La manutenzione sito web non è opzionale: aggiornamenti di sicurezza, backup, monitoraggio e correzioni sono il minimo per tenere vivo un sito e proteggere i dati aziendali. Nel 2026, con l'arrivo di rilasci critici di sicurezza di WordPress (cinque dal luglio in poi), le PMI che non hanno un contratto di manutenzione si trovano a cercare urgentemente cosa dovrebbero fare e quanto costa farsi seguire da un tecnico. I prezzi variano molto: da 50 euro al mese per un semplice hosting gestito a 300-500 euro per un pacchetto completo che include tutto.
In breve: la manutenzione sito web include aggiornamenti core, plugin e certificati SSL, backup automatici, monitoraggio di malware e supporto tecnico. Un contratto dignitoso costa 80-250 euro al mese per PMI, oppure in forfait annuale 800-1.500 euro. Senza manutenzione il rischio è che un aggiornamento non testato rompa il sito, che un bug di sicurezza lo comprometta o che i backup non esistano quando serve.
Una manutenzione seria su WordPress copre queste aree: aggiornamenti del core (il sistema stesso), dei plugin e dei temi; backup automatici; monitoraggio della sicurezza; controllo delle vulnerabilità; certificate SSL rinnovati. Non è tutto uguale. Un contratto "basic" spesso copre solo gli aggiornamenti e poco più. Un contratto "complete" aggiunge monitoraggio, cleanup dopo un attacco, supporto prioritario e report mensili.
Gli aggiornamenti sono il pezzo più critico. WordPress esce raramente con feature importanti, ma quasi ogni mese rilascia patch di sicurezza. Se non le installi entro poco tempo, il sito diventa un bersaglio pubblico per i bot che cercano exploit noti. I plugin di terze parti sono ancora più delicati: uno sviluppatore piccolo magari non aggiorna più il suo plugin, e tu rimani con un buco di sicurezza aperto.
I backup automatici ti salvano quando qualcosa va storto: un plugin che rompe la grafica, un attacco malware che crittografa i file, una cancellazione accidentale di una pagina. Senza backup, il danno è definivo. Con un backup recente (idealmente quotidiano), ripristini in pochi minuti.
Il monitoraggio della sicurezza ti avverte se il sito mostra segni di compromissione: file modificati, script injected, comunicazioni verso server sospetti. Alcuni contratti includono una scansione settimanale, altri quotidiana. Dipende dal rischio che vuoi correre.
Non tutti gli aggiornamenti sono uguali. Le patch di sicurezza di WordPress core raramente rompono nulla, perché il team di WordPress testa moltissimo prima di farle uscire. I plugin di terze parti sono la fonte più comune di problemi: uno aggiornamento può introdurre un conflitto con un altro plugin, o con il tuo tema, o con un customizzazione fatta apposta.
Ecco perché la manutenzione non è solo lanciare gli aggiornamenti: è testarli prima in un ambiente di staging (una copia del sito), verificare che tutto funzioni, e poi spostarli in produzione. Un contratto serio fa esattamente questo. Uno scadente no, e si affida alla fortuna.
Se hai un sito piccolo con pochi plugin e nessuna customizzazione, il rischio di rottura è basso. Se hai 20 plugin e temi custom, il rischio sale. La manutenzione gestita riduce questo rischio perché usa procedure standardizzate: rollback automatico se qualcosa va male, monitoraggio immediato dopo l'update.
I prezzi si dividono in fasce che dipendono da complessità del sito, numero di siti gestiti e cosa è incluso.
Cosa influenza il prezzo:
Per una PMI media con un sito WordPress di 5-10 anni con 8-12 plugin e un tema custom, il prezzo giusto è 120-200 euro al mese, oppure 1.200-1.800 euro all'anno. Se paghi meno di 60 euro al mese (escluso hosting), stai rischiando di comprare un servizio che non batte come dovrebbe. Se paghi oltre 300 euro e il sito non è di e-commerce con migliaia di prodotti, stai pagando di più del necessario.
Quando guardi un contratto di manutenzione, verifica questi punti precisi.
Quali aggiornamenti sono inclusi? Tutti (core, plugin, tema) o solo alcuni? Sono testati prima in staging o lanciati direttamente in live? C'è un rollback automatico se qualcosa va male?
Che tipo di backup? Quotidiano, settimanale, mensile? Quanti giorni di retention (cioè per quanti giorni tieni i backup)? Puoi ripristinare un giorno specifico, oppure solo l'ultimo backup? Dove sono salvati i backup (sullo stesso server o altrove)?
Monitoraggio. Cosa viene monitorato? Malware, uptime, performance, errori di database? Con che frequenza? Se qualcosa si rompe, ti avvisano automaticamente o lo scopri quando i clienti te lo dicono?
Supporto. Che orari? Quanto tempo prima che ti rispondono? Incluso il fine settimana? C'è un numero massimo di ticket che puoi aprire?
Rapporti. Ricevi report mensili su cosa è stato fatto, cosa è stato aggiornato, se ci sono problemi da affrontare? Un report è utile, niente report significa che non sai cosa sta succedendo al tuo sito.
Esclusi. Il contratto elenca cosa NON copre? Per esempio, non copre sviluppo nuovo, non copre migrazione da un vecchio sito, non copre custom coding. Bene se lo specifica, male se è vago.
Nel 2026 WordPress ha previsto cinque rilasci di sicurezza. Non tutti hanno lo stesso livello di urgenza. Una patch che aggiusta una vulnerabilità "remote code execution" (qualcuno che esegue codice sul tuo server) è critica e va applicata in 24 ore. Una patch che aggiusta un bug minore in una funzione non utilizzata può aspettare una settimana.
Il problema è che tu non sai leggere il changelog di WordPress e decidere se una patch è critica o no. Per questo è meglio affidarsi a un servizio che la sa leggere e agisce di conseguenza. Quelli bravi hanno una procedura: leggono il changelog, valutano il rischio, testano in staging, applicano in live secondo il livello di urgenza.
Se il tuo sito è un blog di una piccola azienda locale, il rischio è basso. Se è un e-commerce che prende soldi, il rischio è alto. Se gestisci dati sanitari o finanziari, è critico.
1. Definisci il livello di criticità del tuo sito. Se è un blog aziendale, bassa. Se è un e-commerce o un gestionale, media-alta. Se maneggia pagamenti o dati personali (GDPR), critica. Questo influenza quello che devi chiedere al fornitore.
2. Fai una lista dei plugin e tema. Conta quanti plugin hai installato, quale tema usi, se è custom o standard. Questo servirà al fornitore per quotare un prezzo justo.
3. Verifica il backup attuale. Se non lo fai da solo, chiedi al tuo hosting: avete backup quotidiani? Sono conservati per quanti giorni? Potete farmi un restore per verificare che funzionano?
4. Confronta tre fornitori. Non prendere il primo. Chiedi a almeno tre: un hosting gestito (come Kinsta o SiteGround), un'agenzia locale e un provider specializzato in manutenzione (come ManageWP o Jetpack). Chiedi lo stesso scope a tutti: aggiornamenti, backup, monitoraggio, supporto.
5. Verifica gli SLA. Domanda esplicita: se il sito cade domani mattina alle 8, entro quando me lo riportate online? La risposta dovrebbe essere "entro 2 ore" (buono), non "entro 24 ore" (scadente).
6. Firma per almeno 12 mesi. Le manutenzioni a mese sono più care. Se la fai per un anno, negozia uno sconto e riducete il costo di circa il 15-20%.
7. Chiedi un primo mese di prova. Un fornitore serio non ha paura: fatevi seguire per un mese, vedete come lavora, poi decidete se rinnovare.
8. Pianifica la formazione. Anche se qualcuno aggiorna il tuo sito, tu e il tuo team dovete capire come usarlo. Chiedi al fornitore una sessione di formazione: cos'è WordPress, come funzionano i plugin, cosa non toccare.
9. Crea una lista di siti kritici. Se gestisci più siti, scegli quale è il più importante per l'azienda. A quello dedica il budget di manutenzione migliore. Gli altri possono avere piani più leggeri.
10. Monitora i report mensili. Non ignorarli. Se il fornitore dice "questo plugin ha un bug di sicurezza noto", approfondisci. Se non ti invia report, chiedi perché.
Sì, tecnicamente. Accedi al pannello di WordPress, vai su Aggiornamenti e clicca il bottone. Ma il rischio è che un plugin confligga con il core, il sito si rompa e tu non sappia come risolvere. Un contratto di manutenzione toglie questo rischio perché qualcuno testa prima in staging.
Ogni patch di sicurezza: quando WordPress la rilascia, tu devi installarla entro 3-7 giorni. Le feature release (da 6.8 a 6.9, per esempio) puoi anche aspettare un mese, sono meno critiche.
Il sito rimane fermo? No, il sito continua a funzionare. Ma ogni giorno che passa con una vulnerabilità nota, il rischio che un bot scopra il buco e lo sfrutti aumenta. Non è "se", è "quando".
Grosso modo il 20-30%. Per molte PMI il settimanale basta: se il sito cade il mercoledì, ripristini il backup di lunedì e perdi un giorno di dati. Per e-commerce e siti critici, quotidiano è meglio.
Sì, sempre. I tuoi backup sono tuoi (chiedi che te li copino e li consegnino). I dati del sito (post, pagine, utenti) sono tuoi. Il fornitore che se ne va è solo un servizio, non un proprietario. Puoi migrare a un altro fornitore o un altro hosting.
Dipende da cosa include l'hosting. Kinsta e SiteGround gestito hanno manutenzione inclusa. Hosting base no. Leggi cosa dice il tuo provider nel contratto. Se non dice niente di aggiornamenti automatici, probabilmente non li fa.
La manutenzione sito web non è un extra, è il minimo per tenere il sito vivo e sicuro. Include aggiornamenti, backup, monitoraggio e supporto. Nel 2026, con cinque rilasci di sicurezza di WordPress previsti, una PMI che non ha un contratto rischia seriamente di trovarsi con un sito vulnerabile o rotto.
Il prezzo giusto per una PMI è tra 80 e 250 euro al mese (o 800-1.800 euro all'anno in forfait). Se paghi meno, rischi di non avere il livello di servizio che credi. Se paghi di più, verifica che il sito abbia davvero bisogno di tanta cura. L'importante è firmare un contratto con SLA scritto, chiedere report mensili e verificare che il backup funziona davvero (non solo che il provider dice che esiste).
Inizia facendo la checklist qui sopra: conta i plugin, verifica il backup attuale, e confronta tre fornitori. Se il sito è importante per l'azienda, la manutenzione è investimento, non costo.
