Manutenzione WordPress: cosa succede se non la fai

Indice

• Perché la manutenzione WordPress non è un costo opzionale
• Cosa succede davvero se non aggiorni un sito WordPress
• Le conseguenze di un sito compromesso: non solo hacking
• Cosa include una manutenzione WordPress fatta bene
• Manutenzione WordPress per WooCommerce: cosa cambia
• Quanto costa la manutenzione di un sito WordPress
• Fai da te o professionista: quando ha senso ciascuna scelta
• Domande frequenti
• Il prossimo passo

Se hai un sito WordPress online da più di un anno e non ricordi l'ultima volta che hai aggiornato un plugin, questo articolo ti riguarda direttamente. La manutenzione WordPress non è un capriccio da agenzia per gonfiare il preventivo: è la differenza tra un sito che lavora per te e un sito che, prima o poi, diventa un problema. Nella mia attività quotidiana di sviluppo e gestione siti a Modena vedo ogni anno la stessa storia: un cliente arriva perché il sito è stato compromesso, e in oltre metà dei casi la causa è un plugin non aggiornato da mesi. Vediamo cosa succede davvero se salti la manutenzione, e quanto costa farla bene.

Perché la manutenzione WordPress non è un costo opzionale

WordPress alimenta ancora oggi circa il 41% di tutti i siti web al mondo, il che lo rende anche il bersaglio più conveniente per chi scrive malware automatizzato: colpire il CMS più diffuso significa colpire il numero più alto di siti con il minimo sforzo. Il punto centrale è che il core di WordPress è quasi sempre sicuro: gli aggiornamenti automatici del nucleo coprono già buona parte del rischio. Il problema reale sono i plugin e i temi di terze parti, che nella maggior parte dei siti restano fermi a versioni vecchie di mesi o anni perché nessuno se ne occupa.

Un sito WordPress non è un prodotto che "una volta fatto, è fatto". È più simile a un impianto elettrico: funziona silenziosamente finché qualcuno continua a controllarlo, e smette di farlo in modo silenzioso quando nessuno lo fa più.

Cosa succede davvero se non aggiorni un sito WordPress

I numeri del report State of WordPress Security 2026 di Patchstack, uno dei riferimenti più seri del settore sulla sicurezza dell'ecosistema, danno la misura concreta del rischio:

• 11.334 nuove vulnerabilità scoperte nell'ecosistema WordPress nel 2025, il 42% in più rispetto al 2024.
• Il 91% delle vulnerabilità riguarda i plugin, il 9% i temi. Il core di WordPress conta appena 6 vulnerabilità sul totale.
• Il 46% delle vulnerabilità dell'anno scorso non è stato risolto in tempo per la divulgazione pubblica: significa che per un certo periodo la falla era nota e sfruttabile, senza patch disponibile.
• Per le vulnerabilità più sfruttate, il tempo mediano al primo attacco è di 5 ore dalla pubblicazione: il 20% viene attaccato entro 6 ore, il 45% entro 24 ore, il 70% entro una settimana.

Il dato che dovrebbe preoccupare di più un imprenditore è la velocità. Non hai settimane per accorgerti che un plugin ha una vulnerabilità critica e aggiornarlo con calma: hai ore. Un sito che viene controllato una volta al mese, o peggio "quando c'è tempo", è già fuori tempo massimo per la maggior parte degli attacchi automatizzati.

Le conseguenze di un sito compromesso: non solo hacking

Quando un cliente mi scrive "il sito fa cose strane", nella pratica il danno reale non è quasi mai la scritta "hacked by" che tanto spaventa nei film. È qualcosa di più lento e più costoso:

Penalizzazione SEO. Google individua i siti compromessi (spesso usati per iniettare link di spam o pagine di phishing invisibili) e li declassa o li rimuove dall'indice. Recuperare la fiducia perduta con Google Search Console può richiedere settimane, anche dopo aver ripulito tutto.

Blacklist dei browser. Chrome e Safari mostrano l'avviso "sito ingannevole" a chiunque visiti un sito compromesso. Da quel momento il tasso di rimbalzo sale quasi al 100%, a prescindere da quanto sia buono il tuo prodotto.

Downtime e perdita di dati. Molti attacchi cancellano o cifrano il database. Senza un backup recente e testato, i contenuti, gli ordini di un e-commerce o le richieste di contatto raccolte possono sparire per sempre.

Costi di ripristino imprevisti. Ripulire un sito compromesso, verificare ogni file, cambiare tutte le credenziali e richiedere la revisione a Google costa quasi sempre più di un anno intero di manutenzione preventiva.

Problemi di conformità. Se il sito raccoglie dati di clienti (form, e-commerce, area riservata) e viene violato, si aprono anche questioni legate al GDPR che un'azienda seria non può permettersi di ignorare.

Cosa include una manutenzione WordPress fatta bene

Una manutenzione WordPress seria non è "installare gli aggiornamenti quando escono". È un processo con più livelli, e li elenco nell'ordine in cui li applico ai siti che gestisco:

1. Backup automatici e testati, non solo salvati: un backup che non hai mai provato a ripristinare è una scommessa, non una sicurezza.
2. Aggiornamenti di core, plugin e temi su un ambiente di staging prima che in produzione, per evitare che un aggiornamento rompa il sito invece di proteggerlo.
3. Audit periodico dei plugin installati: eliminare quelli non più usati o non più mantenuti dal loro sviluppatore, spesso la prima causa di vulnerabilità.
4. Monitoraggio uptime e malware scanning continuo, non a campione.
5. Controllo delle performance: un sito che rallenta nel tempo, per plugin accumulati o database gonfio, perde posizionamento. Ne parlo nel dettaglio nella guida su velocità del sito e Core Web Vitals.
6. Hardening di base: limitare i tentativi di login, disattivare l'editor di file da pannello, gestire correttamente i permessi dei file, secondo le linee guida ufficiali di WordPress.org sull'hardening.

Chi gestisce un e-commerce ha un livello di attenzione ulteriore: un negozio online fermo per un attacco significa ordini persi ogni ora, non solo un brutto messaggio d'errore. Vale la pena leggere anche il confronto tra WooCommerce e Shopify se stai valutando su quale piattaforma investire proprio in base a quanto lavoro di manutenzione richiede nel tempo.

Manutenzione WordPress per WooCommerce: cosa cambia

Su un negozio online la manutenzione cambia natura. In gioco ci sono ordini, pagamenti e dati di clienti che continuano ad arrivare anche di notte, mentre il sito lavora da solo. Un aggiornamento andato male su un sito vetrina si nota e si sistema con calma. Lo stesso aggiornamento su WooCommerce può lasciare il carrello rotto per ore, e in quelle ore nessuno compra.

Quattro cose si aggiungono al lavoro ordinario:

Prova del checkout dopo ogni aggiornamento. Non basta vedere che il sito si apre. Faccio un ordine di prova vero: prodotto nel carrello, codice sconto, scelta della spedizione, pagamento fino alla schermata di conferma, e verifico che partano davvero le email dell'ordine al cliente e a te. La maggior parte dei checkout rotti che ho visto funzionava benissimo in home page.

Aggiornamento dei plugin di pagamento con attenzione doppia. Stripe, PayPal, Nexi e gli altri gateway rilasciano versioni per stare dietro alle regole bancarie sull'autenticazione dei pagamenti. Un plugin di pagamento fermo a una versione vecchia smette di funzionare da un giorno all'altro, e te ne accorgi dagli ordini che non arrivano più.

Backup degli ordini, non solo del sito. In un e-commerce i dati cambiano ogni ora: ordini, clienti, giacenze. Il backup del database va fatto più spesso di quello dei file e conservato più a lungo, perché un problema su un ordine può saltare fuori settimane dopo, quando il cliente chiede assistenza.

Ambiente di staging sempre allineato. Una copia del negozio identica a quella online, dove provo aggiornamenti, nuove estensioni e modifiche al tema prima di toccare il sito vero. Su WooCommerce non è un lusso: ogni plugin nuovo mette le mani nel carrello o nel checkout.

C'è poi una regola che vale più di tutte le altre: nei periodi di picco, dal Black Friday ai saldi, gli aggiornamenti non urgenti si fermano. Si aggiorna prima o si aggiorna dopo, mai nella settimana in cui il negozio incassa.

Se vuoi vedere nel concreto cosa comprende il servizio, ho raccolto tutto nella pagina del piano di manutenzione WordPress, comprese le cose che restano fuori dal canone.

Quanto costa la manutenzione di un sito WordPress

Il prezzo cambia molto in base alla complessità del sito e al livello di servizio. Queste sono le fasce che vedo più spesso sul mercato italiano per PMI:

Sono cifre indicative: un e-commerce con centinaia di prodotti e integrazioni di pagamento richiede un impegno diverso da un sito vetrina di 5 pagine. Se stai ancora valutando l'intero progetto e non solo la manutenzione, la guida su quanto costa un sito web nel 2026 ti dà il quadro completo dei costi, dalla realizzazione in poi.

Il calcolo che conta davvero è un altro: quanto costa un'ora di fermo del sito o la perdita di posizionamento su Google, confrontata con 80-150 euro al mese di manutenzione preventiva. Nella maggior parte dei casi che seguo, la manutenzione si ripaga da sola al primo incidente evitato.

Fai da te o professionista: quando ha senso ciascuna scelta

Non tutti i siti hanno bisogno dello stesso livello di attenzione, ed è giusto dirlo anche se la manutenzione è un servizio che offro.

Ha senso farla da soli se: il sito è un blog personale o una vetrina senza form di contatto né e-commerce, hai tempo da dedicarci ogni settimana e sai già riconoscere un aggiornamento rischioso da uno sicuro prima di installarlo.

Ha senso affidarla a un professionista se: il sito genera fatturato (e-commerce, lead generation, prenotazioni), contiene dati di clienti, o semplicemente non hai tempo di controllarlo con la costanza che serve. La costanza è il punto debole del fai da te: iniziare bene e mollare dopo tre mesi è lo scenario più comune, ed è anche il più pericoloso, perché dà un falso senso di sicurezza.

Chi si occupa di sviluppo e gestione di siti web in modo professionale ha anche gli strumenti per intervenire in poche ore quando qualcosa va storto, invece delle 5-24 ore in cui, come visto sopra, si gioca la partita più delicata.

Se ti accorgi che la manutenzione pesa sempre di più perché ogni nuova funzionalità richiede un plugin in più da tenere sotto controllo, vale la pena chiedersi se WordPress sia ancora lo strumento giusto per il tuo progetto: ne parlo nel dettaglio in wordpress o sito custom, con i criteri concreti per capire quando conviene restare su WordPress e quando è il momento di valutare uno sviluppo su misura.

Un esempio recente di quanto contino gli aggiornamenti: questa settimana sono state corrette due falle in un plugin SEO molto usato, come spiego in questo approfondimento sulle vulnerabilità plugin WordPress.

Domande frequenti

Quanto costa la manutenzione di un sito WordPress?

In Italia si va indicativamente da 40-80 euro al mese per un pacchetto base (aggiornamenti e backup) fino a 150-350 euro al mese per siti complessi o e-commerce con hardening e supporto prioritario.

Quanto costa un abbonamento di manutenzione WordPress?

Il canone si paga mensilmente o una volta all'anno, e il prezzo dipende da tre cose: quante estensioni ha il sito, se raccoglie pagamenti o solo richieste di contatto, e quanto spesso cambiano i contenuti. Un sito vetrina di poche pagine richiede molto meno lavoro di un negozio con centinaia di prodotti. Per questo do la cifra esatta dopo aver guardato il sito, non prima: il controllo iniziale è gratuito e serve anche a dirti se un canone ti serve davvero.

Cosa include la manutenzione di un e-commerce WooCommerce?

Tutto quello che comprende un piano ordinario, più le verifiche che un negozio richiede: l'ordine di prova completo dopo ogni aggiornamento, il controllo dei plugin di pagamento e delle loro versioni, il backup del database degli ordini più frequente e conservato più a lungo, e un ambiente di staging sempre allineato dove provare gli aggiornamenti prima di mandarli online. Nei periodi di picco di vendite gli aggiornamenti non urgenti restano fermi.

Cosa succede se non aggiorno WordPress per mesi?

Il sito accumula vulnerabilità note nei plugin, spesso sfruttate entro 24-48 ore dalla loro pubblicazione. Il rischio concreto è la compromissione del sito, con conseguente penalizzazione SEO e possibile blacklist dai browser.

Il mio sito WordPress è stato hackerato, cosa faccio subito?

Metti il sito offline o in manutenzione, cambia tutte le password e le chiavi di sicurezza, ripristina da un backup pulito precedente alla compromissione e verifica ogni file modificato di recente prima di rimetterlo online.

Ogni quanto vanno fatti gli aggiornamenti di WordPress?

Gli aggiornamenti di sicurezza critici andrebbero applicati entro poche ore dalla loro uscita. Gli aggiornamenti ordinari di plugin e temi si possono programmare settimanalmente, sempre prima testandoli su un ambiente di staging.

La manutenzione WordPress serve anche a un piccolo sito vetrina?

Sì, perché gli attacchi automatizzati non guardano quanto è grande un sito: colpiscono qualunque installazione WordPress vulnerabile, indipendentemente dal traffico che riceve.

Posso fare la manutenzione da solo senza un plugin di sicurezza?

Puoi farlo, ma senza backup testati, monitoraggio continuo e un ambiente di staging il rischio di un incidente non gestito in tempo resta alto: gli strumenti aiutano, ma la costanza nel controllo è quello che fa davvero la differenza.

Il prossimo passo

Se il tuo sito WordPress non riceve manutenzione da un po', o vuoi semplicemente smettere di pensarci, puoi richiedere un piano di manutenzione WordPress: nella pagina trovi cosa comprende, come lavoro e cosa resta fuori dal canone. Se preferisci parlarne prima, raccontami la situazione dalla pagina contatti e ti dico onestamente se e come intervenire, prima ancora di fare numeri.