Il termine nonce indica un numero, generalmente casuale, che ha un utilizzo unico, infatti nonce deriva dall’espressione inglese number used once (numero utilizzato una volta).
WordPress utilizza i nonce per proteggere URL e moduli da determinati tipi di uso improprio tramite tentativi di hacking dannosi.
Sebbene in WordPress un nonce non sia tecnicamente un numero (in fatti è un hash composto da lettere e numeri), aiuta a impedire che le azioni vengano eseguite da utenti malintenzionati.
Il funzionamento dei nonce di WordPress può essere suddiviso in due parti:
- Creazione di un nonce (hash), e invio dello stesso tramite un modulo o un’azione.
- Verifica di un nonce, prima di accettare i dati del modulo o eseguire un’azione.
Ad esempio, quando si elimina un articolo nell’area di amministrazione di WordPress, l’URL rtestituito dal sistema contiene un parametro _wpnonce:
https://wplab.it/wp-admin/post.php?post=738&action=trash&_wpnonce=b04de99247WordPress controllerà che il post 738 abbia un valore nonce uguale a b04de99247 prima di eliminare l’articolo ma, se il nonce non esiste o non corrisponde al valore atteso, l’articolo non verrà eliminato.
Ciò impedisce a un utente malintenzionato di eliminare potenzialmente molti articoli.
Nonce fornisce un sistema di sicurezza alle funzioni e caratteristiche di WordPress che utilizzano la stringa di query nell’URL per eseguire determinate azioni.
WordPress utilizza NONCE_SALT e NONCE_KEY (Chiavi Univoche di Autenticazione e di Salatura) per generare nonce unici che, insieme ad altre chiavi univoche, sono archiviati nel file wp-config.php e sono univoci per ogni sito WordPress.
