Molti titolari pensano che un sito, una volta pubblicato, resti com'è finché non lo si cambia. In realtà vive in un ambiente che si muove di continuo: i programmi su cui gira ricevono correzioni di sicurezza, i browser cambiano comportamento, i certificati scadono, i moduli di contatto smettono di funzionare perché un servizio di posta cambia le regole, i testi diventano vecchi. Un sito trascurato non si rompe all'improvviso nel giorno sbagliato per cattiva sorte: arriva a quel giorno per una serie di piccole omissioni. Questa guida mette ordine tra le attività di manutenzione: cosa si controlla, ogni quanto, chi lo può fare e quali segnali indicano che qualcosa non va. Per la parte economica, cioè quali voci tornano ogni anno, c'è la guida su quanto costa mantenere un sito ogni anno; qui parliamo del lavoro, non delle cifre.
Perché un sito ha bisogno di manutenzione
Un sito è composto di strati, e ciascuno ha la sua scadenza.
- Il server (hosting). Il sistema su cui il sito gira viene aggiornato dal fornitore; le versioni dei linguaggi di programmazione, come PHP, hanno un ciclo di vita e quelle vecchie smettono di ricevere correzioni di sicurezza. Un sito fermo su una versione fuori supporto continua a funzionare, finché non smette o non viene attaccato.
- Il programma del sito. Se il sito è costruito con un gestore di contenuti (CMS) come WordPress, il programma e i suoi componenti aggiuntivi (plugin, temi) rilasciano aggiornamenti spesso per correggere vulnerabilità. Ignorarli è la causa più frequente di siti compromessi. Un sito scritto su misura o statico ha meno componenti esterni, ma ha comunque librerie, moduli e servizi collegati.
- I servizi collegati. Moduli di contatto, mappe, sistemi di prenotazione, pagamenti, newsletter, statistiche: dipendono da servizi di terzi che cambiano condizioni, versioni e requisiti.
- I contenuti. Orari, indirizzi, prodotti, prezzi, persone, foto. Un sito con "Ultime novità" ferme a tre anni fa comunica trascuratezza anche se funziona benissimo.
- Le regole. Informativa sulla privacy, cookie, accessibilità, dati obbligatori dell'azienda: la normativa evolve e i testi vanno rivisti, come spiegato nella guida su GDPR e sito web.
Le attività di manutenzione, con la frequenza che consigliamo
| Attività | Cosa si fa | Frequenza tipica |
|---|---|---|
| Aggiornamenti di sicurezza | Si aggiornano programma, temi e plugin dopo averli provati su una copia; si controlla che il sito funzioni ancora. | Almeno ogni mese; quelli critici appena escono |
| Copie di sicurezza | Si salvano file e database in un luogo diverso dal server; si prova di tanto in tanto a ripristinarle. | Automatiche, giornaliere o settimanali secondo quanto cambia il sito |
| Controllo del certificato e del dominio | Si verifica la scadenza del certificato HTTPS e del dominio, e che i rinnovi automatici abbiano le carte di pagamento valide. | Controllo trimestrale, avvisi automatici |
| Prova dei moduli | Si invia un messaggio di prova e si verifica che arrivi nella casella giusta, non nello spam. | Ogni mese o dopo ogni modifica alla posta |
| Collegamenti rotti | Si cercano link interni ed esterni che portano a pagine non più esistenti. | Ogni trimestre |
| Velocità e uso da telefono | Si misura il tempo di caricamento e si corregge ciò che è peggiorato: immagini pesanti, script inutili. | Ogni semestre |
| Contenuti e dati di contatto | Si controllano orari, telefoni, persone, prodotti, offerte scadute. | Ogni trimestre e a ogni cambiamento reale |
| Cookie, privacy e dati obbligatori | Si rivedono banner, informativa, elenco dei servizi di terzi realmente usati. | Almeno una volta l'anno e a ogni nuovo servizio |
| Presenza su Google | Si guarda Search Console per errori di indicizzazione, pagine escluse, avvisi di sicurezza. | Ogni mese |
La frequenza è indicativa e dipende dal tipo di sito: un sito vetrina con poche pagine statiche richiede meno cura di un negozio online dove cambiano prodotti, prezzi e disponibilità ogni giorno. Il punto non è seguire un calendario rigido, ma sapere che esiste e che qualcuno è incaricato di rispettarlo.
Aggiornare senza rompere il sito
Gli aggiornamenti sono il lavoro più delicato, perché correggono falle ma possono anche entrare in conflitto con altri componenti. Un metodo prudente è questo:
- Copia di sicurezza completa prima di toccare qualsiasi cosa, scaricata anche fuori dal server.
- Prova su una copia del sito (ambiente di prova) quando le modifiche riguardano componenti importanti, per esempio il motore di un negozio online.
- Aggiornamenti uno alla volta o per gruppi piccoli, non tutti insieme: se qualcosa si rompe, si capisce subito quale è la causa.
- Controllo delle funzioni chiave: home, pagine principali, modulo di contatto, carrello e pagamento se c'è, ricerca, area riservata, aspetto da telefono.
- Registro delle modifiche: data, cosa è stato aggiornato, da quale versione a quale, esito. Sembra burocrazia, serve quando dopo tre mesi qualcosa non va e bisogna capire quando è cambiato.
I componenti abbandonati dallo sviluppatore sono un caso particolare: se un plugin non riceve più aggiornamenti da tempo, la scelta è sostituirlo con uno attivo o rimuoverlo. Lasciarlo "perché funziona" significa tenere una porta socchiusa.
Copie di sicurezza: non bastano quelle del fornitore
Molti servizi di hosting offrono copie automatiche. Sono utili, ma vanno considerate una rete di salvataggio e non una strategia completa. Tre domande da farsi: dove sono conservate (se sullo stesso server, un guasto o un attacco le porta via con il sito), quanto indietro arrivano (se la copia più vecchia è di sette giorni, si possono perdere ordini e messaggi di una settimana), e se qualcuno ha mai provato davvero un ripristino. Un salvataggio mai provato è una speranza, non un backup: lo stesso principio vale per qualsiasi sistema, come spiegato nella guida su come testare il ripristino dei backup. Per i siti in cui entrano ordini, prenotazioni o iscrizioni conviene un salvataggio più frequente del database, perché i dati cambiano di continuo.
Sicurezza: le basi che prevengono la maggior parte dei guai
- Password robuste e diverse per hosting, pannello del sito, posta, dominio. Un gestore di password aiuta a non riusarle.
- Autenticazione a due fattori sugli accessi di amministrazione, dove è disponibile.
- Utenti con i permessi giusti. Chi scrive articoli non deve poter installare programmi. Gli account di ex collaboratori o di fornitori finiti vanno chiusi subito.
- Connessione cifrata (HTTPS) su tutto il sito, con reindirizzamento da http.
- Protezione dei moduli contro l'invio automatico di messaggi spazzatura, con strumenti che non peggiorino l'esperienza dei visitatori reali.
- Controllo dei file sospetti e delle modifiche non autorizzate: se compaiono pagine che non hai creato, specie con testi in altre lingue o su farmaci e scommesse, il sito è stato compromesso.
Quando il sito viene attaccato, il quadro cambia da manutenzione a emergenza: si isola il sito, si ripristina una copia pulita, si cambiano tutte le credenziali, si cerca la causa e si corregge. Se il sito è collegato a una casella di posta aziendale, controlla anche quella: la guida sulla email aziendale hackerata spiega i passi.
Segnali da non ignorare
- Il sito mostra un avviso "non sicuro" nel browser: certificato scaduto o contenuti misti.
- Le email dal modulo non arrivano più, o arrivano con giorni di ritardo.
- Il sito diventa improvvisamente più lento senza che sia cambiato nulla.
- Compaiono nei risultati di Google titoli strani con il tuo indirizzo.
- Il fornitore di hosting comunica la fine di una versione e non è stata fatta alcuna migrazione.
- Il tuo sito non si vede bene sul telefono nuovo del cliente, che ti ha chiamato per dirtelo.
Chi se ne deve occupare
Ci sono tre scenari. Il primo è la manutenzione fatta da chi ha realizzato il sito, con un incarico chiaro su cosa include, tempi di risposta e come comunicare un problema. Il secondo è la manutenzione interna, quando in azienda c'è una persona con le competenze e l'accesso a tutto: funziona, ma crea dipendenza da quella persona, e se lascia l'azienda servono credenziali e istruzioni scritte. Il terzo è non fare nulla fino al problema: spesso è la scelta più costosa, perché un ripristino d'urgenza di un sito attaccato o fermo costa più di anni di controlli regolari.
In ogni caso, il sito deve essere tuo: dominio intestato all'azienda, accesso all'hosting e al pannello nelle tue mani, copie dei file. Lo spieghiamo meglio nella guida sul sito di proprietà del cliente. Se chi lo gestisce sparisce, devi poter passare a un altro senza ricominciare da capo.
Cosa succede se non si fa manutenzione: tre esempi
- Un negozio online con un plugin non aggiornato. Una vulnerabilità nota viene sfruttata, il sito mostra pubblicità sospette ai visitatori e Google lo segnala come pericoloso. Per qualche giorno le vendite si fermano e il sito perde posizioni che richiederanno tempo per tornare.
- Un sito vetrina senza controlli. Il modulo di contatto smette di funzionare dopo un cambio del servizio di posta. Per mesi nessuno scrive "per sbaglio" e nessuno se ne accorge: le richieste vere sono andate perse.
- Un sito di studio professionale con orari vecchi. Telefono cambiato, orari di apertura non corretti, un professionista che non lavora più nello studio ma compare ancora. I clienti telefonano a un numero inesistente e pensano che lo studio abbia chiuso.
Sono esempi di situazioni tipiche, non casi di clienti: capitano molto spesso e quasi sempre si sarebbero evitate con un controllo semplice.
Un piano di manutenzione semplice da adottare
- Fai l'inventario: dominio (dove è registrato, chi è l'intestatario, scadenza), hosting, programma usato, componenti aggiuntivi, servizi collegati, caselle di posta.
- Segna le scadenze in un calendario condiviso: dominio, certificato, hosting, licenze di eventuali componenti a pagamento.
- Decidi chi fa cosa: chi aggiorna, chi controlla i moduli, chi aggiorna i contenuti, chi è avvisato in caso di problema.
- Prepara le istruzioni di emergenza: a chi telefonare se il sito è fermo, dove sono le copie, quali credenziali servono.
- Rivedi tutto ogni anno, con un controllo completo e un confronto fra ciò che il sito dice e ciò che l'azienda fa oggi.
Manutenzione dei siti con Faberweb
Per i siti che realizziamo, e anche per siti fatti da altri, ci occupiamo di aggiornamenti, copie di sicurezza, controllo di certificato e dominio, prova dei moduli e correzione di problemi. Il dominio viene registrato a nome del cliente, non a nostro: il sito è tuo e resta tuo. Le versioni base dei nostri siti sono Web Four a 450 € e Six Four a 550 € + IVA; la manutenzione non ha un listino fisso, perché dipende da quanto è complesso il sito e da cosa serve controllare, e la quantifichiamo con un preventivo dopo averlo visto. Lavoriamo in tutto il Nord e il Centro Italia, in gran parte da remoto.
Il primo incontro conoscitivo di persona è gratuito entro 30 km su strada da Lodi Vecchio (puoi verificare la distanza sulla pagina calcola la distanza); oltre, le spese di uscita sono a carico del cliente oppure ci sentiamo in videochiamata. Dettagli sulla pagina Siti web. Contattaci: 0371 464 186, 347 368 2954 o il modulo contatti.
Domande frequenti
Un sito statico ha bisogno di manutenzione?
Meno di un sito con gestore di contenuti, ma sì: dominio e certificato scadono, il server va aggiornato, i moduli di contatto dipendono da servizi esterni e i contenuti invecchiano. Cambia l'intensità, non la necessità.
Posso aggiornare WordPress da solo con un clic?
Spesso sì, ma senza una copia di sicurezza e senza controllare dopo, è un rischio. Un aggiornamento che entra in conflitto con un componente può rendere il sito inutilizzabile. Se il sito è importante, fai prima una copia e prova le funzioni principali.
Ogni quanto devo fare il backup del sito?
Dipende da quanto cambia. Per un sito vetrina che si aggiorna raramente basta una copia settimanale; per un negozio online o un sito con prenotazioni serve una copia del database almeno giornaliera. Conta anche dove sono salvate: devono stare fuori dal server del sito.
Come faccio a sapere se il sito è stato attaccato?
Segnali tipici: avvisi di pericolo nel browser, pagine che non hai creato, reindirizzamenti verso altri siti, risultati di Google con titoli strani, lentezza improvvisa. In caso di dubbio non cancellare nulla: chiama chi gestisce il sito, perché servono le tracce per capire come sono entrati.
Il sito è fatto da un fornitore che non risponde più: cosa faccio?
Per prima cosa verifica a chi è intestato il dominio e dove è ospitato il sito: se risultano a tuo nome, puoi passare a un altro professionista. Poi recupera i file e le credenziali. Se il dominio è intestato al fornitore, il recupero è più complesso e conviene farsi aiutare.
La manutenzione è obbligatoria per legge?
Non esiste un obbligo di manutenzione in sé, ma ci sono obblighi che la richiedono di fatto: sicurezza dei dati personali (GDPR), informativa e cookie aggiornati, dati obbligatori dell'impresa sul sito e, per alcuni soggetti, requisiti di accessibilità. Un sito lasciato senza cure può quindi mettere l'azienda in difetto.