Manutenzione WordPress: cosa succede se non la fai
Manutenzione WordPress: cosa rischi davvero se non aggiorni plugin e temi, e quanto costa farla bene.
Indice
- Perché la manutenzione WordPress non è un costo opzionale
- Cosa succede davvero se non aggiorni un sito WordPress
- Le conseguenze di un sito compromesso: non solo hacking
- Cosa include una manutenzione WordPress fatta bene
- Quanto costa la manutenzione di un sito WordPress
- Fai da te o professionista: quando ha senso ciascuna scelta
- Domande frequenti
Se hai un sito WordPress online da più di un anno e non ricordi l'ultima volta che hai aggiornato un plugin, questo articolo ti riguarda direttamente. La manutenzione WordPress non è un capriccio da agenzia per gonfiare il preventivo: è la differenza tra un sito che lavora per te e un sito che, prima o poi, diventa un problema. Nella mia attività quotidiana di sviluppo e gestione siti a Modena vedo ogni anno la stessa storia: un cliente arriva perché il sito è stato compromesso, e in oltre metà dei casi la causa è un plugin non aggiornato da mesi. Vediamo cosa succede davvero se salti la manutenzione, e quanto costa farla bene.
Perché la manutenzione WordPress non è un costo opzionale
WordPress alimenta ancora oggi circa il 41% di tutti i siti web al mondo, il che lo rende anche il bersaglio più conveniente per chi scrive malware automatizzato: colpire il CMS più diffuso significa colpire il numero più alto di siti con il minimo sforzo. Il punto centrale è che il core di WordPress è quasi sempre sicuro: gli aggiornamenti automatici del nucleo coprono già buona parte del rischio. Il problema reale sono i plugin e i temi di terze parti, che nella maggior parte dei siti restano fermi a versioni vecchie di mesi o anni perché nessuno se ne occupa.
Un sito WordPress non è un prodotto che "una volta fatto, è fatto". È più simile a un impianto elettrico: funziona silenziosamente finché qualcuno continua a controllarlo, e smette di farlo in modo silenzioso quando nessuno lo fa più.
Cosa succede davvero se non aggiorni un sito WordPress
I numeri del report State of WordPress Security 2026 di Patchstack, uno dei riferimenti più seri del settore sulla sicurezza dell'ecosistema, danno la misura concreta del rischio:
- 11.334 nuove vulnerabilità scoperte nell'ecosistema WordPress nel 2025, il 42% in più rispetto al 2024.
- Il 91% delle vulnerabilità riguarda i plugin, il 9% i temi. Il core di WordPress conta appena 6 vulnerabilità sul totale.
- Il 46% delle vulnerabilità dell'anno scorso non è stato risolto in tempo per la divulgazione pubblica: significa che per un certo periodo la falla era nota e sfruttabile, senza patch disponibile.
- Per le vulnerabilità più sfruttate, il tempo mediano al primo attacco è di 5 ore dalla pubblicazione: il 20% viene attaccato entro 6 ore, il 45% entro 24 ore, il 70% entro una settimana.
Il dato che dovrebbe preoccupare di più un imprenditore è la velocità. Non hai settimane per accorgerti che un plugin ha una vulnerabilità critica e aggiornarlo con calma: hai ore. Un sito che viene controllato una volta al mese, o peggio "quando c'è tempo", è già fuori tempo massimo per la maggior parte degli attacchi automatizzati.
Le conseguenze di un sito compromesso: non solo hacking
Quando un cliente mi scrive "il sito fa cose strane", nella pratica il danno reale non è quasi mai la scritta "hacked by" che tanto spaventa nei film. È qualcosa di più lento e più costoso:
Penalizzazione SEO. Google individua i siti compromessi (spesso usati per iniettare link di spam o pagine di phishing invisibili) e li declassa o li rimuove dall'indice. Recuperare la fiducia perduta con Google Search Console può richiedere settimane, anche dopo aver ripulito tutto.
Blacklist dei browser. Chrome e Safari mostrano l'avviso "sito ingannevole" a chiunque visiti un sito compromesso. Da quel momento il tasso di rimbalzo sale quasi al 100%, a prescindere da quanto sia buono il tuo prodotto.
Downtime e perdita di dati. Molti attacchi cancellano o cifrano il database. Senza un backup recente e testato, i contenuti, gli ordini di un e-commerce o le richieste di contatto raccolte possono sparire per sempre.
Costi di ripristino imprevisti. Ripulire un sito compromesso, verificare ogni file, cambiare tutte le credenziali e richiedere la revisione a Google costa quasi sempre più di un anno intero di manutenzione preventiva.
Problemi di conformità. Se il sito raccoglie dati di clienti (form, e-commerce, area riservata) e viene violato, si aprono anche questioni legate al GDPR che un'azienda seria non può permettersi di ignorare.
Cosa include una manutenzione WordPress fatta bene
Una manutenzione WordPress seria non è "installare gli aggiornamenti quando escono". È un processo con più livelli, e li elenco nell'ordine in cui li applico ai siti che gestisco:
- Backup automatici e testati, non solo salvati: un backup che non hai mai provato a ripristinare è una scommessa, non una sicurezza.
- Aggiornamenti di core, plugin e temi su un ambiente di staging prima che in produzione, per evitare che un aggiornamento rompa il sito invece di proteggerlo.
- Audit periodico dei plugin installati: eliminare quelli non più usati o non più mantenuti dal loro sviluppatore, spesso la prima causa di vulnerabilità.
- Monitoraggio uptime e malware scanning continuo, non a campione.
- Controllo delle performance: un sito che rallenta nel tempo, per plugin accumulati o database gonfio, perde posizionamento. Ne parlo nel dettaglio nella guida su velocità del sito e Core Web Vitals.
- Hardening di base: limitare i tentativi di login, disattivare l'editor di file da pannello, gestire correttamente i permessi dei file, secondo le linee guida ufficiali di WordPress.org sull'hardening.
Chi gestisce un e-commerce ha un livello di attenzione ulteriore: un negozio online fermo per un attacco significa ordini persi ogni ora, non solo un brutto messaggio d'errore. Vale la pena leggere anche il confronto tra WooCommerce e Shopify se stai valutando su quale piattaforma investire proprio in base a quanto lavoro di manutenzione richiede nel tempo.
Quanto costa la manutenzione di un sito WordPress
Il prezzo cambia molto in base alla complessità del sito e al livello di servizio. Queste sono le fasce che vedo più spesso sul mercato italiano per PMI:
| Livello di servizio | Cosa comprende | Fascia di prezzo mensile |
|---|---|---|
| Base | Aggiornamenti core, backup automatico, monitoraggio uptime | 40-80 euro |
| Standard | Base + aggiornamenti plugin/temi su staging, scansione malware, report mensile | 80-150 euro |
| Avanzato / e-commerce | Standard + hardening, ottimizzazione performance, supporto prioritario, backup più frequenti | 150-350 euro |
Sono cifre indicative: un e-commerce con centinaia di prodotti e integrazioni di pagamento richiede un impegno diverso da un sito vetrina di 5 pagine. Se stai ancora valutando l'intero progetto e non solo la manutenzione, la guida su quanto costa un sito web nel 2026 ti dà il quadro completo dei costi, dalla realizzazione in poi.
Il calcolo che conta davvero è un altro: quanto costa un'ora di fermo del sito o la perdita di posizionamento su Google, confrontata con 80-150 euro al mese di manutenzione preventiva. Nella maggior parte dei casi che seguo, la manutenzione si ripaga da sola al primo incidente evitato.
Fai da te o professionista: quando ha senso ciascuna scelta
Non tutti i siti hanno bisogno dello stesso livello di attenzione, ed è giusto dirlo anche se la manutenzione è un servizio che offro.
Ha senso farla da soli se: il sito è un blog personale o una vetrina senza form di contatto né e-commerce, hai tempo da dedicarci ogni settimana e sai già riconoscere un aggiornamento rischioso da uno sicuro prima di installarlo.
Ha senso affidarla a un professionista se: il sito genera fatturato (e-commerce, lead generation, prenotazioni), contiene dati di clienti, o semplicemente non hai tempo di controllarlo con la costanza che serve. La costanza è il punto debole del fai da te: iniziare bene e mollare dopo tre mesi è lo scenario più comune, ed è anche il più pericoloso, perché dà un falso senso di sicurezza.
Chi si occupa di sviluppo e gestione di siti web in modo professionale ha anche gli strumenti per intervenire in poche ore quando qualcosa va storto, invece delle 5-24 ore in cui, come visto sopra, si gioca la partita più delicata.
Domande frequenti
Quanto costa la manutenzione di un sito WordPress?
In Italia si va indicativamente da 40-80 euro al mese per un pacchetto base (aggiornamenti e backup) fino a 150-350 euro al mese per siti complessi o e-commerce con hardening e supporto prioritario.
Cosa succede se non aggiorno WordPress per mesi?
Il sito accumula vulnerabilità note nei plugin, spesso sfruttate entro 24-48 ore dalla loro pubblicazione. Il rischio concreto è la compromissione del sito, con conseguente penalizzazione SEO e possibile blacklist dai browser.
Il mio sito WordPress è stato hackerato, cosa faccio subito?
Metti il sito offline o in manutenzione, cambia tutte le password e le chiavi di sicurezza, ripristina da un backup pulito precedente alla compromissione e verifica ogni file modificato di recente prima di rimetterlo online.
Ogni quanto vanno fatti gli aggiornamenti di WordPress?
Gli aggiornamenti di sicurezza critici andrebbero applicati entro poche ore dalla loro uscita. Gli aggiornamenti ordinari di plugin e temi si possono programmare settimanalmente, sempre prima testandoli su un ambiente di staging.
La manutenzione WordPress serve anche a un piccolo sito vetrina?
Sì, perché gli attacchi automatizzati non guardano quanto è grande un sito: colpiscono qualunque installazione WordPress vulnerabile, indipendentemente dal traffico che riceve.
Posso fare la manutenzione da solo senza un plugin di sicurezza?
Puoi farlo, ma senza backup testati, monitoraggio continuo e un ambiente di staging il rischio di un incidente non gestito in tempo resta alto: gli strumenti aiutano, ma la costanza nel controllo è quello che fa davvero la differenza.
Se il tuo sito WordPress non riceve manutenzione da un po', o vuoi semplicemente smettere di pensarci, puoi raccontarmi la situazione dalla pagina contatti: ti dico onestamente se e come intervenire, prima ancora di parlare di preventivi.
