Nell'articolo precedente ti ho raccontato di un sito WordPress fermo da sette anni: rimetterlo in sesto costava 14 giorni di lavoro, rifarlo da zero 6. La conclusione era semplice: il modo migliore per non trovarsi in quella situazione è una manutenzione programmata.
Il problema è che "manutenzione" è una parola che dice tutto e niente. C'è chi la vende a pochi euro al mese e si limita ad attivare gli aggiornamenti automatici, e c'è chi fa un lavoro vero su backup, sicurezza e controlli. Da fuori sembrano la stessa cosa. In questo articolo ti spiego cosa deve esserci dentro, cosa non c'entra, quanto costa e quali domande fare prima di firmare.
Perché un sito che "funziona" ha comunque bisogno di manutenzione
Un sito WordPress non si rompe in un giorno. Si consuma in silenzio, finché un aggiornamento salta, un plugin smette di essere supportato o qualcuno ci entra dentro.
I numeri sulla sicurezza lo spiegano meglio di qualsiasi discorso. Secondo il rapporto di Patchstack sullo stato della sicurezza WordPress nel 2026:
- nel 2025 sono state scoperte 11.334 nuove vulnerabilità nell'ecosistema WordPress, il 42% in più rispetto all'anno prima;
- il 91% riguarda i plugin, il 9% i temi, mentre nel core di WordPress ne sono state trovate appena 6;
- circa metà delle vulnerabilità ad alto impatto viene sfruttata entro 24 ore dalla pubblicazione;
- il 46% non aveva ancora una correzione disponibile quando è stata resa pubblica;
- le difese standard degli hosting hanno bloccato solo il 12% degli attacchi su vulnerabilità note.
Tradotto: WordPress in sé è solido. Il rischio vero sono i plugin e il tempo che passa tra la scoperta di un problema e il momento in cui qualcuno aggiorna il tuo sito. Se nessuno lo fa, quel tempo è infinito.
Poi c'è il server. WordPress gira su PHP, e anche PHP ha una data di scadenza: la versione 8.1 non riceve più aggiornamenti di sicurezza da fine 2025, la 8.2 smette il 31 dicembre 2026. WordPress 7.0, uscito a maggio 2026, consiglia PHP 8.3. Molti siti che vedo girano ancora su versioni vecchie perché passare alla nuova "rompeva qualcosa" e nessuno ha avuto tempo di sistemarlo.
Cosa comprende una manutenzione fatta bene
Questa è la lista che uso io. Se il servizio che ti propongono non copre questi punti, stai comprando qualcos'altro.
1. Aggiornamenti controllati, non alla cieca
Core, plugin e tema vanno aggiornati con regolarità, ma non tutto insieme e senza guardare. Chi lavora bene legge le note di rilascio, aggiorna prima su una copia del sito (staging) quando l'aggiornamento è importante e controlla che le pagine chiave funzionino dopo. Gli aggiornamenti di sicurezza urgenti, invece, vanno fatti subito.
2. Backup automatici, fuori dal server e testati
Un backup deve avere tre caratteristiche: essere automatico, stare fuori dal server del sito (se il server ha un problema, il backup non deve sparire con lui) e coprire più giorni indietro. La quarta è quella che quasi nessuno rispetta: essere testato. Un backup che non hai mai provato a ripristinare è solo una speranza.
3. Monitoraggio
Qualcuno deve accorgersi prima di te se il sito va giù, se compare codice sospetto, se il certificato SSL o il dominio stanno per scadere. Sono controlli che si automatizzano, ma qualcuno deve leggere gli avvisi.
4. PHP e hosting
Tenere d'occhio la versione di PHP e l'ambiente del server fa parte della manutenzione. Aspettare che l'hosting ti costringa all'aggiornamento significa farlo di corsa, nel momento peggiore.
5. Pulizia
Plugin disattivati ma ancora installati, utenti amministratori che non lavorano più con te, bozze e revisioni che gonfiano il database. Ogni cosa inutile è una porta in più da tenere chiusa.
6. Controllo delle prestazioni
Un sito che rallenta perde visitatori e posizioni su Google. Un controllo periodico della velocità e dei Core Web Vitals, gli indicatori con cui Google misura l'esperienza sulle pagine, ti evita di scoprirlo quando è già un problema.
7. Un resoconto
Devi sapere cosa è stato fatto: quali aggiornamenti, quali problemi, quali rischi restano aperti. Senza un resoconto non hai modo di distinguere un servizio vero da un abbonamento che si rinnova da solo.
Cosa non è manutenzione
Anche qui meglio chiarire subito, perché è la fonte principale di malintesi.
- Attivare gli aggiornamenti automatici di tutto non è manutenzione. È delegare al caso. Funziona finché un aggiornamento non va in conflitto con un altro, e quando succede nessuno se ne accorge.
- Nuove funzioni e modifiche non sono manutenzione: sono sviluppo. Un buon contratto dice chiaramente quante ore di modifiche sono incluse, se ce ne sono.
- "Chiamami se c'è un problema" non è manutenzione. È assistenza a chiamata, utile, ma interviene dopo il danno invece di prevenirlo.
Quanto costa
Dipende da quanto è complesso il sito e da cosa è incluso, ma per darti un riferimento concreto ti dico come la faccio pagare io:
- Basic, 49 € al mese (IVA esclusa): backup, aggiornamenti di sicurezza, monitoraggio e un'ora di interventi al mese. È pensata per siti vetrina e piccoli siti aziendali.
- Plus, 249 € al mese (IVA esclusa): in più quattro ore di sviluppo e modifiche, un report mensile e priorità nelle richieste. Serve a chi aggiorna spesso il sito o ha un e-commerce.
Il confronto giusto non è con zero, ma con quanto costa non farla. Un anno di Basic sono 588 €. Il sito del caso reale, lasciato fermo per sette anni, richiedeva 14 giornate di lavoro solo per essere rimesso in piedi. A qualunque tariffa, sono molti anni di manutenzione.
Trovi tutti i dettagli nella pagina Pacchetti e Listino.
Le domande da fare prima di affidare il tuo sito
Che tu scelga me o qualcun altro, queste domande ti fanno capire in cinque minuti che servizio stai comprando:
- Dove sono conservati i backup, e quando è stata l'ultima volta che ne avete ripristinato uno?
- Gli aggiornamenti importanti li provate prima su una copia del sito?
- Se il sito viene violato, la pulizia e il ripristino sono inclusi o si pagano a parte?
- In quanto tempo rispondete se il sito è giù?
- Ricevo un resoconto di cosa è stato fatto?
- Le modifiche ai contenuti o alle funzioni sono incluse? Quante ore?
Se le risposte sono vaghe, quella vaghezza è la risposta.
Se il tuo sito è fermo da tempo
Se l'ultimo aggiornamento serio del tuo sito è di qualche anno fa, non partire direttamente con un abbonamento: prima serve un check-up, per capire in che stato è il sito e se conviene sistemarlo o rifarlo, come nel caso dell'articolo precedente. È quello che faccio con l'audit tecnico: analisi del sito e report scritto con le priorità.
Fonti: Patchstack, "State of WordPress Security in 2026"; WordPress.org, note di rilascio di WordPress 7.0 e annuncio sul supporto PHP; calendario ufficiale di supporto delle versioni PHP.