Aggiungere codice PHP a pagine WordPress può essere utile per personalizzare funzionalità, integrare API, mostrare contenuti dinamici o eseguire script personalizzati. Tuttavia, farlo nel modo sbagliato può compromettere la sicurezza o la stabilità del sito. In questo articolo vedremo i metodi più sicuri e pratici per farlo, anche se non sei uno sviluppatore esperto.
Indice
- Perché WordPress non accetta PHP nelle pagine
- Come aggiungere PHP in WordPress in modo sicuro
- Dove evitare di inserire codice PHP
- Plugin alternativi per inserire codice PHP
- FAQ
Perché WordPress non accetta PHP nelle pagine
Per motivi di sicurezza, WordPress non consente l’esecuzione diretta di codice PHP all’interno dell’editor delle pagine o degli articoli. Questo perché, se un utente malintenzionato riuscisse ad accedere al backend e inserire codice PHP arbitrario, potrebbe compromettere gravemente il sito web.
Il rischio del PHP arbitrario
Il codice PHP ha accesso completo al server, al database e all’intero ecosistema WordPress. Per questo, eseguire PHP non filtrato può causare:
- Esecuzione di comandi malevoli
- Furto di dati sensibili
- Cancellazione di contenuti o utenti
- Accesso backdoor al sito
Un esempio concreto di codice pericoloso
Supponiamo che un utente inserisca questo codice in una pagina:
<?php
// ESEMPIO PERICOLOSO - NON USARE
if (isset($_GET['delete_users']) && $_GET['delete_users'] == '1') {
require_once(ABSPATH . 'wp-admin/includes/user.php');
$users = get_users();
foreach ($users as $user) {
wp_delete_user($user->ID);
}
echo "Tutti gli utenti sono stati cancellati.";
}
?>
Se WordPress eseguisse questo codice, basterebbe visitare una URL del tipo:
https://iltuosito.it/pagina/?delete_users=1
per cancellare tutti gli utenti dal database.
Per questo WordPress filtra il PHP
Il contenuto inserito nell’editor è trattato come HTML o shortcode, ma non come codice eseguibile, proprio per evitare exploit come quello sopra.
Come eseguire PHP in sicurezza
Per chi ha bisogno di eseguire codice PHP, ci sono metodi sicuri e controllati:
Sviluppo di template custom o widget personalizzati
Uso di shortcode personalizzati
Plugin come Code Snippets
Come aggiungere PHP in WordPress in modo sicuro
Come aggiungere PHP in WordPress in modo sicuro
Poiché WordPress non permette di eseguire codice PHP direttamente dalle pagine o dagli articoli, è fondamentale adottare metodi sicuri e testati per integrare funzionalità personalizzate senza compromettere il sito. Vediamo i metodi più efficaci.
Metodo 1: Plugin Code Snippets
Il plugin gratuito Code Snippets è il modo più semplice e sicuro per aggiungere codice PHP senza toccare i file del tema.
Esempio:
function mostra_messaggio_benvenuto() {
echo "<p>Benvenuto nel nostro sito!</p>";
}
add_action('wp_footer', 'mostra_messaggio_benvenuto');
Questo codice mostra un messaggio nel footer di ogni pagina.
Vantaggi:
- Nessun rischio di rompere il tema
- Interfaccia semplice e commentabile
- Possibilità di attivare/disattivare snippet facilmente
Metodo 2: Creare uno shortcode personalizzato
Gli shortcode ti permettono di scrivere codice PHP che può essere “iniettato” direttamente in una pagina o articolo, semplicemente inserendo una parola chiave tra parentesi quadre.
Esempio:
function data_attuale_shortcode() {
return "Oggi è il " . date('d/m/Y');
}
add_shortcode('data_oggi', 'data_attuale_shortcode');
Una volta inserito nel file
functions.php
(meglio se di un child theme), potrai usare lo shortcode
[data_oggi]
nella pagina.
Metodo 3: Aggiungere PHP al file
functions.php
(con cautela)
Se hai confidenza con i file del tema, puoi scrivere direttamente codice PHP nel file
functions.php
. Tuttavia, è fondamentale usare un tema child, altrimenti perderai tutto al primo aggiornamento.
Esempio:
add_action('wp_head', function() {
echo "<meta name='custom-meta' content='valore-personalizzato'>";
});
Questo codice aggiunge un meta tag personalizzato nell’header del sito.
Dove evitare di inserire codice PHP
Inserire codice PHP in posizioni sbagliate all’interno di un sito WordPress può causare errori critici, malfunzionamenti e anche buchi di sicurezza. Vediamo quindi dove è assolutamente sconsigliato (o vietato) inserire codice PHP.
1. Nell’editor delle pagine o degli articoli
WordPress non interpreta codice PHP nell’editor delle pagine (né in quello a blocchi né nel classico), quindi incollarlo lì non avrà alcun effetto. Il codice verrà mostrato come semplice testo o, peggio, renderà la pagina non visualizzabile.
Esempio sbagliato:
<?php echo "Ciao mondo"; ?>
Risultato: il testo apparirà così com’è nella pagina, oppure causerà errori di visualizzazione.
2. Nei widget senza supporto PHP
I widget di default accettano HTML e testo semplice, ma non PHP. Se incolli PHP in un widget “Testo”, non verrà eseguito.
Soluzione alternativa:
Puoi usare plugin come “PHP Code Widget” o “Code Snippets” per abilitare l’esecuzione sicura di PHP nei widget.
3. Nei file core di WordPress
Modificare file come:
-
/wp-config.php -
/wp-settings.php - file del core in
/wp-includes/o/wp-admin/
è assolutamente da evitare, a meno che tu non sia uno sviluppatore avanzato con un obiettivo preciso e sappia cosa stai facendo. Ogni aggiornamento di WordPress sovrascrive questi file e potresti bloccare il sito con un errore irreversibile (es. white screen of death).
4. Nei file di plugin di terze parti
Modificare direttamente i file di un plugin comporta due problemi:
- Perdita delle modifiche al primo aggiornamento.
- Rischio di conflitti o malfunzionamenti futuri.
Se devi modificare il comportamento di un plugin, è meglio farlo tramite hook, filtri o creare un plugin personalizzato.
Dove inserire correttamente PHP
In widget, ma solo se abilitati all’uso del PHP
Nel file
functions.php
del tuo child theme
Tramite plugin come Code Snippets
In shortcode personalizzati
In template personalizzati del tema
Plugin alternativi per inserire codice PHP
Oltre al noto Code Snippets, esistono diversi plugin affidabili che permettono di inserire codice PHP in WordPress in modo sicuro, senza dover modificare direttamente i file del tema. Questi strumenti sono ideali anche per chi non ha esperienza di sviluppo, ma vuole personalizzare il sito.
Ecco i principali:
WPCode – Insert Headers and Footers + Custom Code Snippets
Un’alternativa moderna e molto flessibile a Code Snippets. Permette di:
- Inserire PHP, HTML, JavaScript o CSS ovunque
- Gestire snippet condizionati (es. solo su certe pagine)
- Inserire codice nel
<head>o nel footer del sito
Esempio:
Aggiungi uno snippet con:
add_action('wp_footer', function() {
echo "<p style='text-align:center;'>Copyright © " . date('Y') . " - Il mio sito</p>";
});
Questo mostrerà una firma personalizzata nel footer.
Insert PHP Code Snippet
Perfetto se vuoi creare shortcode PHP riutilizzabili. Ogni snippet può essere chiamato facilmente dentro articoli, pagine o widget.
Esempio:
Nel plugin crei uno snippet PHP chiamato
hello
con questo contenuto:
echo "Ciao e benvenuto!";
Poi puoi usarlo con lo shortcode:
[xyz-ips snippet="hello"]
WP Custom Code
Questo plugin consente di inserire codice personalizzato in header, footer, body e altre aree chiave, direttamente da backend, in sicurezza.
Non richiede conoscenze tecniche e può essere utile anche per snippet PHP semplici.
Quando usare questi plugin
Usali quando:
Vuoi attivare/disattivare blocchi di codice in un clic
Vuoi evitare modifiche manuali ai file del tema
Hai bisogno di inserire snippet solo in certe pagine
Cerchi una gestione centralizzata e commentabile del codice
FAQ
1. Posso inserire codice PHP direttamente in una pagina WordPress?
No, l’editor non interpreta codice PHP per motivi di sicurezza. Usa shortcode o plugin.
2. È sicuro usare plugin per inserire PHP?
Sì, se il plugin è affidabile e aggiornato. Code Snippets è uno dei più usati.
3. Posso usare PHP nell’editor a blocchi?
No, Gutenberg non supporta codice PHP direttamente. Usa uno shortcode.
4. Come creo uno shortcode PHP?
Scrivi una funzione nel
functions.php
e registra lo shortcode con
add_shortcode()
.
5. Cosa succede se sbaglio a scrivere codice PHP?
Potresti bloccare il sito. Esegui sempre backup prima di modificare file o inserire codice.
6. Dove posso testare il mio codice PHP prima di inserirlo in WordPress?
Usa ambienti locali come XAMPP o plugin sandbox come “WP Sandbox”.
7. Posso inserire codice PHP in un widget?
Sì, ma serve un plugin o la modifica del tema per abilitare i PHP nei widget.
8. È meglio modificare functions.php o usare un plugin?
Meglio usare un plugin: è più sicuro e aggiornabile.
9. Come evito che un aggiornamento del tema cancelli il mio codice?
Usa un tema child o un plugin per codice personalizzato.
10. Dopstart può aiutarmi a inserire codice PHP nel mio sito?
Certo! Offriamo una prima consulenza gratuita e supporto su misura per ogni esigenza.
Iscriviti alla newsletter. Resta aggiornato!
Te la invieremo periodicamente per comunicazioni importanti e news sul mondo digitale. Potrai disiscriverti in ogni momento cliccando l'apposito link in calce alla newsletter.
