Come aggiornare i plugin WordPress in sicurezza

Gli aggiornamenti dei plugin WordPress sono essenziali per la sicurezza, le performance e la compatibilità del tuo sito. Tuttavia, un aggiornamento sbagliato può causare errori, incompatibilità o addirittura rendere il sito inaccessibile. In questa guida ti spiego come aggiornare i plugin WordPress in modo sicuro, evitando i problemi più comuni e sapendo esattamente cosa fare se qualcosa va storto.

Perché è importante aggiornare i plugin

Ogni aggiornamento di un plugin può includere:

• Patch di sicurezza: le vulnerabilità nei plugin sono il vettore di attacco più comune per i siti WordPress. Il 90% dei siti WordPress compromessi aveva plugin non aggiornati.
• Correzioni di bug: risolvono errori nel codice che possono causare malfunzionamenti o rallentamenti.
• Nuove funzionalità: miglioramenti e opzioni aggiuntive.
• Compatibilità: aggiornamenti per funzionare con le nuove versioni di WordPress e PHP.

Ignorare gli aggiornamenti espone il sito a rischi concreti. I bot automatizzati scansionano continuamente il web alla ricerca di siti con plugin vulnerabili, e possono sfruttare una falla nel giro di ore dalla sua pubblicazione.

Cosa fare prima di aggiornare

1. Fai un backup completo

Prima di qualsiasi aggiornamento, assicurati di avere un backup recente di file e database. Se l’aggiornamento causa problemi, puoi ripristinare il sito in pochi minuti. Plugin come UpdraftPlus o il backup manuale via SSH ti danno questa sicurezza.

2. Leggi il changelog

Ogni plugin pubblicato nel repository WordPress ha un changelog (registro delle modifiche) che descrive cosa è cambiato nella nuova versione. Prima di aggiornare, leggilo. Cerca in particolare:

• La dicitura “breaking changes” o “important” che indica modifiche che potrebbero richiedere azioni manuali.
• Requisiti minimi di versione PHP o WordPress cambiati.
• Modifiche alla struttura del database del plugin.

Trovi il changelog nella pagina del plugin su WordPress.org o nella sezione “Dettagli” dell’aggiornamento nella dashboard.

3. Verifica la compatibilità

Nella pagina del plugin su WordPress.org, controlla due informazioni chiave: la versione di WordPress con cui è stato testato e la data dell’ultimo aggiornamento. Un plugin non aggiornato da più di un anno potrebbe avere problemi con le versioni recenti di WordPress. Controlla anche le recensioni recenti: se altri utenti segnalano problemi con l’ultima versione, aspetta qualche giorno prima di aggiornare.

Procedura di aggiornamento sicura

Aggiornare dalla dashboard

1. Vai in Dashboard > Aggiornamenti o in Plugin > Plugin installati.
2. Seleziona il plugin da aggiornare.
3. Clicca “Aggiorna ora”.
4. Attendi il completamento senza chiudere la pagina o navigare altrove.
5. Dopo l’aggiornamento, verifica che il sito funzioni correttamente.

Regola fondamentale: aggiorna un plugin alla volta. Se aggiorni 5 plugin contemporaneamente e il sito si rompe, non saprai quale dei 5 è il responsabile. Aggiornando uno alla volta, identifichi immediatamente il colpevole.

Aggiornare via WP-CLI

Se hai accesso SSH, WP-CLI è il metodo più veloce e ti dà informazioni dettagliate:

# Vedere i plugin con aggiornamenti disponibili
wp plugin list --update=available --path=/var/www/html/

# Aggiornare un plugin specifico
wp plugin update wordfence --path=/var/www/html/

# Aggiornare tutti i plugin (usa con cautela)
wp plugin update --all --path=/var/www/html/

WP-CLI mostra il numero di versione prima e dopo l’aggiornamento, e se l’aggiornamento fallisce, mostra un messaggio di errore dettagliato che ti aiuta a diagnosticare il problema.

Usare un ambiente di staging per testare

Per i siti in produzione che non possono permettersi downtime, la pratica migliore è testare gli aggiornamenti in un ambiente di staging. Lo staging è una copia esatta del sito su un URL di test. Molti hosting (Kinsta, SiteGround, WP Engine) offrono la funzionalità di staging integrata nel pannello. Il workflow è: aggiorna nello staging, verifica che tutto funzioni, poi applica lo stesso aggiornamento in produzione.

Gestire gli aggiornamenti automatici

WordPress 5.5 ha introdotto la possibilità di attivare gli aggiornamenti automatici per i singoli plugin. Nella pagina Plugin, accanto a ogni plugin trovi il link “Attiva aggiornamenti automatici”. Questa opzione è comoda per plugin leggeri e ben mantenuti, ma sconsigliata per plugin critici come WooCommerce, page builder o plugin di sicurezza, dove un aggiornamento problematico potrebbe avere conseguenze gravi senza che tu ne sia immediatamente consapevole.

Un approccio equilibrato: attiva gli aggiornamenti automatici per i plugin minori (widget, shortcode, piccole utility) e mantieni l’aggiornamento manuale per i plugin più importanti e complessi del sito.

Cosa fare se un aggiornamento rompe il sito

Se dopo un aggiornamento il sito mostra errori o è inaccessibile:

1. Ripristina dal backup: se hai un backup recente, ripristinalo immediatamente.
2. Disattiva il plugin via FTP: rinomina la cartella del plugin in wp-content/plugins/ per disattivarlo senza accedere alla dashboard.
3. Reinstalla la versione precedente: scarica la versione precedente del plugin dal tab “Sviluppo” nella pagina del plugin su WordPress.org e caricala manualmente via FTP, sovrascrivendo la versione problematica.
4. Contatta lo sviluppatore: segnala il problema nel forum di supporto del plugin con una descrizione dettagliata dell’errore e della configurazione del sito.

Plugin premium: come gestire gli aggiornamenti

I plugin premium acquistati fuori dal repository WordPress (come Elementor Pro, WP Rocket, ACF Pro) non si aggiornano dallo stesso sistema. Ogni plugin premium ha il proprio meccanismo: generalmente devi inserire una chiave di licenza nelle impostazioni del plugin per ricevere le notifiche di aggiornamento direttamente nella dashboard. Se la licenza è scaduta, non riceverai più gli aggiornamenti, lasciando il plugin potenzialmente vulnerabile. Tieni traccia delle date di scadenza delle licenze e rinnova quelle dei plugin che continui a utilizzare. Per i plugin premium che non usi più, disattivali e rimuovili per ridurre la superficie di attacco.

Creare una routine di aggiornamento

La pratica migliore è dedicare un momento fisso settimanale agli aggiornamenti. Scegli un giorno e un orario in cui il traffico sul sito è basso (generalmente il lunedì mattina o la domenica sera). La routine dovrebbe essere: controlla gli aggiornamenti disponibili, leggi i changelog, fai il backup, aggiorna un plugin alla volta, verifica il sito dopo ogni aggiornamento. Con questa disciplina, gli aggiornamenti diventano un’attività di routine di 15-20 minuti anziché un’emergenza quando qualcosa si rompe.

Serve aiuto con gli aggiornamenti?

Se preferisci non rischiare o se un aggiornamento ha già causato problemi, il team di SoccorsoWP gestisce gli aggiornamenti in modo professionale: backup preventivo, test e rollback immediato in caso di problemi. Apri un ticket e mantieni il sito aggiornato senza stress.