WordPress è un sistema composto da tre livelli: il nucleo, il tema che definisce l’aspetto e i plugin che aggiungono funzioni. Ognuno riceve aggiornamenti con correzioni di sicurezza, miglioramenti e nuove funzioni. Rimandarli a lungo aumenta il rischio, ma installarli tutti insieme senza controllo può creare incompatibilità difficili da diagnosticare.
Perché gli aggiornamenti contano
La maggior parte delle vulnerabilità sfruttate sui siti WordPress riguarda plugin non aggiornati, spesso a distanza di settimane o mesi dalla pubblicazione della correzione. Gli attacchi sono automatizzati: programmi che scansionano migliaia di siti alla ricerca di versioni vulnerabili note. Non serve essere un bersaglio importante per essere colpiti.
Il metodo consigliato
- Backup completo di file e database, verificato e conservato fuori dal server.
- Lettura delle note di versione per gli aggiornamenti principali, alla ricerca di cambiamenti importanti.
- Prova in un ambiente di staging, una copia del sito non pubblica, per gli aggiornamenti più delicati.
- Ordine corretto: prima i plugin, poi il tema, infine il nucleo, oppure secondo le indicazioni degli sviluppatori.
- Verifica finale delle pagine principali, dei moduli di contatto e delle eventuali funzioni di vendita.
WordPress applica in automatico gli aggiornamenti di sicurezza minori del nucleo. Per plugin e temi gli aggiornamenti automatici sono comodi sui siti semplici, ma su siti con molte personalizzazioni è più prudente un controllo manuale.
Ogni quanto intervenire
Per un sito aziendale un controllo settimanale o quindicinale è un buon ritmo. Le correzioni di sicurezza critiche vanno applicate appena possibile, anche fuori dal calendario. Un registro degli interventi, anche semplice, aiuta a capire cosa è cambiato se dopo qualche giorno emerge un problema.
I controlli dopo l’aggiornamento
- Il sito si apre correttamente da computer e smartphone.
- I moduli inviano e le e-mail arrivano a destinazione.
- Il pulsante WhatsApp e i numeri di telefono funzionano.
- Il pannello di amministrazione non mostra errori.
- La velocità di caricamento non è peggiorata.
Quando un plugin non viene più aggiornato
Un plugin abbandonato dal suo sviluppatore smette di ricevere correzioni. Va sostituito con un’alternativa mantenuta o, se la funzione è semplice, eliminato. Meno plugin significa meno superficie di attacco e meno aggiornamenti da seguire.
Un esempio
Un centro estetico aveva un sito fermo da due anni con dodici plugin, tre dei quali abbandonati. Dopo il backup, la sostituzione dei plugin non più mantenuti e l’aggiornamento progressivo in staging, il sito è tornato aggiornato senza interruzioni e oggi viene controllato ogni due settimane.
Domande frequenti
Posso aggiornare tutto con un solo clic?
Tecnicamente sì, ma se qualcosa si rompe è più difficile capire quale aggiornamento ha causato il problema.
Cosa faccio se il sito non si apre dopo un aggiornamento?
Si ripristina il backup o si disattiva il plugin responsabile tramite l’accesso ai file del server.
Anche il PHP del server va aggiornato?
Sì, le versioni di PHP non più supportate non ricevono correzioni di sicurezza.
I siti CMXD WebStart nascono con pochi componenti essenziali; manutenzione e aggiornamenti sono inclusi solo se previsti nel contratto. Per una verifica del tuo WordPress, richiedi un’analisi gratuita.
