La risposta breve: i plugin ogni due settimane, WordPress entro un mese dall’uscita di una versione importante, il tema a ogni rilascio, la versione di PHP una volta l’anno. Gli aggiornamenti di sicurezza, invece, vanno applicati subito — non hanno una cadenza, hanno una scadenza.
La risposta lunga è più interessante, perché la domanda vera non è ogni quanto aggiornare. È come farlo senza svegliarsi con il sito offline. E soprattutto: cosa succede davvero se non lo fai, che non è quello che ti aspetti.
La cadenza, servizio per servizio
| Cosa | Ogni quanto | Note |
|---|---|---|
| Aggiornamenti di sicurezza | subito | Non aspettano la manutenzione programmata |
| Plugin | ogni 2 settimane | Sempre con backup fatto prima, mai il venerdì |
| WordPress (versioni minori) | automatico | Sono correzioni, il rischio è minimo |
| WordPress (versioni maggiori) | entro 1 mese | Il tempo di far uscire le correzioni della prima settimana |
| Tema | a ogni rilascio | Se è personalizzato, serve attenzione in più |
| Versione PHP | 1 volta l’anno | La più trascurata e la più insidiosa |
Due settimane per i plugin non è un numero arbitrario: è la finestra entro cui le vulnerabilità note vengono sfruttate su larga scala. Oltre quel periodo non sei semplicemente in ritardo, sei un bersaglio in un elenco.
Cosa si rompe davvero quando non aggiorni
Qui c’è il malinteso più diffuso. Si pensa che il rischio sia che il sito smetta di funzionare. In realtà il sito continua a funzionare benissimo, ed è proprio questo il problema: nulla ti avvisa, finché non è tardi.
Le vulnerabilità arrivano dai plugin, non dal core. WordPress in sé è sorvegliato da migliaia di persone e si aggiorna da solo per le patch. La quasi totalità dei siti compromessi che ci arrivano è entrata da un plugin fermo da anni, spesso uno di quelli che nessuno usa più ma che nessuno ha mai disinstallato.
I pagamenti si fermano senza preavviso. Stripe, PayPal e i gateway bancari dismettono le vecchie versioni delle loro API. Un e-commerce con moduli di pagamento non aggiornati smette di incassare in un giorno preciso, deciso da qualcun altro.
L’hosting cambia PHP sotto i tuoi piedi. Quando un provider dismette una versione di PHP, i siti che dipendevano da quella versione mostrano una pagina bianca. Non è un guasto: è una scadenza annunciata mesi prima, a cui nessuno ha risposto.
Il divario diventa incolmabile. Aggiornare un plugin di due settimane è banale. Aggiornarne uno fermo da tre anni significa attraversare cinque versioni maggiori tutte insieme, e a quel punto l’unica strada è rifare il pezzo. È il motivo per cui la manutenzione costa poco e il recupero costa molto.
“Ho paura che aggiornando si rompa qualcosa”
È un timore fondato: succede. Ma la causa non è l’aggiornamento in sé — è farlo senza rete di protezione.
Un aggiornamento fatto bene prevede quattro passaggi, sempre gli stessi:
- Backup completo, file e database, verificato. Un backup che non hai mai provato a ripristinare non è un backup
- Prova in staging, cioè su una copia del sito. Se qualcosa si rompe, si rompe lì
- Aggiornamento uno per volta quando i plugin sono critici, così se compare un problema sai esattamente chi è stato
- Controllo delle funzioni chiave dopo l’aggiornamento
L’ultimo punto è quello che salta sempre, ed è il più importante. Una lista minima da verificare ogni volta:
- Il modulo contatti invia e la mail arriva davvero
- Il login funziona
- Il carrello arriva fino al pagamento, se hai un e-commerce
- Le pagine principali si aprono senza errori
- Il layout non è saltato su mobile
Come lavoriamo noi. A fine mese, su ogni sito che seguiamo, l’iter è sempre lo stesso e sempre in quest’ordine: duplichiamo il sito in un ambiente di staging, facciamo il backup, e solo a quel punto partiamo con gli aggiornamenti — prima quelli di sicurezza, poi i plugin, poi la piattaforma.
L’ordine non è casuale. La copia di prova viene creata prima del backup, così se qualcosa va storto durante il lavoro abbiamo sia l’ambiente su cui capire cosa è successo sia il punto di ripristino a cui tornare.
Una volta all’anno, o quando serve, si aggiornano anche la versione di PHP e quella del database. Sono i due interventi che nessuno fa spontaneamente e che, quando saltano, presentano il conto tutto insieme.
Gli aggiornamenti automatici: quando sì e quando no
Non sono né la soluzione né il nemico. Dipende da cosa aggiornano.
Attivali per le versioni minori di WordPress e per le patch di sicurezza dei plugin che usi da anni e di cui ti fidi. Sono correzioni mirate, con rischio quasi nullo, e ogni giorno di ritardo è un giorno di esposizione.
Lasciali disattivati per le versioni maggiori di WordPress, per WooCommerce, per i costruttori di pagine e per qualsiasi plugin che tocchi il layout o i pagamenti. Lì un aggiornamento automatico può cambiare il sito mentre non stai guardando, e te ne accorgi da un cliente che ti scrive.
I plugin abbandonati: il rischio che nessuno controlla
Apri l’elenco dei plugin e guarda la data dell’ultimo aggiornamento di ciascuno. Se qualcuno è fermo da più di un anno, quel plugin non ha più un manutentore: le vulnerabilità che verranno scoperte da qui in avanti non saranno mai corrette.
Peggio ancora se è stato rimosso dal repository ufficiale di WordPress, cosa che accade proprio quando emerge un problema di sicurezza grave. In quel caso il plugin resta installato e funzionante sul tuo sito, e nessuno ti avvisa di nulla.
Sono i due controlli che facciamo per primi quando prendiamo in gestione un sito nuovo, prima ancora di aggiornare qualcosa.
Domande frequenti
Se aggiorno perdo le personalizzazioni del sito? Non se sono state fatte come si deve, cioè in un tema child o in un plugin dedicato. Le perdi se qualcuno ha modificato direttamente i file del tema o del core: in quel caso il primo aggiornamento cancella tutto. È una delle cose che verifichiamo prima di toccare qualsiasi cosa.
Il mio sito è piccolo, chi vuoi che lo attacchi? Nessuno sceglie il tuo sito. I tentativi sono automatici: scansionano milioni di indirizzi cercando una versione vulnerabile specifica. Non contano la tua fama né il tuo fatturato, conta solo il numero di versione del plugin.
Cosa succede se salto un aggiornamento importante di WordPress? Per qualche mese nulla di visibile. Poi i plugin iniziano a richiedere una versione minima che non hai, gli aggiornamenti smettono di essere disponibili e il sito resta bloccato dov’è. Da lì si esce solo con un intervento che costa molto più della manutenzione ordinaria.
Posso aggiornare da solo? Sì, se hai backup verificati, un ambiente di prova e una lista di controlli da fare dopo. Se ti manca uno dei tre, stai aggiornando in produzione senza rete — e prima o poi capita la volta storta.
Quanto costa la manutenzione? Si parte da 300 euro l’anno più IVA per un sito vetrina: aggiornamenti, backup, controlli di sicurezza e verifica delle funzioni chiave. Un sito aziendale con qualche integrazione sta intorno ai 590 euro l’anno, con backup giornaliero, risposta entro 24 ore e un’ora al mese di piccoli interventi. Da lì il canone sale con la complessità — un e-commerce con integrazioni, molti prodotti e pagamenti attivi richiede interventi più frequenti e tempi di risposta più stretti, e arriva fino a 200 euro al mese. La cifra dipende da cosa c’è sotto il cofano, non dalle dimensioni dell’azienda: te la diciamo dopo aver guardato il sito, non prima.
Se preferisci non pensarci
Backup verificati, ambiente di prova, aggiornamenti controllati e verifica delle funzioni chiave a ogni intervento: è quello che facciamo sui siti in manutenzione, con un report che ti dice cosa è stato aggiornato e cosa è stato controllato.
Assistenza e manutenzione siti web — ADS Network, dal 2005.