Consulenza digitale Marche: come verificare cosa stai pagando

Se paghi una consulenza digitale o gestisci da anni un sito aziendale, probabilmente non sai esattamente cosa stai comprando ogni mese: se il tuo provider controlla davvero il dominio, dove sono fisicamente i server, se il sito è protetto da attacchi, quanto traffico reale genera. Questo non è colpa tua. La cosa concreta è che una consulenza digitale seria inizia sempre da un audit verificabile: uno sguardo trasparente all'infrastruttura che c'è già, ai costi effettivi, alle falle di sicurezza e alle opportunità perse. Una PMI marchigiana su tre scopre, facendo questo step, che sta pagando servizi che non conosce, o che non servono più.

In breve: un audit digitale è la foto reale del tuo sistema. Ti dice il proprietario del dominio, lo stato di hosting e DNS, i rischi di sicurezza, come il sito compare su Google, se la manutenzione è fatta. Non è una relazione di 50 pagine: è una checklist operativa e dei numeri verificabili. Da lì parte una consulenza che costa e produce risultati misurabili, non promesse.

Cosa guarda un audit digitale serio

Un audit digitale non è una verifica di stile. Guarda sei aree concrete: proprietà del dominio, hosting e server, sicurezza, performance e SEO, infrastruttura email, stato del CMS e manutenzione.

Per ogni area, l'audit risponde a domande specifiche. Chi controlla il dominio oggi? È registrato a nome della tua azienda o del provider? Dove vive il sito fisicamente (il datacenter)? Quali sono i DNS e chi li gestisce? Il sito ha un certificato SSL valido? Quanti plugin WordPress obsoleti girano in background? L'email aziendale è configurata correttamente o finisce in spam? Quando è stato fatto l'ultimo backup e chi lo controlla? Quanto traffic reale viene da Google, da quali ricerche, e quanto viene perso per traffico da AI?

Un audit serio non usa promesse: usa screenshot, numeri e accessi verificabili. Se sentirai frasi tipo "il sito è lento, bisogna rifare tutto", quella non è consulenza, è una spinta alla vendita. Un audit concreto dice: "la homepage carica in X secondi, la media del settore è Y secondi, le cause risolvibili sono queste tre".

Dominio: chi lo controlla davvero

Il dominio è il tuo bene fisso digitale. Se non lo controlli, il resto non importa.

Puoi verificarlo subito: vai su whois.com, scrivi il tuo dominio (es. miosite.it) e guarda il nominativo del proprietario registrato. Se vedi il nome del provider o dell'agenzia, il dominio non è tuo legalmente. Se un giorno cambiate rapporto, loro lo portano via. È così semplice, e accade ancora in molte PMI marchigiane.

L'audit verifica tre aspetti:

• Intestatario: deve essere l'azienda o il titolare legale, non il provider. Se non lo è, il primo step è trasferire il dominio al tuo nome.
• Rinnovo automatico: deve essere attivo. Se scade per un mese, chiunque lo compra, e il sito sparisce.
• DNS autorizzati: chi può modificare gli indirizzi IP del sito, dell'email, dei certificati? Se la risposta è "il provider e basta", il tuo control non esiste.

Un audit buono ti consegna lo screenshot delle impostazioni Whois e un file di backup delle impostazioni DNS. Se il provider resiste, è un segnale.

Hosting e server: dove vive il sito

L'hosting non è una cosa astratta: è un server fisico, da qualche parte nel mondo, che tiene acceso il tuo sito 24 ore al giorno.

L'audit verifica:

• Posizione del datacenter: i server sono in Italia, in Europa o negli USA? È importante per GDPR, velocità, e disaster recovery.
• Tipo di hosting: è un server condiviso (con altri 100 siti), un server dedicato, o un cloud scalabile? Il prezzo cambia di 10 volte, e la performance anche.
• Backup e disaster recovery: se il server brucia, il sito è perso? I backup dovrebbero essere almeno due, su due posti diversi, e automatici. Se non li hai documentati, non li hai.
• Uptime garantito: qual è la percentuale di tempo che il sito deve stare online? Il 99,5% è il minimo; il 99,9% è già buono. Se il provider non lo garantisce per iscritto, non conta.

Uno strumento gratuito come Quanto ci mette Google a indicizzare un sito può dirti se il sito è raggiungibile. Ma l'audit entra dentro il pannello di controllo e verifica i log del server: se il sito è stato giù anche una volta al mese, vedrai i record.

Sicurezza: le falle che costano

La sicurezza non è un bonus, è il fondamento. Se il sito viene bucato, i dati dei clienti spariscono, l'email aziendale viene compromessa, e il ripristino costa decine di migliaia di euro.

L'audit verifica:

• Certificato SSL: il sito inizia con "https://" o "http://"? Solo HTTPS è sicuro. Il certificato è valido o scaduto? Un certificato scaduto (ancora raro, ma accade) blocca i browser moderni.
• WordPress e plugin: quanti plugin gira il tuo sito? Se sono più di 15, il numero è già un rischio. L'audit guarda quali sono obsoleti, abbandonati dal developer, o hanno vulnerabilità note. Nel 2026, le vulnerabilità PHP critiche sono una realtà concreta: vedi Vulnerabilità PHP critiche: aggiorna subito il tuo sito.
• Accessi admin: quanti account amministratore ha il sito? Se il provider ne ha uno e tu non sai la password, lui ha il controllo totale. L'audit crea una lista di chi dovrebbe avere accesso, e chi invece è morto da anni.
• Web Application Firewall (WAF): il sito è protetto da un firewall che blocca gli attacchi più comuni? O è esposto al traffico Internet senza filtri?

Un audit di sicurezza serio corre anche una scansione di malware con tool come Wordfence o Sucuri. Non è una garanzia, ma vede il 90% dei problemi comuni.

Performance e SEO: quanto è visibile il sito

Un sito bello e inutile è denaro bruciato. L'audit guarda sia la velocità tecnica che la visibilità online.

Performance: usa un tool gratuito come Google PageSpeed Insights. La homepage è veloce o lenta? Su mobile è diverso che su desktop? Quanto traffico potrebbe aumentare se il sito fosse più veloce è una domanda che non ha risposta senza dati, ma il numero di "cumulative layout shift" o "first input delay" dice la qualità tecnica.

SEO: un audit SEO guarda quali parole chiave il sito raggruppa, quante pagine sono indicizzate da Google, quali parole portano traffico e quali sono perse. Una PMI di manifattura che non compare su "servizi + zona geografica" locale sta buttando via clienti a portata di mano. Leggi SEO locale 2026: dominare le ricerche "vicino a me" per vedere quanto è concreto il tema.

L'audit fornisce uno screenshot della Google Search Console (il posto dove Google parla con te di cosa vede il sito) e una lista delle prime 50 parole chiave che portano traffico. Se il numero è minore di 10, il sito è invisibile al mercato.

Email aziendale e reputazione digitale

L'email è parte dell'infrastruttura digitale. Se finisce in spam, i clienti non leggono nulla.

L'audit verifica:

• Configurazione SPF, DKIM, DMARC: sono tre impostazioni DNS che dicono ai server email mondiali "questa email viene davvero da noi, non è un falso". Leggi SPF, DKIM e DMARC: perché le email della tua azienda finiscono in spam (e come rimediare) per i dettagli. Se non sono configurati, il 10-30% delle email sparisce nella cartella spam.
• Numero di domini email: se usi miosite.it per il sito e info@miosite.it per l'email, tutto bene. Se usi info@gmail.com aziendale, non hai reputazione digitale: i clienti non ti vedono come un'azienda formale.
• Blacklist: il vostro dominio email è finito in una blacklist globale per spam? Succede anche a aziende serie, di solito per un dipendente che manda newsletter senza consenso o per un account bucato. Un audit controlla URIBL, Spamhaus, e le principali liste di blocco.

Un tool gratuito come MXToolbox fa questi controlli in due minuti.

CMS, plugin e manutenzione programmata

WordPress è usato dal 43% dei siti mondo. Non è l'unico CMS, ma è il più comune nelle PMI.

L'audit verifica:

• Versione di WordPress: è aggiornato all'ultima versione stabile o ha uno, due, tre major update in sospeso? Un major update fermo è un rischio. Leggi Aggiornare WordPress rompe il sito?.
• Plugin e temi: quali sono attivi, quali mai usati, quali obsoleti? L'audit propone di disinstallare tutto quello che non serve. Meno plugin = meno superficie di attacco.
• Backups programmati: il CMS fa backup automatici? Quando? Su dove? Se la risposta è "il provider dice che li fa, ma non li abbiamo mai testati", allora il backup non esiste finché non lo recuperi e vedi che funziona.
• Log degli accessi: chi ha accesso al CMS? Quando è stato l'ultimo login? Se ci sono account fantasma con password di tre anni fa, sono un rischio.

L'audit consegna una lista di plugin raccomandati (pochi) e una lista di quelli da rimuovere.

Checklist operativa per una PMI marchigiana

1. Accedi al Whois e verifica il proprietario del dominio: vai su whois.com, scrivi il dominio e guarda il nominativo. Deve essere l'azienda o il titolare, non il provider. Se no, fai richiesta di trasferimento.
2. Controlla i DNS attuali: da un browser accedi al pannello di controllo del dominio (solitamente da GoDaddy, Register.it, o il provider). Nota l'indirizzo IP primario (verso dove punta il sito). Se non sai come fare, chiedi al provider di mandarti uno screenshot annotato.
3. Verifica il certificato SSL: apri il sito su Chrome, clicca il lucchetto a sinistra della URL, clicca "Dettagli della connessione", "Certificato". Vedi la data di scadenza? Deve essere fra 2-12 mesi. Se è fra pochi giorni, il sito cadrà.
4. Fai uno screenshot di Google Search Console: accedi con l'account Google aziendale (o chiedi al provider l'accesso). Nella sezione "Prestazioni", guarda le parole chiave che portano traffico. Se sono meno di 10, il sito è invisibile.
5. Testa la velocità: vai su pagespeed.web.dev, inserisci l'URL del sito. Guarda il punteggio su mobile. Se è sotto 50, il sito è lento. Se è sopra 80, è buono.
6. Controlla la configurazione email: accedi a MXToolbox (gratuito), inserisci il dominio, fai il "Complete Email Test". Vedi se SPF, DKIM e DMARC sono configurati. Se il test dice "FAILED" per uno di loro, le email finiscono in spam.
7. Chiedi al provider un report dei backup degli ultimi 6 mesi: deve elencare data, dimensione e risultato del restore test. Se non ce l'ha, i backup non vengono controllati e potrebbero non funzionare.
8. Fai screenshot di tutti gli account utente del CMS: accedi a WordPress, vai in Utenti. Quanti sono? Chi dovrebbe esserci? Chi non usi da un anno? Annotalo: chi entra, entra di proposito, non per default.

Gli errori da evitare

• Fidarsi solo di quello che il provider racconta: "Sì, il sito è sicuro, gli aggiornamenti li facciamo noi" non è una verifica. Chiedere gli screenshot, i log e i report di backup. Se non te li danno, non sanno cosa che stai pagando.
• Pensare che manutenzione significa aggiornamenti automatici: la manutenzione vera include backup testati, controlli di sicurezza mensili, monitoraggio dei log, aggiornamenti plugin con test prima del go-live. Se il provider fa solo gli aggiornamenti, non è manutenzione.
• Ignorare le vulnerabilità notte: quando esce una vulnerabilità critica (come le PHP del 2026), il provider dovrebbe avvisarti il giorno stesso e mettere una patch. Se scopri il problema leggendo il news, il provider non monitora la sicurezza.
• Pagare manutenzione senza contratto: "ti mantengo il sito" è vago. Deve dire: quanti backup, ogni quanto, con quale RPO (Recovery Point Objective), in quale datacenter, quale SLA di uptime, chi controlla la sicurezza, chi fa gli aggiornamenti e quando.
• Non avere accesso visibile ai dati: il provider non dovrebbe essere l'unico a leggere il traffico, la velocità, i log. Tu devi avere accesso (almeno in lettura) a Google Search Console, Google Analytics, e un report mensile leggibile.

Domande frequenti su consulenza digitale per PMI

Chi fa l'audit, il provider attuale o qualcuno esterno?

Se il provider attuale ha fatto il lavoro bene, un audit dovrebbe dirlo. Ma il conflitto di interessi è reale: se è emerso che il sito è insicuro, il provider rischia cause legali. Per questo il primo audit conviene farlo con uno studio esterno, che non ha nulla da difendere. Dopo il primo, potete farli ogni anno con chi volete.

Quanto costa un audit digitale?

Un audit serio su un sito di PMI (non un e-commerce gigante) costa fra 500 e 2.000 euro. Includerebbe: accesso agli strumenti (Google Search Console, server logs), report scritto di 10-15 pagine, checklist operativa, una call di due ore di spiegazione. Se sentirai preventivi sotto i 300 euro, probabilmente è una checklist superficiale, non un audit. Se sopra i 5.000, stai pagando consulenza aggiuntiva oltre all'audit.

Un audit è obbligatorio per le PMI?

No, non è obbligatorio legalmente. Ma se gestisci dati di clienti (email, contatti, ordini), la legge GDPR ti dice che devi sapere dove sono i dati, se sono protetti, e chi li controlla. Un audit ti dice esattamente questo, e ti mette in regola formalmente.

Se scopro problemi, cosa faccio?

Dipende dalla criticità. Se il dominio non è tuo, il primo passo è trasferirlo (24-48 ore, gratuito). Se il sito non ha backups testati, metti in piedi una routine di backup subito (giorni). Se le email vanno in spam, configuri SPF/DKIM/DMARC (giorni). Se il sito è vulnerabile a un exploit noto, togli il plugin o aggiorna (ore). L'audit vi dà la priorità.

Posso fidarmi del report che mi dà il mio provider?

A volte sì, a volte no. Se il provider è certificato ISO 27001 (sicurezza informatica), il report è più credibile. Se è una ditta da tre persone senza certificazioni, il report è opinione. Chiedere che il report mostri numeri verificabili (screenshot, log, file), non solo parole.

Il punto centrale

Un audit digitale non è un capriccio, è la visione d'insieme di quello che stai pagando. Molte PMI scoprono che mancano backup, che il dominio non è loro, che le email non arrivano, che il sito è vulnerabile. Non è colpa del provider (sempre): è colpa di nessuno, finché nessuno guarda.

La consulenza digitale seria parte di qui. Non da "facciamo un mega-rebranding", ma da "ecco la foto reale, da lì partiamo". Ctrl Studio, quando vi contattate per una consulenza, inizia sempre da un audit gratuito di una risorsa fondamentale (dominio, email, security). Non è marketing: è il modo per capire se davvero conviene lavorare insieme, e su cosa.

Se non hai mai fatto un audit, fallo adesso. I strumenti sono gratuiti per il 70% delle verifiche. Il resto le faceva il provider comunque: se non te lo mostra, inizia a chiedere.