Aggiungere codice PHP in WordPress

Aggiungere codice PHP a pagine WordPress può essere utile per personalizzare funzionalità, integrare API, mostrare contenuti dinamici o eseguire script personalizzati. Tuttavia, farlo nel modo sbagliato può compromettere la sicurezza o la stabilità del sito. In questo articolo vedremo i metodi più sicuri e pratici per farlo, anche se non sei uno sviluppatore esperto.

Indice

• Perché WordPress non accetta PHP nelle pagine
  • Il rischio del PHP arbitrario
  • Un esempio concreto di codice pericoloso
  • Per questo WordPress filtra il PHP
  • Come eseguire PHP in sicurezza
• Come aggiungere PHP in WordPress in modo sicuro
  • Metodo 1: Plugin Code Snippets
    • Esempio:
    • Vantaggi:
  • Metodo 2: Creare uno shortcode personalizzato
    • Esempio:
  • Metodo 3: Aggiungere PHP al file functions.php (con cautela)
    • Esempio:
• Dove evitare di inserire codice PHP
  • 1. Nell’editor delle pagine o degli articoli
    • Esempio sbagliato:
  • 2. Nei widget senza supporto PHP
    • Soluzione alternativa:
  • 3. Nei file core di WordPress
  • 4. Nei file di plugin di terze parti
  • Dove inserire correttamente PHP
• Plugin alternativi per inserire codice PHP
  • WPCode – Insert Headers and Footers + Custom Code Snippets
    • Esempio:
  • Insert PHP Code Snippet
    • Esempio:
  • WP Custom Code
  • Quando usare questi plugin
• FAQ

Perché WordPress non accetta PHP nelle pagine

Per motivi di sicurezza, WordPress non consente l’esecuzione diretta di codice PHP all’interno dell’editor delle pagine o degli articoli. Questo perché, se un utente malintenzionato riuscisse ad accedere al backend e inserire codice PHP arbitrario, potrebbe compromettere gravemente il sito web.

Il rischio del PHP arbitrario

Il codice PHP ha accesso completo al server, al database e all’intero ecosistema WordPress. Per questo, eseguire PHP non filtrato può causare:

• Esecuzione di comandi malevoli
• Furto di dati sensibili
• Cancellazione di contenuti o utenti
• Accesso backdoor al sito

Un esempio concreto di codice pericoloso

Supponiamo che un utente inserisca questo codice in una pagina:

<?php
// ESEMPIO PERICOLOSO - NON USARE
if (isset($_GET['delete_users']) && $_GET['delete_users'] == '1') {
    require_once(ABSPATH . 'wp-admin/includes/user.php');
    $users = get_users();
    foreach ($users as $user) {
        wp_delete_user($user->ID);
    }
    echo "Tutti gli utenti sono stati cancellati.";
}
?>

Se WordPress eseguisse questo codice, basterebbe visitare una URL del tipo:

https://iltuosito.it/pagina/?delete_users=1

per cancellare tutti gli utenti dal database.

Per questo WordPress filtra il PHP

Il contenuto inserito nell’editor è trattato come HTML o shortcode, ma non come codice eseguibile, proprio per evitare exploit come quello sopra.

Come eseguire PHP in sicurezza

Per chi ha bisogno di eseguire codice PHP, ci sono metodi sicuri e controllati:

Sviluppo di template custom o widget personalizzati

Uso di shortcode personalizzati

Plugin come Code Snippets

Come aggiungere PHP in WordPress in modo sicuro

Come aggiungere PHP in WordPress in modo sicuro

Poiché WordPress non permette di eseguire codice PHP direttamente dalle pagine o dagli articoli, è fondamentale adottare metodi sicuri e testati per integrare funzionalità personalizzate senza compromettere il sito. Vediamo i metodi più efficaci.

Metodo 1: Plugin Code Snippets

Il plugin gratuito Code Snippets è il modo più semplice e sicuro per aggiungere codice PHP senza toccare i file del tema.

Esempio:

function mostra_messaggio_benvenuto() {
    echo "<p>Benvenuto nel nostro sito!</p>";
}
add_action('wp_footer', 'mostra_messaggio_benvenuto');

Questo codice mostra un messaggio nel footer di ogni pagina.

Vantaggi:

• Nessun rischio di rompere il tema
• Interfaccia semplice e commentabile
• Possibilità di attivare/disattivare snippet facilmente

Metodo 2: Creare uno shortcode personalizzato

Gli shortcode ti permettono di scrivere codice PHP che può essere “iniettato” direttamente in una pagina o articolo, semplicemente inserendo una parola chiave tra parentesi quadre.

Esempio:

function data_attuale_shortcode() {
    return "Oggi è il " . date('d/m/Y');
}
add_shortcode('data_oggi', 'data_attuale_shortcode');

Una volta inserito nel file functions.php (meglio se di un child theme), potrai usare lo shortcode [data_oggi] nella pagina.

Metodo 3: Aggiungere PHP al file functions.php (con cautela)

Se hai confidenza con i file del tema, puoi scrivere direttamente codice PHP nel file functions.php. Tuttavia, è fondamentale usare un tema child, altrimenti perderai tutto al primo aggiornamento.

Esempio:

add_action('wp_head', function() {
    echo "<meta name='custom-meta' content='valore-personalizzato'>";
});

Questo codice aggiunge un meta tag personalizzato nell’header del sito.

Dove evitare di inserire codice PHP

Inserire codice PHP in posizioni sbagliate all’interno di un sito WordPress può causare errori critici, malfunzionamenti e anche buchi di sicurezza. Vediamo quindi dove è assolutamente sconsigliato (o vietato) inserire codice PHP.

1. Nell’editor delle pagine o degli articoli

WordPress non interpreta codice PHP nell’editor delle pagine (né in quello a blocchi né nel classico), quindi incollarlo lì non avrà alcun effetto. Il codice verrà mostrato come semplice testo o, peggio, renderà la pagina non visualizzabile.

Esempio sbagliato:

<?php echo "Ciao mondo"; ?>

Risultato: il testo apparirà così com’è nella pagina, oppure causerà errori di visualizzazione.

2. Nei widget senza supporto PHP

I widget di default accettano HTML e testo semplice, ma non PHP. Se incolli PHP in un widget “Testo”, non verrà eseguito.

Soluzione alternativa:

Puoi usare plugin come “PHP Code Widget” o “Code Snippets” per abilitare l’esecuzione sicura di PHP nei widget.

3. Nei file core di WordPress

Modificare file come:

• /wp-config.php
• /wp-settings.php
• file del core in /wp-includes/ o /wp-admin/

è assolutamente da evitare, a meno che tu non sia uno sviluppatore avanzato con un obiettivo preciso e sappia cosa stai facendo. Ogni aggiornamento di WordPress sovrascrive questi file e potresti bloccare il sito con un errore irreversibile (es. white screen of death).

4. Nei file di plugin di terze parti

Modificare direttamente i file di un plugin comporta due problemi:

1. Perdita delle modifiche al primo aggiornamento.
2. Rischio di conflitti o malfunzionamenti futuri.

Se devi modificare il comportamento di un plugin, è meglio farlo tramite hook, filtri o creare un plugin personalizzato.

Dove inserire correttamente PHP

In widget, ma solo se abilitati all’uso del PHP

Nel file functions.php del tuo child theme

Tramite plugin come Code Snippets

In shortcode personalizzati

In template personalizzati del tema

Plugin alternativi per inserire codice PHP

Oltre al noto Code Snippets, esistono diversi plugin affidabili che permettono di inserire codice PHP in WordPress in modo sicuro, senza dover modificare direttamente i file del tema. Questi strumenti sono ideali anche per chi non ha esperienza di sviluppo, ma vuole personalizzare il sito.

Ecco i principali:

WPCode – Insert Headers and Footers + Custom Code Snippets

Un’alternativa moderna e molto flessibile a Code Snippets. Permette di:

• Inserire PHP, HTML, JavaScript o CSS ovunque
• Gestire snippet condizionati (es. solo su certe pagine)
• Inserire codice nel <head> o nel footer del sito

Esempio:

Aggiungi uno snippet con:

add_action('wp_footer', function() {
    echo "<p style='text-align:center;'>Copyright © " . date('Y') . " - Il mio sito</p>";
});

Questo mostrerà una firma personalizzata nel footer.

Insert PHP Code Snippet

Perfetto se vuoi creare shortcode PHP riutilizzabili. Ogni snippet può essere chiamato facilmente dentro articoli, pagine o widget.

Esempio:

Nel plugin crei uno snippet PHP chiamato hello con questo contenuto:

echo "Ciao e benvenuto!";

Poi puoi usarlo con lo shortcode:

[xyz-ips snippet="hello"]

WP Custom Code

Questo plugin consente di inserire codice personalizzato in header, footer, body e altre aree chiave, direttamente da backend, in sicurezza.
Non richiede conoscenze tecniche e può essere utile anche per snippet PHP semplici.

Quando usare questi plugin

Usali quando:

Vuoi attivare/disattivare blocchi di codice in un clic

Vuoi evitare modifiche manuali ai file del tema

Hai bisogno di inserire snippet solo in certe pagine

Cerchi una gestione centralizzata e commentabile del codice

FAQ

1. Posso inserire codice PHP direttamente in una pagina WordPress?
No, l’editor non interpreta codice PHP per motivi di sicurezza. Usa shortcode o plugin.

2. È sicuro usare plugin per inserire PHP?
Sì, se il plugin è affidabile e aggiornato. Code Snippets è uno dei più usati.

3. Posso usare PHP nell’editor a blocchi?
No, Gutenberg non supporta codice PHP direttamente. Usa uno shortcode.

4. Come creo uno shortcode PHP?
Scrivi una funzione nel functions.php e registra lo shortcode con add_shortcode().

5. Cosa succede se sbaglio a scrivere codice PHP?
Potresti bloccare il sito. Esegui sempre backup prima di modificare file o inserire codice.

6. Dove posso testare il mio codice PHP prima di inserirlo in WordPress?
Usa ambienti locali come XAMPP o plugin sandbox come “WP Sandbox”.

7. Posso inserire codice PHP in un widget?
Sì, ma serve un plugin o la modifica del tema per abilitare i PHP nei widget.

8. È meglio modificare functions.php o usare un plugin?
Meglio usare un plugin: è più sicuro e aggiornabile.

9. Come evito che un aggiornamento del tema cancelli il mio codice?
Usa un tema child o un plugin per codice personalizzato.

10. Dopstart può aiutarmi a inserire codice PHP nel mio sito?
Certo! Offriamo una prima consulenza gratuita e supporto su misura per ogni esigenza.