa del sito.
Da qui, in base al ruolo assegnato al tuo account, puoi gestire contenuti, media, commenti, utenti, plugin, temi e impostazioni. Non tutti gli utenti vedono le stesse voci: un amministratore ha capacità molto più ampie di un autore o di un sottoscrittore.
Ai fini di questa guida, però, la distinzione importante è un’altra:
- login = processo con cui dimostri chi sei;
- wp-admin = area amministrativa che puoi usare dopo esserti autenticato e in base ai tuoi permessi.
Se il login riesce ma non vedi una determinata funzione, quindi, il problema potrebbe essere il ruolo utente e non l’accesso.
Come entrare in WordPress dal pannello hosting
Molti provider permettono di aprire l’amministrazione WordPress direttamente dal proprio pannello di gestione, spesso tramite un pulsante come Accedi, Login, Admin o WordPress Admin.
Questa strada può essere utile quando non ricordi l’URL esatto o quando il provider ha installato WordPress attraverso un proprio toolkit.
Accesso diretto tramite gli strumenti WordPress dell’hosting
Il percorso cambia da provider a provider, ma il meccanismo è simile:
- accedi al pannello hosting;
- apri la sezione dedicata al sito o all’installazione WordPress;
- individua il comando per entrare nell’amministrazione;
- verifica che il dominio o l’installazione selezionati siano quelli corretti.
In alcuni casi il pannello crea un accesso temporaneo o una sessione senza chiederti nuovamente la password WordPress. Non significa che la password sia stata rimossa: il provider sta usando un meccanismo di accesso amministrativo integrato nel proprio ambiente.
Non tutti gli hosting offrono questa funzione, quindi non considerarla un comportamento standard di WordPress core.
Quando il login dal pannello hosting è utile
L’accesso dal pannello è particolarmente utile in tre situazioni:
- non ricordi l’URL di login;
- gestisci più installazioni e vuoi evitare di confonderle;
- devi capire se il problema riguarda WordPress oppure soltanto il percorso che stai usando nel browser.
Se anche l’accesso dal pannello fallisce, hai un indizio importante: è più probabile che il problema riguardi autenticazione, configurazione dell’installazione, plugin, server o permessi, non semplicemente l’URL digitato.
Cosa fare se wp-admin o wp-login.php non funzionano
Quando la login non funziona, il modo più rapido per perdere tempo è applicare dieci soluzioni diverse senza capire il sintomo.
Parti invece da ciò che vedi:
| Sintomo | Causa da verificare per prima | Primo controllo |
|---|---|---|
wp-login.php restituisce 404 | URL personalizzato, installazione in sottocartella, routing o plugin | Verifica percorso reale e modifiche recenti |
wp-admin restituisce 403 | WAF, plugin di sicurezza, IP, autorizzazioni o server | Controlla eventi di sicurezza e prova da altra rete/sessione |
| Dopo il login torni sempre alla schermata di accesso | Cookie, URL del sito, HTTPS, cache, redirect | Cancella i cookie del solo sito e controlla gli URL WordPress |
| Compare “troppi reindirizzamenti” | HTTP/HTTPS, home/siteurl, CDN/proxy, redirect | Controlla coerenza degli URL e delle regole |
| Pagina bianca o errore dopo una modifica | Plugin, tema, PHP o aggiornamento | Isola la modifica recente |
| Password corretta ma email di recupero non arriva | Invio email del sito o indirizzo account | Controlla spam e configurazione email, poi usa un metodo alternativo |
Ottieni un 404 o non trovi più la pagina di login
Un 404 su wp-login.php non significa automaticamente che WordPress sia rotto.
Prima controlla:
- che WordPress sia realmente installato nella root del dominio;
- che non sia stato spostato in una sottocartella;
- che non esista un URL di login personalizzato;
- che un plugin di sicurezza non stia intercettando i percorsi standard.
Se il problema è comparso subito dopo l’installazione o la configurazione di un plugin che cambia la login, parti da lì. Non modificare .htaccess, database e permessi contemporaneamente: rischieresti di aggiungere un secondo problema al primo.
Se invece ricevi 403 Forbidden, la diagnosi è diversa. Il server ha ricevuto la richiesta ma sta rifiutando l’accesso; possono essere coinvolti firewall, WAF, blocchi IP, regole del server o plugin. In quel caso trovi una procedura dedicata nella nostra guida all’errore 403 Forbidden.
WordPress continua a reindirizzarti alla pagina di accesso
Il classico login loop si riconosce così: inserisci credenziali corrette, WordPress sembra accettarle, poi ti riporta di nuovo al form.
La documentazione ufficiale di WordPress indica fra i controlli principali:
- cancellare i cookie relativi al sito;
- verificare i valori degli URL del sito;
- controllare eventuali conflitti con plugin;
- verificare configurazione HTTPS e redirect;
- controllare cache, proxy o CDN quando interferiscono con la sessione.
Qui il meccanismo conta. WordPress usa cookie di autenticazione per riconoscere la sessione. Se il browser non conserva il cookie corretto, oppure il sito continua a spostarti tra URL differenti, la sessione può non essere riconosciuta e il risultato sembra un “login che non resta”.
Un caso frequente è l’incoerenza fra:
http://tuodominio.it
e:
https://tuodominio.it
oppure tra versione con e senza www, soprattutto dopo una migrazione o una modifica della configurazione SSL.
Prima di cambiare valori nel database o in wp-config.php, verifica quale deve essere realmente l’URL canonico del sito. Correggere alla cieca home, siteurl, WP_HOME o WP_SITEURL può peggiorare il problema.
Cookie e cache impediscono il login
Se WordPress segnala che i cookie sono bloccati o non supportati, prova prima i controlli meno invasivi:
- apri il login in una finestra privata;
- verifica che il browser consenta i cookie per il dominio;
- elimina cookie e dati solo del sito interessato;
- riprova senza estensioni del browser che potrebbero interferire;
- controlla se una cache server-side o CDN sta memorizzando la pagina di login.
La pagina wp-login.php e le sessioni autenticate non dovrebbero essere trattate come normali pagine pubbliche da una cache HTML aggressiva.
Se la navigazione privata funziona ma la sessione normale no, il problema è probabilmente locale al browser. Se il comportamento è identico su browser, dispositivi e reti diversi, sposta l’attenzione verso WordPress, CDN, WAF o server.
Un plugin o una modifica recente ha bloccato l’accesso
Se il problema è iniziato subito dopo aver installato, aggiornato o configurato un plugin, la modifica recente è il primo elemento da isolare.
Quando non puoi entrare da wp-admin, puoi usare il file manager del provider oppure una connessione sicura ai file del sito. Se devi lavorare da remoto sui file, trovi i passaggi di base nella nostra guida a SFTP.
Per testare un plugin specifico, puoi rinominare temporaneamente la sua directory all’interno di:
wp-content/plugins/
Se non sai quale plugin sia coinvolto, rinominare temporaneamente l’intera cartella plugins disattiva i plugin caricati normalmente da quella directory. È un test diagnostico, non una soluzione definitiva: una volta recuperato l’accesso dovrai ripristinare il nome corretto e riattivare i componenti in modo controllato.
Prima di toccare file o configurazione, assicurati di avere un backup recente e un modo per ripristinare il sito.
Hai dimenticato la password o non ricevi l’email di reset
Il primo metodo resta “Password dimenticata?” nella schermata di login.
Inserisci il nome utente o l’email associata all’account e segui il link ricevuto. La documentazione ufficiale sul reset della password descrive anche metodi alternativi quando l’email non è disponibile.
Se l’email non arriva:
- controlla spam e posta indesiderata;
- verifica di stare usando l’indirizzo associato all’account;
- controlla se il sito riesce realmente a inviare email;
- se hai accesso SSH e WP-CLI, puoi reimpostare la password senza modificare direttamente il database.
La documentazione WordPress indica WP-CLI come metodo tecnico consigliato quando il recupero standard non è disponibile. Per esempio:
wp user update NOMEUTENTE --prompt=user_pass
Il comando chiede la nuova password in modo interattivo, evitando di scriverla direttamente nella cronologia della shell.
La modifica manuale della tabella utenti tramite phpMyAdmin resta una possibilità di emergenza, ma è più invasiva. Inoltre non va più spiegata dicendo che “MD5 è l’algoritmo usato da WordPress”: le versioni moderne utilizzano bcrypt con pre-hashing SHA-384 per le password utente, mantenendo il supporto a formati legacy per compatibilità. Se non hai familiarità con database o WP-CLI, è più prudente chiedere supporto al provider o a chi gestisce tecnicamente il sito.
Hai cambiato l’URL di login e non ricordi più l’indirizzo?
Cambiare l’indirizzo di accesso può rendere irraggiungibili /wp-login.php e /wp-admin/ per gli utenti non autenticati, a seconda del plugin o della configurazione utilizzati.
Se il percorso standard improvvisamente restituisce 404 o reindirizza altrove, chiediti prima di tutto se sul sito è stato installato un plugin che modifica la login.
Come capire se il sito usa un URL personalizzato
Controlla:
- i preferiti del browser;
- la documentazione interna del sito;
- le email o note lasciate da chi lo ha configurato;
- il pannello hosting;
- l’elenco dei plugin tramite file manager o SFTP.
Un esempio molto diffuso è WPS Hide Login. Il plugin non rinomina wp-login.php: intercetta le richieste e consente di scegliere un nuovo percorso di accesso.
Questo dettaglio è utile perché spiega cosa succede quando non ricordi più il nuovo URL: il file core non è stato “spostato”, è il plugin a modificarne il comportamento.
Come ripristinare temporaneamente wp-login.php
La procedura dipende dal plugin usato. Con WPS Hide Login, la documentazione del plugin indica che, se hai dimenticato il nuovo indirizzo, puoi rimuovere o rinominare temporaneamente la directory del plugin per tornare ad accedere attraverso wp-login.php.
Il principio generale è:
- accedi ai file tramite file manager o SFTP;
- individua il plugin che modifica la login;
- disattivalo in modo reversibile;
- prova nuovamente
/wp-login.php; - dopo aver recuperato l’accesso, riconfigura il plugin e salva il nuovo URL.
Non cancellare file a caso e non rinominare wp-login.php nel core di WordPress. Modificare direttamente i file core crea problemi agli aggiornamenti e non è il modo corretto per personalizzare il percorso di accesso.
Se il tuo obiettivo non è nascondere l’URL ma cambiare logo, colori o layout della schermata, è un problema diverso dalla sicurezza dell’autenticazione e conviene trattarlo separatamente.
Come proteggere il login WordPress senza affidarsi solo a un URL nascosto
La pagina di login è esposta pubblicamente in una normale installazione WordPress. Questo, da solo, non equivale a una vulnerabilità.
Cambiare il percorso può ridurre richieste automatiche opportunistiche e rumore nei log, ma non aumenta la robustezza della password e non sostituisce controlli di autenticazione reali.
È quindi sbagliato ragionare così:
“Se nessuno conosce il mio URL di login, il sito è sicuro.”
La sicurezza dell’accesso deve restare valida anche assumendo che un attaccante conosca l’indirizzo.
Cambiare wp-login.php: cosa protegge e cosa non protegge
Un URL personalizzato può essere utile per:
- ridurre tentativi automatici molto semplici contro i percorsi standard;
- diminuire traffico inutile verso la login;
- separare il percorso di accesso in progetti gestiti da team o clienti.
Non protegge però da solo:
- credenziali rubate;
- password riutilizzate;
- phishing;
- sessioni compromesse;
- vulnerabilità di plugin o temi;
- un attaccante che scopre il percorso;
- configurazioni server o account amministrativi deboli.
Consideralo quindi un livello accessorio, non la misura centrale.
Password uniche, 2FA e limitazione dei tentativi hanno priorità
Per proteggere seriamente il WordPress login, partirei da questi controlli:
- HTTPS sempre attivo sulla pagina di login e sul backend;
- password lunga, unica e non riutilizzata;
- password manager per evitare credenziali deboli o duplicate;
- autenticazione a due fattori per gli account che possono modificare il sito;
- limitazione o gestione dei tentativi ripetuti tramite strumenti affidabili lato WordPress, hosting o WAF;
- aggiornamenti regolari di WordPress, plugin e temi;
- rimozione degli account inutilizzati e verifica dei privilegi amministrativi.
WordPress non include nel core un sistema 2FA completo attivabile da una semplice opzione: per implementarlo serve una soluzione aggiuntiva. Anche per questo conviene valutare l’intero sistema di sicurezza invece di concentrare tutto sul cambio dell’URL.
Nella nostra guida alla sicurezza WordPress trovi un percorso più ampio su autenticazione, hardening, aggiornamenti, backup e protezione del sito.
Conclusione
Per un sito WordPress self-hosted standard, il punto di partenza resta semplice: prova /wp-admin/ oppure /wp-login.php.
Se non funzionano, però, non cercare subito una “nuova URL magica”. Il sintomo ti dice dove guardare:
- 404 → verifica installazione, sottocartella e URL personalizzato;
- 403 → controlla sicurezza, WAF, IP, autorizzazioni e server;
- login loop → controlla cookie, URL del sito, HTTPS, cache e redirect;
- errore dopo una modifica → isola plugin o configurazione appena cambiati;
- password dimenticata → usa prima il recupero standard e, se necessario, passa a un metodo tecnico controllato.
La distinzione più importante è questa: trovare la pagina di WordPress login e riuscire ad autenticarsi sono due problemi diversi. Il primo riguarda il percorso; il secondo coinvolge credenziali, sessioni e configurazione.
Se sei completamente bloccato fuori da wp-admin e non vuoi intervenire su file, database o configurazione server senza una diagnosi, puoi richiedere assistenza WordPress: in questi casi è più utile individuare la causa precisa che accumulare tentativi casuali.