Per aggiornare WordPress, tema e plugin senza rompere il sito servono quattro passaggi, sempre nello stesso ordine: backup completo, prova su una copia quando l'aggiornamento è importante, aggiornamento sul sito online, verifica delle funzioni principali. Gli aggiornamenti di sicurezza non vanno rimandati, perché le vulnerabilità corrette diventano pubbliche; gli altri si pianificano. Se dopo un aggiornamento il sito mostra un avviso di errore critico, WordPress invia all'amministratore un link per la modalità di recupero che permette di disattivare il plugin colpevole.
- Prima di ogni aggiornamento: backup di file e database, salvato fuori dal server.
- Gli aggiornamenti minori di WordPress (manutenzione e sicurezza) sono automatici per impostazione predefinita; per plugin e temi l'automatico si attiva uno per uno.
- Aggiornamenti maggiori, e-commerce e plugin critici: prima su una copia di prova.
- Un plugin che non viene aggiornato da tempo è un rischio: va sostituito con calma, non quando è già stato sfruttato.
Perché non rimandare
Quando lo sviluppatore di un plugin corregge una vulnerabilità, la correzione e spesso i dettagli della falla diventano pubblici, per esempio nei database di vulnerabilità come quello di Patchstack. Da quel momento chi attacca i siti in modo automatico sa cosa cercare: un sito non aggiornato è un bersaglio facile da trovare. Per questo la regola è semplice: gli aggiornamenti di sicurezza si applicano appena possibile, gli altri si raccolgono in un ciclo programmato.
Rimandare a lungo ha anche un secondo costo: più versioni si saltano, più l'aggiornamento diventa un salto difficile, con più probabilità di incompatibilità tra plugin, tema e PHP.
Aggiornamenti automatici: quando sì e quando no
WordPress ha quattro tipi di aggiornamenti automatici in background. Per impostazione predefinita sono attivi quelli minori del core (versioni di manutenzione e sicurezza) e quelli delle traduzioni. Dalla versione 5.5 l'amministratore può attivare l'aggiornamento automatico anche di singoli plugin e temi, dalla colonna “Aggiornamenti automatici” della pagina Plugin o dalla scheda del tema. WordPress li esegue due volte al giorno e invia un'email al proprietario del sito con l'esito, sia in caso di successo sia di errore.
| Componente | Automatico? | Perché |
|---|---|---|
| Core, versioni minori (6.x.1, 6.x.2…) | Sì (impostazione predefinita) | Correzioni di sicurezza e bug, basso rischio |
| Core, versioni maggiori | Meglio manuale, dopo una prova | Cambiamenti che possono toccare tema e plugin |
| Plugin semplici e molto diffusi | Sì, se c'è un backup giornaliero | Il rischio di rottura è basso, quello di restare scoperti no |
| E-commerce, pagamenti, moduli, multilingua, page builder | No, manuale dopo prova | Un errore blocca vendite o contatti |
| Tema con personalizzazioni nel codice | No | Le modifiche fatte nel tema principale vengono sovrascritte (per questo si usa un tema child) |
La documentazione di WordPress lo dice chiaramente: prima di attivare gli aggiornamenti automatici di plugin e temi assicurati di poter tornare a una versione precedente del sito, cioè di avere backup regolari.
La procedura in sei passi
- Backup completo di file e database, con almeno una copia fuori dal server. Come farlo bene è spiegato nella guida al backup di WordPress.
- Leggi le note di rilascio degli aggiornamenti maggiori e dei plugin critici: se annunciano cambiamenti importanti o nuovi requisiti di PHP, passa dalla copia di prova.
- Aggiorna nell'ordine: prima il core di WordPress, poi i plugin, poi il tema. Se un plugin richiede una versione più recente di WordPress, l'ordine evita errori.
- Un aggiornamento importante alla volta: se qualcosa si rompe, sai subito chi è stato.
- Verifica: home e pagine principali, invio di un modulo di prova (il messaggio arriva?), carrello e pagamento se c'è un e-commerce, accesso all'area riservata, pannello di amministrazione.
- Annota cosa hai aggiornato e quando: se un problema emerge giorni dopo, il registro accorcia la ricerca.
La copia di prova (staging)
Lo staging è una copia del sito, in un indirizzo separato e non indicizzato, su cui provare aggiornamenti e modifiche prima di farli sul sito vero. Molti hosting la creano con un clic; in alternativa si duplica il sito con un plugin di migrazione o manualmente (file e database).
- Blocca l'indicizzazione della copia e proteggila con una password.
- Disattiva l'invio di email verso i clienti reali dalla copia (ordini, newsletter, notifiche).
- Tieni la copia allineata: una copia di sei mesi fa non prova granché.
Aggiornare PHP
PHP è il linguaggio su cui gira WordPress e ha un suo ciclo di vita. WordPress consiglia oggi PHP 8.3 o superiore; il ramo 8.2 riceve solo correzioni di sicurezza fino al 31 dicembre 2026, poi nessuna. Il cambio di versione si fa dal pannello dell'hosting, ma va prima provato sulla copia: plugin e temi datati sono la causa più comune di errori dopo il passaggio. Se il tuo sito è ancora su versioni precedenti alla 8.2, la versione in uso non riceve già più correzioni.
Errore critico dopo un aggiornamento: cosa fare
Dalla versione 5.2 WordPress intercetta gli errori fatali: invece della classica pagina bianca mostra un avviso di errore critico e invia all'indirizzo email dell'amministratore un messaggio con un link speciale per la modalità di recupero.
- Controlla la posta dell'amministratore (anche lo spam): l'email indica quale plugin o tema ha causato l'errore e contiene il link alla modalità di recupero.
- Entra con il link: il plugin che causa l'errore viene messo in pausa solo per la tua sessione, e puoi disattivarlo dal pannello.
- Se l'email non arriva, accedi ai file via SFTP o dal file manager dell'hosting e rinomina la cartella del plugin sospetto in
wp-content/plugins(per esempio aggiungendo-offal nome): WordPress lo considera disattivato. - Se non sai quale plugin è, ripristina il backup fatto prima dell'aggiornamento e indaga con calma sulla copia di prova.
Plugin abbandonati: come accorgersene
- Data dell'ultimo aggiornamento e compatibilità con le versioni recenti di WordPress, indicate nella pagina del plugin su WordPress.org, che segnala anche quando un plugin non è stato testato con le ultime versioni principali o è stato chiuso.
- Vulnerabilità note senza correzione: controlla i plugin che usi su database pubblici come Patchstack.
- Supporto silenzioso: domande nel forum senza risposta da mesi.
Quando trovi un plugin abbandonato, cerca un'alternativa mantenuta, provala sulla copia e pianifica la sostituzione. Se la funzione è specifica della tua attività e non esistono alternative affidabili, può valere la pena di un plugin su misura. Gli altri controlli di sicurezza sono nella checklist di sicurezza WordPress.
Domande frequenti
Gli aggiornamenti automatici sono sicuri?
Per le versioni minori di sicurezza del core in genere sì, e sono attivi per impostazione predefinita. Per aggiornamenti maggiori, e-commerce e plugin critici è meglio una prova su una copia del sito, sempre con un backup recente.
Cosa faccio se dopo un aggiornamento il sito mostra un errore critico?
Usa il link della modalità di recupero che WordPress invia all'email dell'amministratore per disattivare il plugin colpevole. In alternativa rinomina la sua cartella via SFTP e, se serve, ripristina il backup.
Ogni quanto controllare gli aggiornamenti?
Gli aggiornamenti di sicurezza vanno verificati almeno ogni settimana e applicati subito; gli altri si raccolgono in un ciclo mensile, con backup e verifica.
In che ordine si aggiornano core, plugin e tema?
Prima il core di WordPress, poi i plugin, poi il tema, un aggiornamento importante alla volta e con una verifica delle funzioni principali dopo ciascuno.
Affida a noi gli aggiornamenti del sito
Backup, prova su copia, aggiornamento e verifica: è il lavoro della nostra manutenzione WordPress, con un rapporto di cosa è stato fatto. Preventivo su richiesta: scrivici a espertiwp@helpwebnet.com o chiamaci al 081 1818 7878. Tutti i dettagli del servizio sono nella pagina manutenzione WordPress.
Chiedi un preventivoFonti: WordPress.org – Aggiornamenti automatici di plugin e temi · WordPress Developer Resources – Aggiornare WordPress e aggiornamenti in background · WordPress Core – Modalità di recupero in 5.2 · WordPress.org – Requisiti · PHP.net – Versioni supportate · Patchstack – Database vulnerabilità