In sintesi: I plugin sono la parte di WordPress dove si concentrano quasi tutte le vulnerabilità note, quindi vanno aggiornati con regolarità. Farlo alla cieca, però, può bloccare il sito. Il metodo che uso sui siti che gestisco: backup completo, un plugin alla volta, controllo delle pagine principali dopo ogni passaggio. Gli aggiornamenti automatici hanno senso solo per i siti che nessuno guarda.
Se hai un sito WordPress, vedi spesso il numerino rosso accanto ad Aggiornamenti. La tentazione è cliccare su tutto, oppure attivare l’automatico e dimenticarsene. Sono due scelte comprensibili e nessuna delle due è priva di rischi. Questo articolo è per chi ha un sito aziendale o uno studio professionale e vuole capire come muoversi senza trasformare ogni aggiornamento in una scommessa.
Perché i plugin vanno aggiornati
Gli aggiornamenti correggono errori e chiudono falle di sicurezza. Il punto è dove stanno le falle. Secondo il rapporto di Patchstack sulla sicurezza di WordPress nel 2026, il 91% delle nuove vulnerabilità emerse nel 2025 riguardava i plugin e il 9% i temi. Il cuore di WordPress è la parte meno esposta, mentre le estensioni installate sopra sono quella che richiede più attenzione.
Il rapporto segnala anche che le vulnerabilità facilmente sfruttabili sono aumentate rispetto all’anno prima. Tradotto: lasciare un plugin vecchio per mesi non è pigrizia innocua, è una porta socchiusa.
Il rischio opposto: aggiornare senza controllo
Un aggiornamento può cambiare il comportamento di un plugin, entrare in conflitto con il tema o con un altro plugin, oppure richiedere una versione di PHP che l’hosting non offre. Succede poco, ma quando succede il sito può smettere di funzionare proprio mentre nessuno lo sta guardando.
Le guide serie sull’argomento convergono sulle stesse cautele: fare un backup prima di aggiornare, controllare il changelog, aggiornare un plugin alla volta e verificare che il sito funzioni dopo ogni passaggio. Alcune consigliano di lasciar passare qualche giorno dal rilascio, così da leggere in rete eventuali problemi segnalati da altri.
Automatico o manuale: come scegliere
Non esiste una risposta unica, e chi la dà con troppa sicurezza sta semplificando. Io ragiono così:
- Sito vetrina poco toccato, senza form o vendite. L’automatico limita il danno di un plugin dimenticato, ma serve almeno un controllo periodico.
- Sito che raccoglie contatti, prenotazioni o ordini. Meglio manuale, con backup. Un form rotto per tre giorni costa più di un aggiornamento fatto una settimana dopo.
- Plugin critici (e-commerce, pagamenti, form). Mai in automatico, sempre uno alla volta e con prova dell’operazione chiave, per esempio l’invio di un messaggio di prova.
- Aggiornamenti minori del core di WordPress. Di norma si installano da soli e di solito sono correzioni di sicurezza, quindi le lascio fare.
Cosa ho imparato sui siti che gestisco
Gestisco più siti WordPress, per studi professionali e attività diverse, e i problemi ricorrenti ruotano attorno a plugin, cache e hosting. Mi è capitato che l’aggiornamento automatico di un plugin causasse un blocco serio su un sito che seguivo. Da quel giorno aggiorno a mano.
La mia routine è semplice: faccio un backup, aggiorno un plugin alla volta, apro le pagine principali e provo ciò che conta per quel sito, per esempio il modulo di contatto. Solo dopo passo al plugin successivo. Richiede più tempo dell’automatico, ma se qualcosa si rompe so con precisione quale aggiornamento è stato.
Una procedura da seguire
- Controlla in Bacheca, sezione Aggiornamenti, che cosa è in attesa.
- Fai un backup completo di file e database e verifica che sia scaricabile.
- Leggi il changelog del plugin: cerca modifiche importanti o requisiti nuovi.
- Aggiorna un plugin, poi apri la home, una pagina interna e il modulo di contatto.
- Se è tutto a posto passa al successivo. Se qualcosa non va, disattiva quel plugin e ripristina il backup.
- Elimina i plugin che non usi: ogni estensione in meno è un punto in meno da sorvegliare.
Quando conviene farselo fare
Se non hai tempo o non vuoi rischiare, ha senso delegare. Questo lavoro fa parte di ciò che si intende per manutenzione del sito, come spiego nell’articolo su cosa c’è dietro un sito e perché la manutenzione mensile non è un lusso. Il mio piano base parte da 150 euro al mese: comprende aggiornamenti di WordPress, tema e plugin, backup giornalieri, monitoraggio di sicurezza e disponibilità, un monte ore mensile per le modifiche ai contenuti e un report sintetico. Hosting e dominio restano a carico del cliente, e c’è un impegno minimo di sei mesi.
Se stai ancora decidendo su quale piattaforma costruire, trovi un confronto onesto in quando un sito WordPress conviene davvero.
Domande frequenti
Gli aggiornamenti automatici dei plugin WordPress sono sconsigliati?
Non sempre. Per un sito che nessuno controlla mai, l’automatico è meglio di un plugin fermo per mesi. Per un sito che porta clienti conviene aggiornare a mano, con un backup alle spalle, perché un errore va visto subito e non dopo giorni.
Ogni quanto vanno aggiornati i plugin?
Un controllo settimanale è un buon ritmo per un sito aziendale. Gli aggiornamenti di sicurezza non vanno lasciati in attesa, mentre quelli che cambiano funzioni possono aspettare qualche giorno e un backup fresco.
Cosa faccio se un plugin aggiornato blocca il sito?
Se riesci ancora a entrare in WordPress, disattiva il plugin appena aggiornato. Se il pannello non risponde, rinomina la cartella del plugin dal pannello dell’hosting o via FTP, poi ripristina il backup se serve. Un backup recente rende tutto più semplice.
Quanti plugin dovrebbe avere un sito WordPress?
Il minimo che serve davvero. Ogni plugin in più è codice da aggiornare e da tenere sotto controllo, quindi quelli inutilizzati vanno eliminati, non solo disattivati.
Conclusione
Apri oggi la sezione Aggiornamenti del tuo sito e conta quanti plugin aspettano da più di un mese. Se sono tanti, fai prima un backup, poi procedi con calma. E se preferisci che se ne occupi qualcuno, scrivimi dalla pagina web designer a Milano e guardiamo insieme lo stato del tuo sito.
