Il 1° aprile 2026 Cloudflare ha pubblicato qualcosa che, se non fosse documentato con tanto di repository GitHub e demo funzionante, sembrerebbe uno scherzo. Si chiama EmDash, è scritto interamente in TypeScript, è open source con licenza MIT, e punta dritto al cuore del problema che chiunque lavori con WordPress conosce fin troppo bene: la sicurezza dei plugin.
Il problema che WordPress non riesce a risolvere da vent’anni
Chiunque abbia gestito siti WordPress sa come funziona: installi un plugin, e da quel momento quel plugin ha accesso diretto al database, al filesystem, a tutto. Non c’è isolamento. Non c’è sandbox. Se quel plugin ha una vulnerabilità, l’intero sito è esposto.
Non è una percezione. I dati lo confermano: il 96% dei problemi di sicurezza di WordPress origina dai plugin. Nel 2025 sono state scoperte più vulnerabilità ad alta severità nell’ecosistema WordPress che nei due anni precedenti messi insieme. Ho scritto più volte di questo argomento, anche in relazione ai rischi legati ai plugin generati con l’AI, dove il problema della qualità del codice si sovrappone a quello della sicurezza.
WordPress.org cerca di arginare il problema con una revisione manuale di ogni plugin nel marketplace. La coda di attesa supera 800 plugin e richiede almeno due settimane. Non è una soluzione scalabile. EmDash prova a risolvere il problema alla radice.
Come EmDash isola i plugin in sandbox separate
In EmDash ogni plugin gira nel proprio ambiente isolato, un Dynamic Worker di Cloudflare. Invece di avere accesso diretto a tutto, il plugin dichiara esplicitamente nel suo manifest quali capacità gli servono. Solo quelle. Nient’altro.
Un plugin che vuole inviare un’email dopo la pubblicazione di un contenuto dichiara due sole capability: read:content e email:send Può avere migliaia di righe di codice, ma non può toccare il database, non può accedere al filesystem, non può fare richieste di rete verso host non dichiarati. Il modello di sicurezza è simile a un flusso OAuth: sai esattamente cosa stai autorizzando prima di installarlo.
Per chi lavora nello sviluppo WordPress e si occupa di sicurezza, questo cambio di paradigma è radicale. Non si tratta di plugin più o meno affidabili in base alla reputazione nel marketplace. Si tratta di un modello architetturale che rende strutturalmente impossibile fare cose non dichiarate.
Architettura tecnica: TypeScript, Astro e isolate V8
EmDash è costruito su Astro, il framework per siti content-driven che sta crescendo in modo costante tra gli sviluppatori frontend. I temi EmDash sono progetti Astro standard: pagine, layout, componenti, stili CSS o Tailwind, e un seed file JSON che definisce i tipi di contenuto. Niente functions.php, niente accesso diretto al database dal tema.
Dal punto di vista infrastrutturale, EmDash è progettato per girare su qualsiasi server Node.js, ma su Cloudflare Workers sfrutta l’architettura isolate V8: a ogni richiesta corrisponde un isolate che esegue il codice e serve la risposta, scala a zero se non arriva traffico e gestisce picchi senza provisioning manuale.
Per chi usa già LiteSpeed e LSCache nel proprio stack, EmDash rappresenta un approccio radicalmente diverso alla gestione del caching e della performance. Non è un’alternativa di hosting, è un’alternativa architetturale al CMS stesso.
Supporto nativo MCP e gestione AI-first
Ogni istanza EmDash include un server MCP (Model Context Protocol) integrato. Questo significa che strumenti AI come Claude, Cursor o VS Code possono interagire direttamente con il CMS, creare contenuti, gestire schemi, caricare media, esattamente come ho descritto quando ho analizzato il WordPress MCP Adapter.
La differenza è che in EmDash il supporto MCP non è un plugin aggiuntivo: è parte dell’architettura di base. Ogni istanza esporta una CLI e un server MCP remoto pronti all’uso. Per la migrazione dei contenuti da WordPress esiste già un plugin esportatore che genera un file WXR compatibile, e i custom post type di WordPress si mappano in collection EmDash con schemi separati nel database.
C’è anche il supporto nativo a x402, lo standard aperto per i pagamenti HTTP nativi. Significa che qualsiasi sito EmDash può richiedere un pagamento per accedere a contenuti specifici, senza abbonamenti e senza codice custom.
Cosa significa per chi sviluppa in WordPress oggi
EmDash è una v0.1.0 preview. Non è pronto per la produzione di un e-commerce WooCommerce con centinaia di ordini al giorno, almeno non ancora. Ma la direzione è chiara, e vale la pena capirla ora.
WordPress compirà 24 anni nel 2026. L’ecosistema che lo circonda, plugin, temi, hosting LAMP/LEMP, è robusto ma porta con sé vent’anni di debito architetturale. EmDash non cerca di replicare WordPress: cerca di costruire qualcosa di equivalente con le tecnologie e i paradigmi di oggi. TypeScript invece di PHP, isolate invece di processi condivisi, dichiarazioni di capability invece di accesso libero.
Per me, che sviluppo siti WordPress e WooCommerce personalizzati da oltre 25 anni, EmDash è il progetto più interessante che ho visto negli ultimi anni. Non so se diventerà il nuovo standard, ma il problema che risolve, la sicurezza strutturale dei plugin, è reale e irrisolto. Chiunque voglia approfondire può provare la demo nel playground ufficiale di EmDash o consultare il repository GitHub.
Se stai valutando l’architettura giusta per il tuo prossimo progetto web, o vuoi capire come queste novità si inseriscono in uno stack WordPress esistente, contattami per una consulenza.
Domande frequenti su EmDash e WordPress
EmDash sostituirà WordPress?
Non nell’immediato. EmDash è alla versione 0.1.0 preview e manca di tutto l’ecosistema temi, plugin e integrazioni che WordPress ha costruito in vent’anni. È però il primo progetto serio che affronta il problema della sicurezza dei plugin a livello architetturale.
Si può migrare un sito WordPress su EmDash?
Sì, esiste già un plugin esportatore ufficiale che genera un file WXR compatibile con EmDash. I post, le pagine e i media si migrano in pochi minuti. I custom post type si convertono in collection EmDash con schema dedicato.
EmDash funziona solo su Cloudflare?
No. EmDash si può eseguire su qualsiasi server Node.js. Cloudflare Workers offre vantaggi in termini di scaling e costo, ma non è un requisito.
Cosa sono le capability in EmDash?
Sono le autorizzazioni che un plugin dichiara esplicitamente nel suo manifest. Un plugin può fare solo ciò che ha dichiarato: niente accesso al database se non è dichiarato, niente richieste di rete verso host non elencati. È il principio del minimo privilegio applicato ai plugin CMS.
EmDash è compatibile con i plugin WordPress esistenti?
No. EmDash usa un sistema di plugin completamente diverso, basato su TypeScript e Dynamic Workers. I plugin WordPress scritti in PHP non sono compatibili. EmDash però include Agent Skills che guidano gli strumenti AI nel portare temi e blocchi WordPress nativamente in EmDash.
