Un plugin per il modulo di contatto, uno per il banner dei cookie, uno per lo slider, tre per la SEO, uno installato tempo fa per un video aziendale che non c’è più da anni: prima che te ne accorga, sul tuo sito WordPress girano quaranta plugin. Ogni plugin è un pezzo di codice scritto da qualcuno che non conosci, che gira con pieni diritti sul tuo sito. In questo articolo scopri quanti plugin sono normali, perché ogni plugin è un rischio e come fare pulizia in sicurezza, senza mandare giù il sito.

Quanti plugin sono troppi?

Non esiste un numero magico. Un sito aziendale ben costruito arriva di solito a 10–20 plugin; un negozio online a 20–35. Non conta il numero, ma la qualità e la necessità. Un plugin mal mantenuto è più pericoloso di dieci buoni. Se su un normale sito aziendale superi i trenta, è molto probabile che ci siano plugin che fanno la stessa cosa, che non fanno più nulla o che non vengono più aggiornati.

Perché ogni plugin è un rischio

  • Sicurezza. La grande maggioranza delle falle nei siti WordPress non è in WordPress stesso, ma nei plugin e nei temi: nei rapporti annuali di aziende di sicurezza come Patchstack si tratta di ben oltre nove falle segnalate su dieci. Ogni plugin è una porta in più che un attaccante può provare.
  • Velocità. Molti plugin caricano i propri script e fogli di stile su ogni pagina, anche dove non servono. Dieci plugin che costano “solo” 100 millisecondi ciascuno rendono il sito un secondo più lento.
  • Conflitti. Due plugin che mettono mano allo stesso componente (per esempio due plugin di cache o due di SEO) danno errori imprevedibili che nessuno riesce a rintracciare.
  • Plugin abbandonati. Un plugin che non riceve aggiornamenti da due anni un giorno smette di funzionare con una nuova versione di WordPress o PHP, e le falle note non vengono mai più chiuse.

Passo 1: fai una lista e poniti tre domande per ogni plugin

In WordPress vai su Plugin e scorri l’elenco. Per ogni plugin chiediti:

  1. Cosa fa esattamente? Se non lo sai, è già una risposta.
  2. Lo uso ancora? Lo slider su una pagina che non esiste più, il collegamento a un servizio newsletter che hai disdetto, la pagina “coming soon” di tre anni fa.
  3. Un altro plugin, il tema o WordPress stesso lo fa già? Oggi WordPress fa molto anche senza plugin: ridimensionare le immagini, lazy loading, sitemap XML. I buoni temi e i plugin per moduli hanno spesso già slider, pulsanti e pop-up integrati.

Passo 2: riconosci i plugin di cui puoi fare a meno

Doppioni: due plugin SEO, due di cache, due di sicurezza, due per i moduli. Scegline uno.

Strumenti una tantum: plugin per una migrazione, un’importazione, una pulizia del database o un “rigenera miniature” usati una sola volta. Rimuovili e, se serve, reinstallali.

Plugin disattivati. Spento non vuol dire rimosso: i file restano sul server e una falla in un plugin disattivato a volte può essere sfruttata comunque. Quello che è spento può sparire.

Plugin di statistiche, condivisione e widget di cui non guardi mai i numeri.

Plugin abbandonati: nell’elenco dei plugin c’è la data dell’ultimo aggiornamento. Più vecchia di un anno, o un avviso “non testato con la tua versione di WordPress”? Cerca un’alternativa.

Passo 3: quello che invece ti serve

Alcuni plugin stanno bene su quasi ogni sito aziendale:

  • un plugin per i moduli di contatto e preventivo;
  • un solo plugin SEO per titoli, descrizioni e sitemap;
  • un solo plugin di cache o velocità (a meno che il tuo hosting lo gestisca sul server, come facciamo noi);
  • un plugin per cookie e privacy se usi statistiche o script di marketing;
  • una soluzione di backup, a meno che il tuo hosting faccia backup giornalieri che puoi ripristinare; come fare un backup da solo lo trovi in Come fare un backup del tuo sito WordPress;
  • un plugin di sicurezza con firewall e limite ai tentativi di accesso.

Tutto il resto deve guadagnarsi il posto: deve fare qualcosa che i tuoi clienti vedono o che porta fatturato.

Passo 4: come scegliere un nuovo plugin

Serve comunque qualcosa in più? Sulla pagina del plugin su WordPress.org guarda quattro cose: il numero di installazioni attive (meglio decine di migliaia o più), la data dell’ultimo aggiornamento (meno di qualche mese fa), la valutazione (e leggi qualche recensione da una stella per vedere cosa va storto) e se lo sviluppatore risponde alle domande nel forum di supporto. Un plugin con 300 installazioni e un aggiornamento del 2023 non lo installi, per quanto comodo sembri.

Passo 5: fai pulizia in sicurezza

  1. Fai prima un backup di file e database. Non saltarlo.
  2. Disattiva il plugin, senza ancora eliminarlo. Naviga il sito: home, pagine dei servizi, modulo di contatto, checkout del negozio.
  3. Tutto a posto? Allora elimina il plugin. L’eliminazione rimuove i file; alcuni plugin lasciano tabelle nel database. Molti plugin hanno un’opzione “elimina tutti i dati alla disinstallazione”: attivala prima di eliminare.
  4. Procedi un plugin alla volta. Se ne elimini dieci insieme e qualcosa si rompe, non sai quale sia stato.
  5. Hai un ambiente di test (staging)? Fallo prima lì. Sui siti che manteniamo testiamo ogni modifica prima su una copia del sito.

Passo 6: mantienilo pulito

Fare pulizia non è un’azione una tantum. Scorri l’elenco ogni tre o sei mesi, tieni tutti i plugin aggiornati e dopo un aggiornamento di WordPress o PHP controlla che tutto funzioni ancora. Quale versione PHP usi lo verifichi in un minuto. Se emerge una falla in un plugin per cui lo sviluppatore non ha ancora una soluzione, aspettare non è un’opzione: leggi come la risolviamo noi in Falle chiuse senza aspettare lo sviluppatore.

Non hai voglia di farlo da solo ogni sei mesi? In un pacchetto di manutenzione sono inclusi di serie una pulizia annuale dei plugin, aggiornamenti testati prima su una copia e il monitoraggio delle falle note.

Vuoi sapere quali plugin puoi togliere dal tuo sito?

Lascia qui sotto l’indirizzo del tuo sito. Guardiamo quali plugin girano, quali sono obsoleti o superflui e cosa fanno a velocità e sicurezza. Ricevi via e-mail un rapporto personale con miglioramenti concreti. Gratis e senza impegno.

Prenota una consulenza gratuita   

Preferisci telefonare? +31 (0)166 700204, lun–ven 9:00–17:30.