È sicuro attivare un blog automatico senza dare la password del sito?

Sì, è sicuro attivare un blog automatico senza dare la password del sito: i software di pubblicazione automatica su WordPress e Shopify non hanno bisogno della password principale, ma di una chiave di accesso limitata che il titolare del sito genera e può revocare in qualsiasi momento. È il sistema che usano già migliaia di plugin e app collegate a questi due CMS (i sistemi di gestione dei contenuti, cioè i pannelli da cui si amministra un sito). La differenza tra dare la password e dare una chiave di accesso limitata è la stessa che passa tra consegnare le chiavi di casa e lasciare un pass per una sola stanza, con la possibilità di disattivarlo quando si vuole.

In questo articolo

• Come si collega un software di pubblicazione senza password

• Perché la password del sito non deve mai essere condivisa

• Cosa può fare (e cosa non può fare) chi ha solo l'accesso limitato

• Cosa succede ai contenuti se si interrompe il servizio

• Rischi reali da conoscere prima di collegare un servizio esterno

• Cosa dice la normativa sulla protezione dei dati

• Come valutare un servizio prima di collegarlo al proprio sito

• Domande frequenti

Come si collega un software di pubblicazione senza password

Su WordPress il meccanismo si chiama "application password", password per applicazioni: è una stringa di caratteri generata dal pannello di amministrazione, diversa dalla password personale dell'utente, che autorizza un solo tipo di operazione (in genere creare e pubblicare articoli). Si crea dalla sezione Utenti del sito, si copia, si incolla nel software esterno e da quel momento il collegamento funziona senza che nessuno debba conoscere la password vera dell'account.

Su Shopify il principio è simile ma passa da un altro strumento: un'app privata o un token di accesso API (interfaccia di programmazione che permette a due software di scambiarsi dati) generato dall'amministratore del negozio, con permessi specifici sulle sezioni consentite, tipicamente il blog. In entrambi i casi la procedura richiede pochi minuti e la trovi descritta passo per passo nell'articolo su come installare un software di generazione contenuti su WordPress e Shopify.

Perché la password del sito non deve mai essere condivisa

La password principale del CMS dà accesso a tutto: temi, plugin, utenti, dati dei clienti, impostazioni di pagamento se il sito vende online. Non è uno strumento pensato per essere condiviso con servizi esterni, ed è per questo che WordPress e Shopify hanno sviluppato sistemi alternativi di autenticazione limitata.

Un fornitore serio di pubblicazione automatica non chiede mai la password dell'amministratore, perché non gli serve: gli basta il permesso di scrivere articoli nel blog. Se un servizio la richiede, è un segnale da considerare con attenzione, non un dettaglio da ignorare.

Cosa può fare (e cosa non può fare) chi ha solo l'accesso limitato

Con una application password o un token API con permessi ristretti al blog, chi riceve l'accesso può creare, modificare e pubblicare articoli. Non può, salvo che i permessi vengano estesi volontariamente, toccare pagine diverse dal blog, gestire utenti, cambiare temi o accedere a dati di pagamento o di clienti.

• Pubblicazione di articoli: consentita, se i permessi lo prevedono

• Modifica di pagine esistenti (chi siamo, servizi, contatti): non consentita, salvo autorizzazione esplicita

• Accesso a dati di clienti o ordini: non consentita con un accesso limitato al blog

• Revoca dell'accesso: sempre possibile, in autonomia, dal pannello del sito

La revoca è il punto chiave: un accesso può essere disattivato in qualsiasi momento senza dover cambiare nessun'altra password, perché non è collegato all'account principale. Trovi il funzionamento completo del collegamento nella pagina Come funziona.

Cosa succede ai contenuti se si interrompe il servizio

Gli articoli pubblicati restano sul sito e restano di proprietà di chi li ha commissionati, anche dopo la disdetta del servizio: non vengono cancellati né bloccati, perché sono contenuti veri e propri del CMS, non elementi legati a un abbonamento attivo. Revocare l'accesso API interrompe solo le pubblicazioni future, non tocca quanto già scritto.

Questo vale sia per uno studio professionale con un solo blog fermo da tempo, un caso descritto nell'articolo su come far ripartire un blog dello studio fermo da mesi, sia per un'agenzia che gestisce più clienti contemporaneamente, come raccontato in gestire il blog di più clienti in agenzia senza assumere copywriter.

Rischi reali da conoscere prima di collegare un servizio esterno

Il rischio principale non è nel meccanismo di autenticazione limitata in sé, ma in come viene usato: condividere la stessa application password con più strumenti, non revocarla mai, o generarla con permessi più ampi del necessario. Sono comportamenti che vanificano il vantaggio di sicurezza offerto dal sistema.

Un altro rischio riguarda il phishing (tentativi di ottenere credenziali con messaggi ingannevoli): nessun fornitore legittimo chiede la password del CMS via email o messaggio diretto. Le richieste di questo tipo vanno sempre verificate prima di essere assecondate, e in caso di dubbio conviene rivolgersi direttamente all'assistenza del CMS o a un tecnico di fiducia.

Cosa dice la normativa sulla protezione dei dati

La gestione degli accessi a un sito rientra nel perimetro del Regolamento UE 2016/679 (GDPR) quando il sito tratta dati personali di clienti o utenti, come nel caso di uno studio professionale o di un e-commerce. La normativa non impone un metodo tecnico specifico per collegare software esterni, ma richiede che il titolare del trattamento adotti misure adeguate a limitare l'accesso ai dati a chi ne ha effettivamente bisogno: è il principio alla base delle application password e dei token API con permessi ristretti.

La documentazione ufficiale di WordPress descrive nel dettaglio il funzionamento delle application password, comprese le modalità di revoca: WordPress REST API Handbook. Shopify pubblica la propria documentazione sui token di accesso per le app private nella sezione dedicata agli sviluppatori: Shopify Admin API access tokens.

Come valutare un servizio prima di collegarlo al proprio sito

Prima di attivare un blog automatico conviene verificare quale metodo di accesso richiede: se chiede la password del CMS o dell'hosting, è un segnale da approfondire con chi gestisce tecnicamente il sito. Se chiede una application password o un token API generato dal pannello, il collegamento segue lo standard adottato da WordPress e Shopify.

Vale anche per chi gestisce siti per conto di più clienti, come agenzie e consulenti marketing: la pagina per agenzie descrive come funziona il collegamento quando gli account da gestire sono più di uno. Per capire come un blog automatico si inserisce nel resto del sito senza richiedere lavoro di scrittura, è utile anche l'articolo su blog automatico sul sito aziendale: come funziona senza scrivere nulla, insieme alla pagina Prezzi per capire i costi legati al servizio.

Domande frequenti

Un blog automatico ha bisogno della password di WordPress o Shopify?

No. Il collegamento avviene tramite una application password su WordPress o un token API su Shopify, entrambi generati dal pannello del sito con permessi limitati alla pubblicazione degli articoli. La password principale dell'account non serve e non va mai condivisa.

Cosa può fare chi riceve un accesso limitato al blog?

Può creare e pubblicare articoli nel blog, se i permessi lo prevedono. Non può accedere a pagine diverse, gestire utenti o vedere dati di clienti e pagamenti, a meno che i permessi non vengano estesi volontariamente dal titolare del sito.

Come si revoca l'accesso a un software collegato al sito?

Dal pannello di amministrazione del CMS, nella sezione dedicata agli utenti o alle app connesse: la revoca è immediata e non richiede di cambiare la password principale dell'account, perché i due sistemi sono separati.

Cosa succede agli articoli già pubblicati se si disdice il servizio?

Restano sul sito e restano di proprietà di chi li ha commissionati: la disdetta interrompe solo le pubblicazioni future, non cancella i contenuti già presenti sul CMS.

Come faccio a capire se un servizio di blog automatico è sicuro?

Un indicatore chiaro è il metodo di accesso richiesto: se chiede la password del CMS o dell'hosting è un segnale da verificare, se chiede una application password o un token API generato dal pannello segue lo standard usato da WordPress e Shopify.