Il sito è online. Bene. Ora inizia il lavoro vero

Capisco perché tanti clienti la pensano così. Hai aspettato settimane, hai visto il sito prendere forma, l'hai approvato, è live. Sembra la fine di un percorso. Invece è l'inizio di un altro, diverso: quello in cui il sito deve continuare a funzionare, essere sicuro e restare aggiornato, mentre il mondo intorno a lui cambia. Vediamo cosa significa davvero, senza fronzoli.

Il sito online basta a se stesso, o serve manutenzione dopo la consegna?

Dipende da cosa hai messo online. Un sito statico in HTML puro, senza database e senza plugin, può restare fermo per anni senza troppi drammi. Ma un sito WordPress con dieci plugin, un tema aggiornato ogni mese e un modulo di contatto collegato a Mailchimp? Quello è un organismo vivo, non una scultura.

Faccio un esempio concreto. Immagina un centro di fisioterapia che si è fatto fare un sito con WordPress, YOOtheme come builder e un plugin per le prenotazioni online. Al momento della consegna tutto funziona alla perfezione. Sei mesi dopo, il plugin delle prenotazioni rilascia un aggiornamento perché ha corretto una falla di sicurezza. Se nessuno lo aggiorna, quella falla resta aperta. Non è un'ipotesi remota, è la normalità di come funziona il software.

Un sito online che nessuno guarda più non è "finito". È un sito abbandonato che aspetta solo il momento giusto per creare un problema.

Cosa vuol dire davvero "aggiornamento" di un sito?

Qui la gente immagina qualcosa di astratto. In realtà sono tre livelli diversi, e vanno tenuti separati perché rispondono a esigenze diverse.

Il core, cioè il cuore del CMS (WordPress o Joomla), va aggiornato perché ogni versione corregge bug e vulnerabilità. I plugin e i temi, che sono i mattoncini che aggiungono funzioni (form, gallerie, SEO, builder come YOOtheme), vanno aggiornati con più attenzione perché a volte un aggiornamento rompe qualcosa che prima funzionava. E poi c'è il livello che nessuno considera: PHP e il server, l'ambiente tecnico su cui tutto gira, che l'hosting aggiorna in autonomia e che può mandare in crash un sito costruito su codice vecchio.

Il punto scomodo è questo: aggiornare "a caso", senza controllare cosa succede dopo, è quasi peggio che non aggiornare affatto. Ho visto siti andare offline per un aggiornamento fatto di fretta, senza backup pronto, un sabato pomeriggio. Aggiornare bene richiede un backup prima, un controllo dopo, e qualcuno che sappia cosa guardare se qualcosa si rompe.

Aggiornare non è un pulsante da cliccare. È una procedura, e le procedure senza controllo sono solo scommesse.

Quanto è reale il rischio sicurezza per un sito "piccolo"?

Molto più reale di quanto pensi, e la ragione è semplice: quasi nessun attacco a un piccolo sito è mirato a te. Sono script automatici che scansionano milioni di siti WordPress alla ricerca di versioni vecchie con vulnerabilità note. Non sanno chi sei, non gli interessa. Gli interessa solo trovare una porta aperta.

Esempio: una libreria indipendente con un sito WordPress fermo da due anni, plugin non aggiornati, nessun antispam attivo. Un giorno il modulo commenti inizia a riempirsi di link a farmacie online e casinò. Non è un hacker che ha preso di mira la libreria. È un bot che ha trovato un plugin vulnerabile e ha automatizzato lo spam. Risultato: il sito viene penalizzato da Google, la reputazione del dominio ne risente, e sistemare tutto costa molto più di una manutenzione mensile fatta per tempo.

La sicurezza non è un accessorio per siti "importanti". È l'igiene di base per qualsiasi sito che sta online, punto.

Manutenzione fai-da-te o retainer con chi ha costruito il sito: cosa cambia davvero?

Dipende da quanto tempo, competenza e voglia di rischiare hai tu. Se sei un cliente che sa entrare nel pannello WordPress, capisce cosa sta aggiornando e ha tempo per farlo con calma, il fai-da-te può funzionare, almeno per un po'.

Ma qui il costo nascosto è reale e va detto chiaro: quando qualcosa si rompe — un aggiornamento che manda in conflitto due plugin, un tema che smette di renderizzare una sezione — tu non sai leggere l'errore. Cerchi su Google, provi soluzioni a caso trovate su un forum, nel frattempo il sito resta rotto o vulnerabile per giorni. Chi ha costruito il sito, invece, sa dove guardare in due minuti perché conosce quella struttura, quei plugin, quelle scelte fatte in fase di sviluppo.

Un retainer di manutenzione non è un abbonamento per farmi contento. È il modo per avere qualcuno che, quando qualcosa si rompe, lo sa risolvere prima che diventi un problema visibile ai tuoi clienti.

Quanto costa davvero non fare manutenzione?

Meno all'inizio, molto di più dopo. Questa è la parte scomoda che pochi vogliono sentire.

Un sito compromesso da recuperare, con dati persi o rubati, costa in media molto più di anni di manutenzione preventiva. E non parlo solo di soldi: parlo di giorni di sito offline, di email finite nello spam perché il dominio è stato segnalato, di clienti che provano a prenotare e trovano un errore 500.

La manutenzione preventiva non elimina il rischio. Lo riduce e lo rende gestibile, e soprattutto lo rende prevedibile: sai quanto costa ogni mese, invece di scoprire quanto costa un disastro solo quando arriva.

Risparmiare sulla manutenzione è come non cambiare l'olio all'auto perché "va ancora". Va, finché non si ferma.

Se il tuo sito è online da un po' e non sai bene chi lo controlla, o se te l'ho consegnato io tempo fa e non ricordi l'ultima volta che qualcuno ci ha messo mano, è il momento giusto per farsi due domande semplici: chi aggiorna cosa, e cosa succede se qualcosa si rompe di notte. Se vuoi, ne parliamo insieme e vediamo cosa serve davvero per il tuo caso specifico, senza venderti niente che non ti serve.