In breve: i punti critici di un WordPress vecchio

Plugin bloat

Come si accumula il peso nel tempo e perché rallenta il sito in modo strutturale – non cosmetico.

Sicurezza

Perché WordPress è il CMS più attaccato e cosa succede quando un sito vecchio viene compromesso.

Rattoppo vs rifacimento

Il confronto onesto sui costi reali – ore di lavoro, risultato finale, orizzonte temporale.

Drupal: perché

Dove WordPress funziona ancora. E perché per il tipo di siti che facciamo noi, Drupal è la base giusta.

Il problema non è WordPress. È il modello plugin

WordPress di base è leggero. Il problema nasce da come cresce nel tempo.

Ogni funzionalità che aggiungi è un plugin: SEO, form di contatto, gallery, slider, cookie banner, backup, cache, sicurezza, analytics, mappa, widget social. Un sito attivo da cinque anni ha facilmente 25–35 plugin installati. Spesso di più.

Ogni plugin carica il proprio CSS e JavaScript su ogni pagina – anche dove non serve. Il form plugin carica i suoi script anche sulla homepage. Risultato: il browser del visitatore scarica centinaia di kilobyte di codice inutile prima di mostrare la pagina.

Prendi un serramentista con un sito WordPress del 2018. Sei anni fa andava bene. Oggi PageSpeed mobile segna 38. Non è cambiato niente – solo che nel tempo si sono aggiunti un plugin per i preventivi, uno per il portfolio, uno per le recensioni, uno per il GDPR, uno per la chat. Nessuno li ha mai tolti.

Il plugin bloat non si risolve ottimizzando. Si elimina togliendo i plugin – ma ogni plugin tolto può rompere qualcosa che dipendeva da quello. Si accumulano facilmente, si rimuovono con fatica.

Sicurezza: WordPress è il target più grande in assoluto

Con circa il 43% di quota di mercato mondiale, WordPress è la piattaforma più usata. È anche la più attaccata – non perché sia mal progettata, ma perché è il bersaglio più grande per gli attacchi automatizzati.

Il core viene aggiornato regolarmente dal team. Il problema è altrove: la grande maggioranza delle vulnerabilità documentate riguarda plugin e temi, non il core. Un plugin fermo da un anno ha quasi certamente falle pubblicate nei database CVE – che gli scanner automatici conoscono e sfruttano.

Cosa succede quando un sito WP vecchio viene compromesso

  • Redirect malevoli su mobile – il sito appare normale da desktop, ma da telefono reindirizza su farmaci, gioco d'azzardo, phishing. Il titolare spesso non se ne accorge.
  • SEO spam injection – l'attaccante inserisce pagine nascoste con link verso siti spam; Google le indicizza, e la penalità resta anche dopo la bonifica.
  • Backlink tossici – il sito diventa fonte di link verso altri siti compromessi, e il profilo backlink si deteriora.

I siti WP nati nel 2020 in Veneto come «soluzione temporanea» durante la pandemia – mai più toccati – sono spesso già in questa situazione senza che il titolare lo sappia. E se chi lo gestiva è nel frattempo sparito senza lasciare gli accessi, quello è il primo nodo da sciogliere. Un controllo in Search Console, voce «Security issues», dice subito se Google ha rilevato qualcosa.

Quanto costa rattoppare – e cosa ottieni alla fine

Il rattoppo di un WordPress rotto è un lavoro tecnico serio. Non è «aggiorno e risolvo». Per un sito medio servono, a tariffa professionale:

  • Audit di sicurezza completo – 4–8 ore
  • Rimozione malware, se presente – 4–20 ore
  • Aggiornamento plugin con test dei conflitti – 2–6 ore
  • Sostituzione dei plugin abbandonati – 4–10 ore a plugin
  • Ottimizzazione performance dopo il bloat – 4–8 ore

Totale minimo: 20–40 ore. E alla fine hai ancora il sito vecchio – non è migliorato, è stato riparato.

Uno scenario tipico: l'agenzia precedente propone una «bonifica WordPress» a 1.800€. Guardando il sito: 31 plugin, 9 non aggiornati da oltre 18 mesi, un tema padre abbandonato, performance mobile a 29. La bonifica riporterebbe il sito allo stato di un anno fa.

Quando il costo del rattoppo si avvicina al costo di rifare, la scelta logica è rifare il sito su una base solida che dura anni senza richiedere bonifica ogni 18 mesi.

Se vuoi capire come fare il passaggio senza perdere il posizionamento che hai, leggi migrazione senza perdere posizioni.

Quanto costa rattoppare – e cosa ottieni alla fine

Trenta dipendenze contro un'architettura nativa

A sinistra: WordPress con 30 plugin – ogni plugin aggiunge CSS, JS, query al database, dipendenze da aggiornare. A destra: Drupal con architettura nativa – content type, API, cache sono struttura, non plugin. Meno dipendenze, meno punti di rottura, meno peso.

Trenta dipendenze contro un'architettura nativa

WordPress non è il nemico: quando rattoppare ha ancora senso

WordPress non è il nemico. È uno strumento maturo che funziona bene in molti contesti. Rattoppare può avere senso: sito sotto i 3 anni, pochi plugin ben mantenuti, qualcuno che segue la manutenzione regolarmente.

Ma quando il costo della bonifica si avvicina al costo di costruire qualcosa di nuovo su una base più solida – e il risultato resta comunque il sito vecchio di prima – la scelta diventa chiara. Non promettiamo mai più problemi su nessuna piattaforma. Promettiamo una base che parte in modo corretto.

Dove WordPress funziona ancora – e perché noi usiamo Drupal

Partiamo da dove WP ha senso: un blog con molti autori senza formazione tecnica, dove il suo editor resta più intuitivo; un sito piccolo di 3–5 pagine senza ambizioni di posizionamento locale competitivo; un cliente con un developer interno già dentro l'ecosistema WP, dove cambiare piattaforma per principio non avrebbe senso. E se il punto di partenza è un sito fai-da-te tipo Wix, i vincoli sono altri: ne parliamo in da Wix a un sito professionale.

Detto questo, noi usiamo Drupal – e non per ideologia.

L'architettura a content type nativi (pagina servizio, portfolio, testimonial, FAQ come entità strutturate, non plugin separati) riduce il bloat e semplifica la manutenzione nel tempo. Il security team dedicato e una quota di mercato bassa, intorno al 2%, significano meno scanner automatizzati puntati contro il CMS. I cicli di rilascio sono prevedibili – una versione major ogni due anni, con supporto pluriennale – quindi niente rotture improvvise come accade a volte con gli aggiornamenti WP.

E poi c'è la ragione pratica: ci siamo più bravi. La nostra architettura di componenti, il modo in cui strutturiamo le pagine per intento, le integrazioni API per alcuni clienti – tutto funziona meglio su Drupal. Farlo su WordPress costerebbe di più, con un risultato meno solido. Diciamo la verità invece di fare quello che fa tutto il mercato.

Cinque segnali che il tuo WordPress è diventato un problema

  • 01. L'ultimo aggiornamento del core risale a più di 6 mesi fa

    Pannello WordPress → Dashboard → Aggiornamenti. Versione vecchia, plugin con avvisi «non testato»? Il sito è esposto. Ogni settimana in ritardo è una settimana di vulnerabilità pubblica.

  • 02. Hai plugin che non si aggiornano da oltre un anno

    Un plugin fermo da 12+ mesi può significare progetto abbandonato. Niente patch di sicurezza, ma continua a funzionare finché qualcuno non lo sfrutta. Controlla la data dell'ultimo aggiornamento nel repository ufficiale.

  • 03. PageSpeed mobile è sotto 50

    PageSpeed Insights, inserisci l'URL, guarda il punteggio mobile. Se è già lento senza aggiunte recenti, è bloat accumulato – non si risolve ottimizzando le immagini.

  • 04. Search Console mostra pagine inaspettate indicizzate

    Google Search Console → Copertura → Valide. URL che non riconosci, pagine in lingue diverse, argomenti non tuoi? È SEO spam injection: l'attaccante ha aggiunto pagine che Google ha indicizzato.

  • 05. Non sai dove sono le credenziali di accesso

    La situazione più comune tra le PMI in Veneto che hanno cambiato agenzia. Nessun accesso al pannello, all'hosting, al dominio. Se non sai dove sono le credenziali, il sito non è davvero tuo da gestire – è il punto di partenza per qualsiasi conversazione sul futuro del sito.

Ho lavorato su entrambe le piattaforme. So dove WordPress funziona bene e dove crea problemi nel tempo. La scelta di usare Drupal come base per i nostri siti non è una posizione ideologica – è il risultato di anni di lavoro sul tipo di siti che costruiamo per le piccole imprese in Veneto e FVG. Questa pagina è la versione scritta di quella conversazione.
Pavel Lidum CEO | Preveli
Domande frequenti

Domande frequenti su WordPress vecchio e Drupal

Se aggiorno WordPress risolvo il problema di sicurezza?

In parte. Il core aggiornato non aggiorna i plugin, e quasi tutte le vulnerabilità riguardano proprio i plugin. È come cambiare la serratura della porta lasciando le finestre aperte.

Un plugin di sicurezza non basta a proteggere il sito?

Riduce il rischio, non lo elimina. Wordfence, Sucuri e simili bloccano attacchi comuni, ma non rattoppano una vulnerabilità nel codice di un altro plugin. La protezione reale resta mantenere tutto aggiornato e ridurre il numero di plugin attivi.

Ho un backup. Non è sufficiente?

No – è necessario, ma da solo non protegge niente. Se il sito viene compromesso e ripristini il backup senza capire come è entrato l'attaccante, verrà compromesso di nuovo nel giro di settimane.

Un backup utile, in pratica, deve:

  • Essere automatico e su uno storage esterno al server del sito
  • Essere stato ripristinato almeno una volta in un ambiente di test
  • Coprire database e file insieme, non solo uno dei due
  • Avere una cronologia di almeno 30 giorni, non solo l'ultima copia

Drupal non è troppo complicato per una piccola impresa?

La complessità riguarda chi costruisce il sito, non chi lo usa ogni giorno. Modificare testi, aggiungere immagini, pubblicare contenuti – su un pannello ben strutturato è semplice quanto su WordPress.

Posso portare i contenuti dal vecchio WordPress?

Sì, i testi si esportano e si reimportano, le immagini si scaricano dalla media library. Il design no – viene rifatto, e la struttura delle pagine viene ripensata da zero. Non è un copia-incolla: è l'occasione per non replicare i problemi del sito vecchio.

Quanto dura un sito fatto su Drupal?

Con manutenzione regolare, 7–10 anni prima che valga la pena un rifacimento completo. Drupal segue un ciclo di rilascio prevedibile, con una nuova versione major ogni due anni e supporto pluriennale su quella precedente: non è «fai il sito e poi ogni 3 anni rifai tutto», è una base su cui continuare a costruire.

Altri articoli sul tema