«Il sito è sicuro? Sì, abbiamo messo un plugin di sicurezza.»
Magari bastasse.
È una delle frasi più pericolose che sento, perché sotto c’è un equivoco grosso: l’idea che la sicurezza sia un oggetto che compri, installi una volta e via. Non è un oggetto. È un’abitudine. E nel 2026 abbiamo avuto un promemoria piuttosto brutale di quanto questa cosa conti.
Cosa è successo, e perché ti riguarda
Nel 2026 una vulnerabilità critica, catalogata come CVE-2026-47100, gravità alta, ha colpito i checkout WooCommerce di oltre 40.000 negozi. Il meccanismo: codice malevolo infilato nella pagina di pagamento per rubare i dati delle carte dei clienti. In silenzio, mentre in apparenza tutto funzionava come sempre.
Il bersaglio era un plugin diffuso e fatto bene. Ed è qui che arriva la lezione scomoda, quella che quasi nessuno vuole sentirsi dire: il problema non sono i plugin scritti male. Sono i plugin che non aggiorni.
Il rischio non è il plugin «brutto», è quello fermo a tre versioni fa
La vulnerabilità riguardava FunnelKit, uno strumento serio per costruire funnel di vendita su WooCommerce. E il dettaglio più istruttivo è come hanno reagito gli sviluppatori: patch rilasciata in meno di 36 ore.
Pensa a cosa vuol dire. Chi aveva gli aggiornamenti attivi è tornato al sicuro quasi subito, spesso senza nemmeno accorgersi che era corso un pericolo. Chi invece rimandava gli update «per non rischiare di rompere il sito» è rimasto lì, con la porta aperta, per giorni o settimane.
È il paradosso della sicurezza WordPress. Il plugin che ti frega non è quello scritto da incompetenti. È quello ottimo, ma fermo a tre versioni fa sul tuo sito, perché «funzionava e non volevamo toccarlo». Un vendor serio ti dà la patch. Applicarla sta a te. E la velocità con cui lo fai è metà della tua sicurezza.
Il caso che si ripete
Un negozio online che seguivo solo di sponda aveva una regola non scritta: «gli aggiornamenti si fanno una volta ogni tanto, quando c’è tempo, perché una volta un update ci ha rotto il carrello».
Come paura, la capisco. Come politica aziendale, è un disastro.
Avevano una decina di plugin, metà dei quali indietro di parecchie versioni. Ogni plugin vecchio è una porta, e loro ne avevano cinque socchiuse. Non è servito nessun attacco sofisticato. È bastato che un bot automatico, di quelli che setacciano il web tutto il giorno cercando versioni vulnerabili note, passasse di lì e trovasse la porta giusta. Il bot non dorme, non si stanca e non ti conosce: prova le maniglie una a una finché una cede.
Il risultato non è stato un film d’azione. È stato peggio: settimane di lavoro per ripulire tutto, la necessità di avvisare i clienti, e il sospetto più costoso di tutti, cioè che i dati di pagamento fossero finiti in mano a qualcuno. Tutto per risparmiarsi la fatica di aggiornare con metodo.
La paura di rompere il sito con un update li aveva esposti a una cosa che il sito lo ha rotto sul serio.
Le tre cose che contano davvero
1. Una disciplina di aggiornamento, non un plugin che ti fa sentire tranquillo
Gli update di sicurezza vanno applicati in fretta. Occhio però: «in fretta» non vuol dire «alla cieca». Si fanno con un backup già pronto e, quando puoi, con un ambiente di prova dove controlli che non rompano niente prima di mandarli in produzione.
Un buon plugin come Wordfence ti dà una mano: protezione del login, doppia autenticazione, monitoraggio delle vulnerabilità note in tempo reale. Ma è uno strumento, non una delega. Ti avvisa, non decide al posto tuo. La disciplina resta roba umana.
2. Un hosting che ti copre le spalle
Dove gira il sito conta quanto quello che ci installi sopra. Un hosting gestito come Cloudways aggiunge livelli che da solo faticheresti a presidiare: firewall, backup automatici e, nel 2026, aggiornamenti WordPress assistiti con test visivi che ti dicono se un update ha cambiato qualcosa nell’aspetto del sito prima che lo scopra un cliente al posto tuo.
È esattamente la rete che ti toglie la scusa del «non aggiorno per paura di rompere». Se hai backup e test, l’update smette di essere un salto nel buio e diventa una cosa che, al massimo, annulli in due minuti.
3. Sapere cosa hai installato
Un sacco di shop hanno plugin dimenticati. Attivati anni fa per una funzione, mai più usati, mai rimossi, mai aggiornati. È il rischio invisibile, quello che nemmeno ti ricordi di avere.
Ogni plugin è una porta sul tuo sito. Più porte lasci aperte e non controlli, più è facile che una resti socchiusa senza che tu lo sappia. La regola è semplice: quello che non usi, lo togli. Non lo disattivi e basta, lo rimuovi. Una porta murata non la forza nessuno.
L’errore più comune
Pensare alla sicurezza come a un prodotto che compri una volta e poi te ne dimentichi.
Non funziona così. È manutenzione, come il tagliando dell’auto. Backup regolari, aggiornamenti fatti in tempo, controllo di chi ha accesso a cosa. Niente di eroico. Solo roba da fare sempre, non una volta e via.
Lo stesso vale per chi costruisce di fretta con gli strumenti AI, dove la velocità ti fa abbassare la guardia: ne ho parlato a proposito dei rischi di sicurezza del vibe-coding. E se il sito ti sembra lento o instabile senza un motivo chiaro, a volte non è un attacco ma traffico anomalo: qui spiego come gestire i bot che lo indicizzano troppo.
La checklist minima, cinque gesti e non di più
Non ti serve diventare un esperto di sicurezza. Ti servono cinque abitudini, ripetute.
- Backup automatici giornalieri, tenuti fuori dal sito. Se non puoi tornare a ieri in pochi minuti, non hai un backup: hai una speranza.
- Aggiornamenti di sicurezza entro pochi giorni, col backup pronto prima di applicarli.
- Via i plugin che non usi, non solo spenti, proprio rimossi. Quello che non c’è non si può bucare.
- Doppia autenticazione su tutti gli accessi amministrativi. La password da sola ormai non basta.
- Accessi ridotti al minimo: ogni persona ha solo i permessi che le servono davvero, non uno in più.
Cinque gesti. Coprono la grande maggioranza dei rischi veri di un sito WordPress. Tutto il resto è perfezionismo che affronti dopo, con calma.
Domande frequenti
Un plugin di sicurezza basta a proteggere WooCommerce?
No. Aiuta, ma senza aggiornamenti rapidi, backup regolari e un buon hosting resta una falsa sicurezza. È una serratura migliore su una porta che tieni aperta.
Ogni quanto devo aggiornare plugin e temi?
Gli aggiornamenti di sicurezza appena escono, col backup pronto. Le patch critiche non aspettano il momento comodo: è proprio la finestra tra l’uscita della patch e la tua applicazione quella che gli attaccanti sfruttano.
Devo evitare i plugin che hanno avuto vulnerabilità?
No, sarebbe controproducente. Conta come reagiscono: una patch in 36 ore è segno di un team serio. Il rischio vero non è il plugin che ha avuto un problema e l’ha chiuso in fretta. Sei tu che non aggiorni.
Ho un piccolo shop, sono comunque un bersaglio?
Sì. La maggior parte degli attacchi non è mirata: sono bot automatici che passano al setaccio il web in cerca di versioni vulnerabili note, senza guardare quanto sei grande. Essere piccoli non ti rende invisibile. Ti rende solo meno difeso.
Quanto spesso dovrei fare il backup?
Dipende da quanto cambia il sito. Per un e-commerce attivo, backup giornalieri automatici sono il minimo: se vendi ogni giorno, non puoi permetterti di tornare a una settimana fa.
Se non sai quanto sei esposto
La maggior parte dei titolari scopre di avere un problema di sicurezza il giorno stesso in cui è già successo. Un controllo prima vale dieci interventi dopo, e costa una frazione.
Una prima chiacchierata serve a capire dove il tuo sito è davvero scoperto, quali porte hai lasciato aperte e cosa sistemare per primo. Se posso aiutarti te lo dico, se non posso te lo dico lo stesso, così non perdiamo tempo né io né te.
