22 LUG 2026

Backup e sicurezza del sito: cosa perdete se domani sparisce

Immaginate di aprire il sito domani mattina e trovare una pagina bianca, o peggio, un avviso di sito compromesso. Nessun preavviso: un aggiornamento saltato, una password debole, un server che cede. Per una piccola impresa la sicurezza del sito web non è un tema da grandi aziende con reparti IT: è la differenza tra un contrattempo di un’ora e la perdita di anni di lavoro. Vediamo cosa rischiate davvero se il sito sparisce, quali sono le minacce concrete per una PMI, e le poche mosse — backup in testa — che vi mettono al riparo.

Cosa perdete se il sito sparisce domani.

Un sito non è solo un insieme di pagine: è un capitale accumulato negli anni. Perderlo significa perdere il posizionamento su Google costruito articolo dopo articolo, i contatti e gli ordini arrivati dai moduli, le foto e i testi che avete curato, a volte l’unico canale da cui i clienti vi trovano. E c’è il danno meno visibile: ogni ora offline è una richiesta che non arriva e un cliente che apre il concorrente.

Il colpo peggiore, però, è quando non c’è modo di tornare indietro. Senza un backup recente e funzionante, un sito compromesso o cancellato può essere semplicemente irrecuperabile: si riparte da zero, con settimane di lavoro e la reputazione ammaccata. La differenza tra un disastro e un fastidio non è la fortuna: è essersi preparati prima.

Le minacce reali per una PMI.

Il malinteso da sfatare è che «tanto chi vuoi che attacchi il mio sito». Nella stragrande maggioranza dei casi non c’è nessun hacker in carne e ossa interessato a voi: ci sono programmi automatici che scandagliano l’intera rete in cerca di siti con falle note. E le falle note abbondano: i report di sicurezza come quelli di Patchstack censiscono ogni anno migliaia di vulnerabilità nei plugin e nei temi più diffusi, quasi tutte in componenti che qualcuno non ha aggiornato.

Le porte d’ingresso più comuni sono banali: un plugin o un CMS non aggiornato, una password debole o riutilizzata, un accesso amministrativo lasciato aperto. A queste si aggiungono i guasti che non c’entrano con la malizia: un server che si rompe, un hosting che chiude, un file cancellato per errore. La sicurezza di un sito web per una PMI riguarda tutte queste cose insieme, non solo gli attacchi da film.

Sicurezza del sito web per le PMI: le basi che bastano.

La buona notizia è che gran parte del rischio si abbatte con poche abitudini di base, alla portata di chiunque. Tenere aggiornati CMS, temi e plugin è la più importante in assoluto: la maggior parte degli attacchi sfrutta falle già corrette, che colpiscono solo chi non ha installato l’aggiornamento. Poi password robuste e uniche, con l’autenticazione a due fattori sugli accessi amministrativi, e HTTPS attivo su tutto il sito.

Il resto è disciplina di accesso: dare i permessi da amministratore solo a chi serve, rimuovere gli account inutilizzati, scegliere un hosting serio che faccia la sua parte. Sono le stesse pratiche di irrobustimento che la documentazione ufficiale di WordPress raccoglie da anni. Non serve essere esperti di cybersicurezza: serve non lasciare le porte aperte.

Misura gratis la salute e la sicurezza del vostro sito →

Il backup: la regola 3-2-1.

Se dovete ricordare una sola cosa di questo articolo, è il backup. La regola collaudata si chiama 3-2-1: tre copie dei dati, su due tipi di supporto diversi, di cui una conservata altrove — fuori dal server del sito. Così, se salta l’hosting, la copia esterna vi salva; se un attacco cripta tutto, ne avete una pulita da cui ripartire. E i backup vanno automatici e regolari, non «quando mi ricordo».

C’è un dettaglio che quasi tutti trascurano: un backup che non avete mai provato a ripristinare non è un backup, è una speranza. Va testato almeno una volta, per essere certi che si ripristini davvero e che sia completo. La domanda giusta non è «faccio i backup?», ma «quanto tempo mi ci vuole a rimettere online il sito da un backup, e l’ho mai verificato?».

Sicurezza è anche un dovere (GDPR, articolo 32).

C’è un motivo in più per prendere sul serio la questione: la legge. Se il vostro sito raccoglie dati personali — e basta un modulo di contatto — l’articolo 32 del GDPR vi chiede di adottare misure di sicurezza adeguate a proteggerli. Un sito bucato che espone gli indirizzi dei vostri clienti non è solo un guaio tecnico: può diventare una violazione di dati da notificare, con le conseguenze del caso. Sicurezza e conformità, qui, sono la stessa cosa.

È l’approccio che teniamo su ogni progetto: aggiornamenti, backup automatici e testati, accessi controllati non sono un extra da vendervi a parte, sono il minimo perché un sito sia un investimento e non una scommessa. Un sito veloce e bello che sparisce in una notte non era un buon sito: era un rischio ben verniciato.

Cosa include un sito aziendale, sicurezza e manutenzione comprese →

Leggi anche: alternative privacy-first a Google Analytics →

Fonti.

Le cifre e le affermazioni di questo articolo vengono da qui. Sono prime fonti, non riassunti: apritele e verificate.

• WordPress — backup del sito (documentazione ufficiale)Come e perché fare backup regolari: la guida ufficiale, valida ben oltre WordPress.
• WordPress — irrobustire la sicurezza (hardening)Le pratiche di base per chiudere le porte: aggiornamenti, permessi, accessi. Semplici e decisive.
• Patchstack — State of WordPress SecurityIl report annuale sulle vulnerabilità: migliaia ogni anno, quasi tutte in componenti non aggiornati.
• Regolamento GDPR 2016/679 — EUR-LexL’articolo 32 impone misure di sicurezza adeguate: proteggere i dati dei clienti è anche un obbligo di legge.

Misura la salute e la sicurezza del vostro sito, gratis →