Ho in gestione 76 siti WordPress, e l’11 settembre 2026 li ho fatti controllare tutti insieme da un programma che adesso gira una volta al giorno. Ci ha messo sette minuti e ha contato 813 plugin in attesa di aggiornamento, sommando i 76 siti.
813 è un numero normale per un gruppo di siti dove la manutenzione qualcuno la fa, ma non ogni giorno e non su tutto. Parto da lì per raccontarti cosa vuol dire tenere in piedi un sito WordPress: cosa si controlla, ogni quanto, quanto costa (da 200 € all’anno senza IVA) e cosa si accumula quando non se ne occupa nessuno. I numeri che trovi qui li ho misurati sui siti che seguo.
Manutenzione non vuol dire «aggiornare i plugin»
Il pulsante «Aggiorna» in bacheca lo sa premere chiunque. Se la manutenzione fosse quella, non varrebbe i soldi che costa e potresti farla tu in dieci minuti, il venerdì pomeriggio.
Il lavoro vero comincia dopo. Un aggiornamento di WordPress, del tema o di un plugin cambia il codice che sta sotto pagine costruite anni prima, spesso da persone diverse, con estensioni che dialogano fra loro in modi che nessuno ha mai documentato. Quasi sempre non succede niente. Le altre volte una galleria smette di aprirsi, il modulo di contatto invia ma non consegna, una sezione della home si sposta di venti pixel e da telefono copre il pulsante.
Quindi la manutenzione è tre cose, in quest’ordine: aggiornare, verificare che dopo l’aggiornamento il sito faccia ancora quello che faceva prima, sistemare i conflitti che l’aggiornamento ha creato. La seconda è quella che si salta sempre, ed è quella che distingue un canone da un abbonamento.
Ogni quanto si fa
Sui siti che seguo il giro programmato è tre volte l’anno: aggiornamento di plugin, temi e installazione WordPress, più la verifica che tutto funzioni ancora. In mezzo, ogni mattina, un controllo automatico guarda i siti da fuori (senza entrare e senza credenziali) e mi avvisa solo se trova qualcosa.
Ho scelto tre volte l’anno perché è il punto in cui il costo del lavoro e il rischio di restare indietro si incontrano. Aggiornare tutto ogni settimana vuol dire far pagare un lavoro che quasi sempre non produce niente di visibile. Aggiornare «quando si rompe» vuol dire intervenire nel momento più caro: sito giù e un salto di versione di due anni da fare tutto insieme, ed è proprio così che gli aggiornamenti falliscono.
E se fra un giro e l’altro esce una vulnerabilità grave su un plugin che hai installato, non aspetto il giro successivo: intervengo, ed è compreso nel canone. Il mio lavoro è tenere il sito funzionante, e un sito con una falla aperta non lo è.
Quanto costa
I prezzi che pratico, sempre senza IVA perché sono in regime forfettario:
| Tipo di sito | Prezzo | Cosa comprende |
|---|---|---|
| Sito standard, vetrina o aziendale | da 200 € all’anno | aggiornamento di plugin e WordPress e verifica che tutto funzioni, tre volte l’anno |
| Ecommerce o sito complesso (area riservata, funzionalità particolari) | da 400 € all’anno | lo stesso lavoro, su un sito che ha molte più cose da controllare |
Sono prezzi di partenza, e il conto lo fa salire il sito: quanti plugin ci sono da tenere in riga, quante funzioni vanno riprovate una per una dopo ogni aggiornamento, quante pagine, se c’è un carrello, se c’è un’area riservata. Un sito vetrina di otto pagine e un negozio con duecento prodotti, tre metodi di pagamento e le spedizioni per fasce di peso chiedono un lavoro molto diverso.
Dentro il canone ci stanno anche le piccole modifiche: cambiare un numero di telefono, aggiornare un orario, sostituire una foto. Le modifiche più grandi, come una pagina nuova, una funzione nuova o un restyling, vanno a preventivo separato, e il prezzo lo sai prima che io cominci.
Il canone è annuale perché il lavoro è annuale. Spalmarlo al mese serve soprattutto a far sembrare piccola una cifra, e a rendere difficile capire cosa stai comprando.
Sul backup: quello del provider c’è quasi sempre, ma è una rete che non controlli tu e che a volte tiene pochi giorni. Nel canone ne faccio uno mio, con UpdraftPlus, periodicamente, che si aggiunge al suo. Così le copie sono due, e della seconda so dove sta.
Cosa si controlla, voce per voce
Il controllo quotidiano lavora dall’esterno, come farebbe un visitatore, e guarda: se il sito risponde, se il dominio punta ancora dove deve, se il certificato HTTPS è valido, se compaiono errori del server o pagine non trovate, se c’è un errore di connessione al database, se WordPress dichiara un errore critico, se al posto del sito è comparsa una pagina di parcheggio dell’hosting, se l’account è stato sospeso, se la home è finita in noindex e quale versione di WordPress sta girando.
Il giro periodico entra nel sito e guarda quello che da fuori non si vede: aggiornamenti in attesa, tempo di risposta, scadenza del certificato, blog fermo. Le soglie che fanno suonare un avviso sono tre: più di due secondi per il primo byte, certificato in scadenza entro trenta giorni, blog fermo da oltre centottanta giorni.
Il primo giro serio di controlli, ad agosto 2026, ha tirato fuori roba che nessuno aveva notato: quattro domini che non puntavano più da nessuna parte mentre in calendario c’erano ancora 1.300 € di rinnovi, due certificati rotti, un sito finito in noindex (chiedeva a Google di non mostrarlo, e Google ubbidiva) e due installazioni WordPress ferme alla versione 5.7.
Nessuna di queste cose fa un rumore. Il sito continua ad aprirsi, il proprietario non riceve nessuna segnalazione, e il danno si misura solo dopo, quando qualcuno si accorge che le richieste sono calate e non sa da quando.
Il guasto vero, quasi sempre, non è un plugin da aggiornare
L’8 settembre 2026 ho passato una giornata su un sito di un cliente che ogni tanto rispondeva con un errore 500 e ogni tanto no. Come me ne sono accorto: la risposta di errore tornava vuota e in tre decimi di secondo, troppo in fretta per essere una pagina che qualcuno aveva provato a costruire.
Le tre spiegazioni ragionevoli erano tutte sbagliate: non era il carico del server (altri sette siti sulla stessa macchina rispondevano dieci volte su dieci), non erano i limiti dell’account, non era il pianificatore interno di WordPress.
Come si è sistemato: il log degli errori PHP (che non si vede da WordPress, sta sull’hosting) diceva che il firewall del plugin di sicurezza, caricato prima di WordPress a ogni singola richiesta, chiedeva 8 MB di memoria contro un limite impostato a 64. In trenta giorni erano 2.614 errori fatali: circa una richiesta su tre finiva su un errore, Googlebot compreso. Si è risolto alzando un valore di configurazione dell’hosting.
Tengo quell’episodio come promemoria: un sito che «ogni tanto non va» ha quasi sempre una causa precisa e leggibile, ma il posto dove si legge non è dentro WordPress. Chi fa manutenzione senza accesso anche al pannello dell’hosting si ferma un passo prima della risposta, e apre un ticket generico per un problema che si chiudeva con un campo di configurazione.
Le cose che si accumulano senza rompere niente
Il 12 settembre 2026 stavo cercando perché un server pieno di siti fosse arrivato a 372 GB. Non erano né la posta né i backup: su WordPress ogni immagine caricata genera dai dieci ai dodici file diversi, perché tema e plugin dichiarano ognuno i formati che gli servono. Su un ecommerce che seguo, 4.999 immagini erano diventate circa 55.000 file.
Due cose imparate lì. Ridurre i formati generati fa pesare meno le foto future, non quelle già caricate: per le vecchie serve una rigenerazione, lavoro pesante e da fare fuori orario. E nella libreria media «non allegato» non vuol dire «non usato»: su quel sito quasi duemila immagini su cinquemila non risultavano agganciate a niente, ma Elementor e il CSS le richiamano per indirizzo, e cancellarle in blocco avrebbe rotto le pagine senza nessun avviso.
Stesso discorso per le revisioni degli articoli, che stanno nel database: toglierle alleggerisce le query e i backup, mentre lo spazio su disco quasi non cambia. E lo spazio occupato non è il motivo per cui un sito è lento: le cause vere della lentezza sono altre e si affrontano separatamente.
I siti più vecchi sono quelli che restano fuori
Dei 76 siti che gestisco, tre sono fuori dal giro automatico. Su due il motivo è lo stesso: girano su una versione di WordPress talmente vecchia da non avere il meccanismo che permette a uno strumento esterno di collegarsi in sicurezza, comparso con la versione 5.6. Uno dei due è fermo alla 5.4.
È un piccolo paradosso: i due siti che avrebbero più bisogno di controlli sono proprio quelli che non si riescono a controllare da remoto, e per rimetterli nel giro serve prima un intervento sul cuore di WordPress, che è un lavoro a sé. Se il tuo sito ha qualche anno e nessuno l’ha più toccato può essere il tuo caso: si risolve, ma è un lavoro da mettere in conto prima del canone.
Cosa puoi fare da solo e cosa conviene lasciar stare
Da solo puoi fare la parte che non richiede di scrivere codice, ed è utile che tu la faccia. Dopo ogni aggiornamento, apri il sito e prova cinque cose: la home, una pagina interna, il modulo di contatto, inviandolo come farebbe un cliente e controllando che la mail arrivi, il carrello fino al pagamento se vendi online, l’accesso all’area riservata se ce l’hai. Dieci minuti.
Insisto sul modulo perché è il punto in cui il danno resta invisibile più a lungo: se smette di consegnare non se ne accorge nessuno finché non manca un cliente, e allora non si sa nemmeno da quando. Per lo stesso motivo, nel sistema con cui gestisco i miei siti la macchina interviene da sola solo su sei categorie (aggiornamenti, link rotti, immagini, refusi su testi già approvati, dati strutturati, spam), mentre moduli, checkout, listini, plugin di sicurezza e configurazioni del server restano fuori e li guardo io.
Sull’automazione c’è anche un limite, e visto che di mestiere le costruisco lo racconto. Il 4 settembre 2026 il mio controllo anti-malware mi ha segnalato 31 siti sospetti: erano tutti sani, la regola scambiava per codice nascosto un frammento di Google Tag Manager, che sta su ogni sito tracciato. Un avviso che suona su metà dei siti non lo legge più nessuno, e il giorno che è vero passa liscio. Rifatta la regola, sono tornato a zero segnalazioni su 73 domini, così quando arriva un avviso lo leggo.
Le domande da fare prima di firmare un canone
Tre, e valgono con me come con chiunque altro.
Quante volte l’anno ci mettete le mani e cosa comprende, esattamente. «Assistenza» da sola non vuol dire niente: deve esserci un numero e un elenco.
Se dopo un aggiornamento qualcosa si rompe, chi paga. Nel mio canone la risoluzione dei conflitti nati dall’aggiornamento è compresa, perché è parte dello stesso lavoro. Se non è scritto, chiedilo.
Di chi sono gli accessi. Sito, dominio e hosting sono tuoi anche quando li ho comprati io per comodità tua. Se un fornitore non ti passa le credenziali quando gliele chiedi, ti sta legando a sé.
Prima di chiedere un canone
Due controlli che puoi fare oggi, senza di me. Invia il modulo di contatto del tuo sito come farebbe un cliente e guarda se la mail arriva, controllando anche la posta indesiderata. Poi entra in bacheca e guarda quanti aggiornamenti hai in attesa: se il numero ha tre cifre, o se la versione di WordPress in fondo alla pagina inizia per 5, il sito va rimesso in pari prima di parlare di canone.
Se preferisci che me ne occupi io, la manutenzione parte da 200 € all’anno senza IVA per un sito standard e da 400 € all’anno senza IVA per un ecommerce o un sito con funzionalità particolari: mandami l’indirizzo e ti dico in che stato è prima di farti un preventivo. Se invece stai partendo adesso, quando realizzo un sito web l’assistenza annuale resta opzionale e separata, così vedi cosa paghi; per i negozi online vale lo stesso, con più cose da controllare, e ne parlo nella guida per creare un ecommerce con WooCommerce.
E se prima vuoi solo capire dove sei messo, prenota una prima chiamata conoscitiva: è gratuita, e ti dico cosa va sistemato e in che ordine.
