Manutenzione WordPress: la routine mensile che evita i disastri

Quel lunedì mattina in cui un sito è sparito (e colpa non era di WordPress)

Aprile 2022. Un cliente mi chiama alle 9:12 di un lunedì: "il sito non si apre, da ieri sera è bianco". Arrivo, apro wp-admin: bianco anche lì. Niente backup da 14 mesi, 47 plugin installati di cui 19 abbandonati dagli autori, WordPress fermo alla 5.4. Ci ho messo due giorni pieni a rimetterlo in piedi e il cliente ha perso quasi tre settimane di posizioni su Google. Da quel giorno ho smesso di considerare la manutenzione WordPress come una cosa che "si fa quando serve". L'ho trasformata in una routine precisa, quella che applico ancora oggi sui duecento e passa siti che seguo, e che sta alla base della mia assistenza WordPress.

Non scrivo questo per spaventarti. Scrivo perché ho visto troppi proprietari di sito scoprire troppo tardi che "funziona" non significa "è a posto". E se non hai voglia di imparare tutta la procedura, sappi che c'è chi la esegue per te: la mia manutenzione WordPress continuativa nasce proprio da questi casi.

Perché la manutenzione WordPress non è un lusso

WordPress è il 43% del web per una ragione: è flessibile. Ma quella flessibilità ha un prezzo invisibile. Ogni plugin, ogni tema, ogni aggiornamento è una variabile che può rompersi. Il core esce in media una volta al mese con patch di sicurezza; i plugin seri si aggiornano anche più spesso. Se li ignori, la bomba cresce sotto al tappeto.

Il problema vero non è l'aggiornamento in sé. È che la maggior parte delle persone aggiorna a caso, di venerdì sera, senza un backup e senza testare. Ho contato: su dieci siti che mi arrivano rotti, otto lo sono diventati dopo un aggiornamento fatto male. Non è colpa di WordPress. È colpa della routine assente.

Cosa succede davvero quando salti la manutenzione

• Sicurezza: un plugin non aggiornato è una porta aperta. Nel 2023 ho ripulito 31 siti infetti e in 28 casi la porta d'ingresso era un plugin vecchio di due anni. Ne ho parlato nella guida al ripristino da sito hackerato, dove mostro esattamente come entrano e come li caccio fuori.
• Performance: database pieno di revisioni, transients mai puliti, immagini non ottimizzate. Il sito rallenta e Google ti penalizza. Le dodici cause vere le ho elencate in perché un sito WordPress è lento.
• Compatibilità: aggiorni il core e il tema va in crash perché non era pronto. Ho visto interi e-commerce fermi il giorno dei saldi per questo.
• SEO: se il sito va down anche solo 48 ore, la ripresa del ranking può volerci settimane. Le basi le trovi nelle dieci regole d'oro della SEO.

La mia routine mensile (quella che uso su 200+ siti)

Non vendo corsi, quindi te la do gratis. È una lista che eseguo in quest'ordine, ogni mese, su ogni sito. La faccio da solo o la delego, ma i passi non cambiano.

1. Backup prima di tutto (e lo verifico)

Sembra ovvio. Non lo è. Il 60% dei "backup" che trovo sui siti dei clienti non si ripristina. Perché? Perché nessuno li ha mai testati. Io eseguo il backup, poi lo scarico e apro un file a caso per controllare che non sia vuoto.

wp db export backup_$(date +%F).sql
wp plugin list --status=active

Li sposto su un server remoto, non sullo stesso hosting del sito. Se l'hosting brucia, il backup deve sopravvivere. Su come farlo in modo cifrato ho scritto una guida al backup remoto che uso ancora oggi.

2. Aggiornamenti in staging, mai di venerdì

Qui casca l'asino. Mai aggiornare in produzione senza sapere cosa succede. Se hai un ambiente di staging, usalo. Se non ce l'hai, almeno fai un backup (punto 1) e aggiorna un plugin alla volta, ricaricando la home tra uno e l'altro.

La regola: core prima, poi temi, poi plugin. Mai tutti insieme. Ho imparato questa lezione nel 2021 quando ho aggiornato 23 plugin in un colpo solo e il sito di un ristorante è rimasto bianco per tutta la sera di sabato. Mai più. Le major poi vanno trattate con rispetto: la guida all'aggiornamento a WordPress 7.1 spiega cosa cambia sotto il cofano e cosa testare prima di saltarci sopra.

3. Verify-checksums e sicurezza

Un comando che uso sempre, gratis e potente:

wp core verify-checksums
wp plugin verify-checksums --all

Se esce anche solo una differenza, qualcuno ha toccato i file. A volte è legittimo (una personalizzazione), ma nel 90% dei casi è codice estraneo. Se vuoi capire come riconoscere i plugin piratati che nascondono backdoor, leggi la mia guida sui plugin piratati e la sicurezza.

4. Pulizia del database

WordPress accumula spazzatura: revisioni dei post (ne ho viste 400 su un solo articolo), commenti spam, transients scaduti, tabella delle opzioni gonfia. Li pulisco con query mirate, mai alla cieca. Una volta ho lanciato un plugin "ottimizza tutto" che ha cancellato le opzioni di un plugin di cache e il sito è andato in loop per un'ora. Da allora pulisco a mano, riga per riga.

5. Controllo performance

Carico la home, misuro il TTFB, controllo se le immagini sono ancora pesanti. Se il sito è lento, prima di toccare la cache rileggo le dodici cause reali. Il punto non è "metti una CDN" (citrato ovunque): è capire perché è lento. Un mio cliente aveva un TTFB di 1.8 secondi solo per colpa di un plugin di analytics che faceva una chiamata sincrona a ogni pagina. Toglierlo: sceso a 240 millisecondi.

La manutenzione non è uno spray magico. È capire il perché, non applicare ricette copiate.

6. Monitoraggio e hardening

Alla fine della routine controllo i log degli accessi, i tentativi di login falliti e i file cambiati nelle ultime 24 ore. Se qualcuno ha toccato wp-config.php di notte, lo voglio sapere la mattina, non tra due settimane.

Gli errori che ho visto costare migliaia di euro

Parliamo di soldi, perché alla fine è di questo che parliamo. Questi sono i cinque errori più costosi che trovo nei siti che mi arrivano già rotti.

1. Aggiornare il venerdì sera. Il sito va in crash sabato mattina, nessuno lo vede fino a lunedì, nel frattempo le vendite ferme. Un mio cliente e-commerce ha perso circa 4.200 euro in un weekend del 2022 per questo.
2. Usare plugin "nulled". Risparmi 50 euro di licenza e regali al sito una backdoor. Ho rimosso 47 backdoor da un solo sito pirateggiato. Il ripristino è costato 12 volte la licenza originale.
3. Non avere un backup testato. Quando serve davvero, scopri che il backup è vuoto. Ho dovuto ricostruire a mano un blog di 600 articoli perché il "backup automatico" salvava solo la home.
4. Ignorare gli avvisi di sicurezza. Wordfence ti dice "c'è un problema" e tu clicchi "dopo". Due settimane dopo Google ti sospende. Riprendere il ranking è lento: ci ho messo sei settimane con un cliente, e non siamo tornati al 100%.
5. Fidarsi del "nulla è successo". Il sito funziona, quindi è tutto ok? No. Il malware spesso sta zitto per mesi prima di agire. Ho trovato backdoor dormienti di oltre un anno.

Se uno di questi ti suona familiare, fermati un attimo. La manutenzione WordPress continuativa che offro copre proprio questi punti: backup testati, aggiornamenti gestiti, monitoraggio delle integrità. Non è un lusso, è l'assicurazione che non paghi due volte.

Fare da soli o chiamare un esperto? Dipende

Sono onesto, senza girarci intorno: se hai un sito vetrina da dieci pagine e ti piace smanettare, puoi fare da solo. La routine di sopra la impari in un pomeriggio. Ho clienti che lo fanno e sono felici.

Ma se il sito è il tuo business — vendite, prenotazioni, lead — la matematica cambia. Ogni ora che il sito sta giù ti costa. Ogni aggiornamento sbagliato è un rischio. E soprattutto: tu non hai il "muscolo" dell'esperienza. Io riconosco un problema in 30 secondi perché l'ho già visto 50 volte. Tu no, e va benissimo così.

Quando conviene davvero delegare:

• Hai un e-commerce e non puoi permetterti downtime
• Non sai cosa sia un "staging" o un "checksum"
• Il sito è cresciuto e non sai più quanti plugin ci sono
• Hai già rotto qualcosa almeno una volta

In tutti questi casi, una consulenza WordPress ti costa meno di un giorno di sito fermo. Non lo dico per vendere: lo dico perché ho visto i numeri veri, mese dopo mese.

Il mio approccio alla manutenzione continuativa

Non faccio "pacchetti a scatola chiusa". Ogni sito ha una vita diversa. Ma il metodo è fisso:

1. Monitoraggio 24/7 dei file e dei login. Se qualcuno tocca wp-config.php di notte, lo so la mattina, non tra due settimane.
2. Backup quotidiani testati su due destinazioni diverse.
3. Aggiornamenti gestiti in staging, mai di venerdì.
4. Report mensile in italiano, senza termini tecnici inutili: cosa ho fatto, cosa ho trovato, cosa conviene fare.

Chi vuole capire perché il supporto costante vale più di una riparazione d'emergenza può leggere cosa penso sull'importanza di avere un supporto WordPress. È il pezzo in cui spiego perché paghi meno se mi chiami prima, non dopo. E se devi ancora costruire le basi, la creazione di un sito web fatto bene parte già con la manutenzione in testa.

Cosa NON fare (le trappole che peggiorano tutto)

Nel corso degli anni ho visto gli stessi errori ripetersi. Evitali, perché trasformano una manutenzione gestibile in un disastro da settimane:

1. Non cliccare "aggiorna tutto" e andare a cena. Se si rompe, lo scopri la mattina dopo. Aggiorna un pezzo alla volta.
2. Non fidarti del plugin "ottimizza tutto" casuale. Ce ne sono decine, molti fanno più danni che altro. Se devi pulire il database, fallo con query che capisci.
3. Non mettere il backup sulla stessa macchina del sito. Se l'hosting va giù, hai perso anche quello.
4. Non ignorare gli avvisi di WordPress. Quel "c'è una versione nuova" non è spam: è la finestra che ti salva da metà degli attacchi.
5. Non pensare che un sito statico non serva manutenzione. Anche così, tema e plugin vanno aggiornati. Il giorno che lo fai dopo due anni, qualcosa si romperà.

Conclusione: la manutenzione è la differenza tra "funziona" e "dormi tranquillo"

Torno al cliente di aprile 2022. Oggi il suo sito lo mantengo io. Non è più andato down una volta sola. Non perché sia magia: perché c'è una routine, e quella routine la eseguiamo ogni mese, punto per punto.

Tu puoi impararla. Oppure puoi fare come lui: affidare la tua assistenza WordPress a chi l'ha già fatta duecento volte. Tutte e due le strade sono legittime. Quella che non lo è è la terza: quella di chi spera che "tanto non si rompe". Si rompe. La domanda è solo quando, e quanto ti costerà quel giorno.

Se vuoi, possiamo partire da una diagnosi gratuita del tuo sito: mi dici l'URL, controllo backup, plugin e sicurezza, e ti dico cosa rischio vedo. Poi decidi tu.