Ciao! Questo è probabilmente l’articolo più importante che ho scritto su questo blog, perché tocca la parte del mio lavoro che considero più sottovalutata in assoluto: la manutenzione di un sito WordPress dopo che è stato pubblicato.
Chi mi conosce sa come la penso: costruire un sito è la parte facile. La parte difficile, quella che fa davvero la differenza nel tempo, è tenerlo in salute mese dopo mese. In questa guida ti spiego perché la manutenzione WordPress non è un costo evitabile ma un investimento, come farla in modo efficace passo per passo, e con che frequenza, sia che tu voglia farla da solo, sia che tu stia valutando se affidarla a qualcuno.
Che cos’è la manutenzione WordPress
Partiamo dalla definizione, perché “manutenzione” è un termine che viene usato in modo vago e questo genera confusione. Quando parlo di manutenzione WordPress intendo l’insieme di attività ricorrenti che servono a mantenere un sito sicuro, veloce, funzionante e aggiornato nel tempo. Non è un intervento una tantum: è un processo continuo.
In pratica comprende cinque aree principali, che vedremo una per una più avanti:
- Backup: copie di sicurezza regolari di file e database
- Aggiornamenti: core di WordPress, temi e plugin
- Sicurezza: scansioni malware, controllo permessi, gestione utenti
- Performance: ottimizzazione database, cache, immagini
- Pulizia: rimozione di ciò che non serve più (revisioni, spam, file orfani)
Se una di queste aree viene trascurata a lungo, prima o poi il problema si presenta: di solito nel momento peggiore possibile.
Perché la manutenzione WordPress è così importante
Ti faccio un esempio concreto, perché in astratto è facile sottovalutare la cosa. WordPress alimenta più del 40% di tutti i siti web al mondo, ed è proprio per questo che è anche il bersaglio preferito di chi cerca vulnerabilità da sfruttare in massa: non attacca te in particolare, attacca “tutti i siti WordPress con quella versione di plugin non aggiornata”. Se il tuo sito è tra quelli, non serve che nessuno ti prenda di mira personalmente.
I rischi concreti di non fare manutenzione
Sicurezza compromessa: plugin e temi non aggiornati sono la prima causa di siti WordPress violati. Ogni aggiornamento di sicurezza che salti è una porta che resta aperta.
Perdita di dati: senza backup regolari, un attacco, un errore umano o anche solo un aggiornamento andato storto possono cancellare mesi (o anni) di lavoro senza possibilità di recupero.
Performance in calo: un database pieno di revisioni accumulate, commenti spam e transient scaduti rallenta ogni query. Con il tempo, un sito trascurato diventa lento anche se il codice di partenza era ottimo.
Danno SEO: Google penalizza (indirettamente, tramite i Core Web Vitals) i siti lenti, e un sito compromesso da malware può finire direttamente in blacklist, sparendo dai risultati di ricerca da un giorno all’altro.
Costi di recupero più alti: risolvere un sito violato o corrotto costa, quasi sempre, molto più di quanto sarebbe costata la manutenzione preventiva che lo avrebbe evitato. È lo stesso principio della manutenzione di un’auto: costa meno il tagliando regolare che il motore fuso.
Con che frequenza fare manutenzione WordPress
Questa è la domanda che mi fanno più spesso, e la risposta onesta è: dipende da cosa stai controllando. Non tutte le attività vanno fatte con la stessa cadenza. Ecco come la organizzo io, divisa per frequenza.
Attività giornaliere (o quasi)
- Monitoraggio uptime: sapere in tempo reale se il sito va offline, invece di scoprirlo da un cliente arrabbiato
- Backup automatico: se il sito riceve contenuti nuovi ogni giorno (un e-commerce, un blog molto attivo), il backup dovrebbe essere quotidiano
Attività settimanali
- Controllo aggiornamenti disponibili: plugin, temi e core, non significa installarli tutti al volo, ma sapere cosa c’è in coda
- Scansione di sicurezza/malware: una scansione veloce per intercettare presto eventuali anomalie
- Controllo commenti/spam (se il sito ha un blog attivo con commenti aperti)
Attività mensili
- Installazione aggiornamenti (dopo averli testati, ne parliamo tra poco): core, temi, plugin
- Ottimizzazione database: pulizia di revisioni accumulate, transient scaduti, tabelle orfane lasciate da plugin disinstallati
- Controllo backup: non basta che il backup venga fatto, va anche verificato che sia ripristinabile
- Verifica link rotti: soprattutto su siti con molti contenuti, capita che link interni o esterni smettano di funzionare
- Report di stato: se gestisci siti per clienti, questo è il momento in cui prepari un resoconto di quello che hai fatto
Attività trimestrali
- Audit di sicurezza più approfondito: controllo permessi dei file, utenti con accesso, chiavi API/password da ruotare
- Revisione plugin installati: hai ancora bisogno di tutti? Ogni plugin è una superficie di attacco in più, anche se disattivato (se non lo elimini del tutto)
- Test di velocità e performance: con strumenti come PageSpeed Insights o GTmetrix, per capire se qualcosa si è degradato nel tempo
Attività annuali
- Verifica compatibilità PHP: controlla che l’hosting stia usando una versione di PHP ancora supportata e sicura
- Revisione strategica: il tema è ancora quello giusto? I plugin coprono ancora le esigenze reali del sito? È il momento buono per fare un bilancio più ampio, non solo tecnico
Come fare manutenzione WordPress in modo efficace (passo per passo)
Ora entriamo nel pratico. Ti spiego come affronto io ognuna delle cinque aree che ti ho anticipato all’inizio.
1. Backup: la base di tutto
Se dovessi salvare una sola cosa di questo articolo, salverei questa: nessuna delle altre attività ha senso se non hai un backup affidabile prima di farla. Un aggiornamento può rompere qualcosa, una scansione di sicurezza può richiedere di eliminare file infetti, un’ottimizzazione del database può andare storta. Il backup è la tua rete di sicurezza.
Come farlo bene:
- Backup sia dei file (temi, plugin, upload) che del database: servono entrambi, uno senza l’altro è incompleto
- Salva le copie fuori dal server di hosting: se il backup resta sullo stesso server del sito, un problema all’hosting ti porta via sito e backup insieme. Usa uno storage esterno (cloud, un altro server)
- Testa il ripristino almeno ogni tanto: un backup che non hai mai provato a ripristinare è una falsa sicurezza. Non lo scopri finché non ne hai davvero bisogno
- Mantieni più versioni storiche, non solo l’ultima: se un problema viene notato tardi, potresti dover tornare indietro di più di un giorno
2. Aggiornamenti: core, temi e plugin
Qui la tentazione è sempre la stessa: aggiornare tutto appena arriva la notifica. Non è la strategia giusta, soprattutto su un sito in produzione.
Il flusso che seguo io:
- Backup prima di tutto (vedi sopra)
- Leggi il changelog: cosa cambia in quella versione? Se è solo una patch di sicurezza minore, il rischio di conflitti è basso. Se è un aggiornamento major, meritа più attenzione
- Testa in staging: un ambiente di prova identico al sito live, dove installi l’aggiornamento prima di farlo sul sito reale. Molti hosting di qualità offrono uno staging con un clic
- Aggiorna un elemento alla volta quando possibile, soprattutto su siti complessi: così se qualcosa si rompe sai esattamente cosa ha causato il problema
- Controlla il sito dopo l’aggiornamento: non solo la home, ma le pagine/funzioni che dipendono da quel plugin o tema specifico
Un dettaglio tecnico che vale la pena ricordare: il core di WordPress riceve aggiornamenti di sicurezza minori in automatico di default, e va bene così: sono quasi sempre sicuri da applicare senza test approfonditi. Gli aggiornamenti major (i cambi di versione principale, tipo il passaggio a WordPress 6.8 di cui ho parlato anche nell’articolo su come creare un admin da wp-config.php) meritano invece più attenzione, perché possono introdurre cambiamenti di comportamento non banali.
3. Sicurezza: più di un semplice plugin
La sicurezza di WordPress non è “installo un plugin di sicurezza e ho finito”. È un insieme di pratiche.
Cosa controllo sempre:
- Permessi dei file: le cartelle dovrebbero avere permessi 755, i file 644. Permessi troppo permissivi (777) sono un invito aperto
- Utenti con accesso admin: quanti sono? Servono davvero tutti quel livello di accesso? Ogni account admin in più è un punto di attacco potenziale, soprattutto se ha una password debole
- Autenticazione a due fattori: se non è già attiva sugli account amministratore, è probabilmente la singola misura con il miglior rapporto tra sforzo e beneficio che puoi implementare
- Scansione malware regolare: molti plugin di sicurezza gratuiti fanno un buon lavoro di base
- Firewall applicativo (WAF): filtra il traffico sospetto prima ancora che raggiunga WordPress
- File nascosti o modificati: uno scanner di integrità dei file ti avvisa se qualcosa nel core, nel tema o nei plugin è stato alterato senza che tu lo abbia fatto, spesso il primo segnale di una compromissione
Su questo fronte, la dashboard Salute del sito, integrata di serie in WordPress da qualche anno, è un buon punto di partenza gratuito: segnala problemi di sicurezza e performance evidenti senza bisogno di installare nulla.
4. Performance: velocità che si mantiene nel tempo
Un sito veloce il giorno del lancio non resta veloce per sempre, se non ci lavori sopra.
Le attività ricorrenti che fanno davvero la differenza:
- Pulizia del database: revisioni degli articoli accumulate negli anni, commenti nello spam mai svuotati, transient scaduti: tutta roba che appesantisce ogni query senza portare nessun beneficio
- Ottimizzazione delle immagini: ogni volta che carichi contenuti nuovi, verifica che le immagini siano compresse e nei formati moderni (WebP, AVIF)
- Cache: verifica periodicamente che la configurazione della cache sia ancora corretta, soprattutto dopo cambi di tema o plugin
- Monitoraggio dei Core Web Vitals: con Google Search Console o PageSpeed Insights, per intercettare cali di performance prima che diventino un problema serio
5. Pulizia: togliere quello che non serve
L’ultima area, spesso la più trascurata perché “tanto non fa danni visibili subito”. Un sito accumula nel tempo:
- Plugin disattivati ma non disinstallati: occupano spazio, a volte lasciano tabelle nel database anche da disattivati, e restano comunque un potenziale rischio di sicurezza se non aggiornati
- Temi inutilizzati: se ne tieni installati più di uno “per sicurezza”, valuta se serve davvero
- File orfani: media caricati e mai usati, backup vecchi lasciati nella cartella sbagliata, export dimenticati
- Utenti inattivi: account creati per un collaboratore che non lavora più al progetto, o per test che non servono più
Strumenti utili per la manutenzione WordPress
Non voglio trasformare questo articolo in una lista infinita di plugin, ma qualche categoria di strumenti che vale la pena conoscere:
- Backup: plugin dedicati che permettono di programmare copie automatiche e salvarle su storage esterno
- Sicurezza: soluzioni che uniscono scansione malware, firewall applicativo e controllo integrità dei file in un’unica dashboard
- Performance: plugin di cache, oltre a strumenti esterni come PageSpeed Insights e GTmetrix per il monitoraggio
- Uptime monitoring: servizi esterni che ti avvisano (email, SMS, notifica push) nel momento esatto in cui il sito va offline, invece di scoprirlo ore dopo
Manutenzione fai-da-te o affidarsi a un professionista?
Te lo dico con onestà, senza spingerti in una direzione a tutti i costi: dipende da quanto tempo hai, da quante competenze tecniche hai già, e da quanto è critico il sito per la tua attività.
Ha senso farla da solo se: hai un sito personale o un piccolo progetto senza troppa pressione, hai tempo da dedicarci con costanza (è la parola chiave: costanza, non un intervento sporadico), e hai già una base tecnica minima per capire cosa stai facendo quando applichi un aggiornamento.
Ha senso affidarla a qualcuno se: il sito genera fatturato o è comunque critico per il tuo lavoro, non hai tempo per seguirlo con la regolarità che richiede, oppure preferisci semplicemente non doverci pensare e sapere che qualcuno se ne occupa con metodo.
Un modo utile per ragionarci: pensa alla differenza tra manutenzione preventiva e intervento correttivo. La prima è pianificata, costante, e nella maggior parte dei casi si traduce in poche ore di lavoro ricorrenti. Il secondo arriva quando qualcosa è già andato storto: sito violato, database corrotto, aggiornamento che ha mandato in crash tutto, e richiede quasi sempre molte più ore di lavoro concentrate in emergenza, spesso con l’urgenza di risolvere il prima possibile perché nel frattempo il sito è offline o compromesso. Sul lungo periodo, la manutenzione preventiva quasi sempre costa meno, anche solo in termini di stress e tempo perso a rincorrere un problema invece di prevenirlo.
Segnali che il tuo sito ha bisogno di manutenzione urgente
Prima di arrivare alla checklist finale, ti elenco alcuni segnali che, nella mia esperienza, indicano che la manutenzione è stata trascurata troppo a lungo e serve intervenire prima possibile, non alla prossima occasione comoda:
- Il pannello di amministrazione segnala decine di aggiornamenti in coda: più aggiornamenti si accumulano, più aumenta la probabilità che tra loro ci siano conflitti quando finalmente li installi tutti insieme
- Il sito è visibilmente più lento rispetto a qualche mese fa, senza che tu abbia aggiunto contenuti pesanti in modo consapevole
- Ricevi email di hosting che segnalano un uso anomalo delle risorse (CPU, banda), spesso il primo sintomo di uno script malevolo che gira in background
- Google Search Console mostra un calo improvviso di traffico organico, che può indicare una penalizzazione per malware o problemi tecnici gravi
- Non ricordi l’ultima volta che hai controllato se i backup funzionano davvero: se la risposta è “non lo so”, è già un segnale sufficiente
- Hai ancora account utente attivi di persone che non lavorano più al progetto: un rischio silenzioso che nessuno controlla finché non succede qualcosa
Se ti riconosci in più di uno di questi punti, il consiglio è semplice: non aspettare il prossimo aggiornamento programmato, inizia subito dal backup e dalla scansione di sicurezza, poi procedi con calma sul resto.
Manutenzione WordPress per un e-commerce: attenzioni in più
Se il sito che gestisci è un negozio online, di solito costruito con WooCommerce, la manutenzione richiede qualche attenzione aggiuntiva rispetto a un sito vetrina o un blog, perché in gioco ci sono transazioni reali e dati sensibili dei clienti.
Backup più frequenti: con ordini che arrivano ogni giorno, un backup settimanale non basta. Su un e-commerce attivo il backup giornaliero è quasi sempre la scelta giusta, altrimenti rischi di perdere ordini reali in caso di ripristino.
Test degli aggiornamenti ancora più rigorosi: WooCommerce e i suoi plugin di pagamento/spedizione sono un ecosistema con molte parti che devono continuare a comunicare correttamente tra loro. Un aggiornamento che sembra innocuo può rompere silenziosamente il checkout, e te ne accorgi solo quando i clienti smettono di riuscire a comprare.
Monitoraggio del funnel d’acquisto, non solo del sito in generale: verifica periodicamente che l’intero percorso, dal carrello al pagamento completato, funzioni end-to-end, non solo che le pagine si carichino.
Compliance sui pagamenti: se gestisci pagamenti con carta, verifica che il sito rispetti sempre gli standard di sicurezza richiesti (come il certificato SSL sempre valido e aggiornato), perché qui gli standard non sono solo una buona pratica ma spesso un requisito imposto dai gateway di pagamento stessi.
Checklist riassuntiva
Per chiudere in modo pratico, ecco il riepilogo di tutto quello che ti ho spiegato, organizzato per frequenza:
Ogni giorno: monitoraggio uptime, backup automatico (se il sito è molto attivo)
Ogni settimana: controllo aggiornamenti disponibili, scansione di sicurezza veloce
Ogni mese: installazione aggiornamenti testati, ottimizzazione database, verifica backup, controllo link rotti
Ogni trimestre: audit di sicurezza approfondito, revisione plugin installati, test di velocità
Ogni anno: verifica versione PHP, revisione strategica del sito
Domande frequenti
Quanto costa la manutenzione di un sito WordPress?
Varia molto in base alla complessità del sito e al livello di servizio richiesto (solo aggiornamenti e backup, oppure un pacchetto completo con report periodici e supporto). Diffida sia dei prezzi troppo bassi (spesso significano interventi superficiali) sia di pacchetti generici non tarati sulle reali esigenze del tuo sito.
Posso fare manutenzione WordPress senza saper programmare?
Per le attività di base (backup, aggiornamenti tramite dashboard, pulizia del database con un plugin) sì, non serve saper scrivere codice. Diventa utile avere competenze tecniche quando qualcosa va storto durante un aggiornamento e serve intervenire manualmente sui file, come nel caso che ho descritto nell’articolo sul recupero dell’accesso admin da wp-config.php.
Ogni quanto vanno aggiornati i plugin?
Non esiste una regola fissa uguale per tutti i plugin: gli aggiornamenti di sicurezza andrebbero applicati il prima possibile dopo un test rapido, mentre gli aggiornamenti “di funzionalità” possono aspettare qualche giorno in più per essere sicuri che non emergano segnalazioni di problemi da altri utenti.
Cosa succede se non faccio manutenzione per molto tempo?
Il rischio aumenta in modo non lineare: un sito trascurato per un mese ha rischi contenuti, uno trascurato per un anno o più accumula così tanti aggiornamenti arretrati che anche riportarlo in pari diventa un’operazione delicata, con più probabilità di conflitti tra versioni molto distanti tra loro.
Serve fare manutenzione anche se il sito non riceve quasi visite?
Sì, e forse è ancora più importante che tu lo sappia: un sito con poco traffico non è meno vulnerabile, perché gli attacchi automatizzati non guardano quanti visitatori hai. Anzi, un sito trascurato con poco traffico a volte viene compromesso proprio perché nessuno se ne accorge per mesi, dato che non c’è nessuno a notare che qualcosa non va.
Per chiudere
La manutenzione WordPress non è la parte “noiosa” del possedere un sito: è quello che decide se il lavoro fatto in fase di costruzione resta valido nel tempo o si deteriora silenziosamente fino al giorno in cui il problema esplode tutto insieme. Il mio consiglio, qualunque strada tu scelga, è la costanza: meglio poche attività fatte con regolarità che un intervento eroico una volta l’anno.
Se preferisci non doverci pensare, è esattamente il tipo di lavoro che seguo per i miei clienti: backup, aggiornamenti testati, controlli di sicurezza e un resoconto periodico chiaro di quello che è stato fatto. Se ti va di parlarne, scrivimi una mail e ti risponderò il prima possibile.