Sito WordPress bucato o bloccato: come succede (e perché su Wix non accade)

In breve: come si accorge un'azienda di avere il sito bucato?

Quasi mai dall'interno. Se ne accorge quando Google segnala il sito come pericoloso, quando il sito sparisce dai risultati di ricerca, quando l'hosting sospende l'account per traffico anomalo o quando i clienti scrivono che il sito manda email strane. Nel frattempo il danno è già in corso: il sito può essere usato per inviare spam, per dirottare i visitatori altrove o per tenere in ostaggio i dati.

• Un sito WordPress ha più punti di ingresso: hosting, tema, plugin, utenti e password.

• Ogni punto di ingresso è di un fornitore diverso: chi risponde non è automatico.

• Un sito Wix ha un solo fornitore dell'infrastruttura: Wix. Gli accessi che restano tuoi sono quelli al tuo account.

Da dove entrano, in pratica

Nella grande maggioranza dei casi non è un attacco mirato alla tua azienda: è una scansione automatica che cerca versioni vecchie. Chi cerca non sa chi sei, sa solo che il tuo sito risponde a una firma conosciuta.

1. Un plugin non aggiornato

Quando una vulnerabilità diventa pubblica, la sua descrizione è pubblica anche per chi attacca. Da quel momento conta solo una cosa: quanto tempo passa prima che il plugin venga aggiornato sul tuo sito. Se nessuno lo aggiorna, la finestra resta aperta.

2. Tema o versione di PHP vecchi

Il tema è codice come il resto e va aggiornato. La versione di PHP, invece, spesso resta ferma per anni: aggiornarla può richiedere di sistemare il tema, e quindi nessuno la tocca.

3. Credenziali riutilizzate

La password dell'amministratore WordPress usata anche altrove, o un accesso condiviso fra più persone, sono una porta che non si vede ma resta aperta. La doppia verifica risolve molto: va attivata, non data per scontata.

4. Hosting condiviso e nessun monitoraggio

Se il sito sta su un piano condiviso senza controllo dei file e senza avvisi, l'intrusione può restare invisibile per settimane. Il backup aiuta, ma va verificato: un backup che non si riesce a ripristinare non è un backup.

Chi risponde, se il sito viene bucato?

Questa è la domanda da fare prima, non dopo. E la risposta sta nel contratto, non nella buona volontà.

• Wix: l'infrastruttura, il certificato, gli aggiornamenti di sicurezza e il ripristino del sito sono gestiti dalla piattaforma. Se il problema nasce lì, risponde Wix.

• WordPress: l'hosting risponde della macchina, chi gestisce il sito risponde di tema, plugin e utenti. Se non c'è scritto nero su bianco chi fa cosa, in caso di incidente il tempo si perde a discutere.

• In entrambi i casi: gli accessi al tuo account restano una tua responsabilità. Password debole e doppia verifica spenta sono la falla più banale e la più usata.

Cosa fare nei primi 60 minuti se è già successo

• Cambia subito tutte le password (hosting, WordPress, email, database) e attiva la doppia verifica.

• Metti il sito in manutenzione, se puoi: evita che i visitatori vedano quello che vede Google.

• Fai fare una scansione dei file e del database, non solo una pulizia superficiale.

• Ripristina da un backup recente e verificato, se la pulizia non è affidabile.

• Segnala il sito a Google (Search Console) e chiedi la revisione: finché risulta pericoloso, resta fuori dai risultati.

• Guarda le email: se il sito era su un dominio usato anche per la posta, l'accesso può essere stato usato per inviare spam a nome tuo.

Nessuno di questi passi è drammatico preso da solo. Il problema è il tempo: ogni giorno che il sito resta compromesso è un giorno in cui Google e i tuoi clienti lo vedono per quello che non è.

Cosa cambia quando la piattaforma se ne occupa

Su Wix non c'è un plugin da aggiornare, un tema da patchare o una versione di PHP da rincorrere: hosting, certificato, aggiornamenti e ripristino del sito sono dentro la piattaforma. Restano due cose da fare, e sono tue: proteggere l'account (password robusta e doppia verifica) e tenere i contenuti in ordine.

• Niente plugin di terzi da aggiornare: le funzioni che servono (moduli, newsletter, prenotazioni) sono parte della piattaforma.

• Nessun file da scansionare a mano: l'infrastruttura non è sulla tua scrivania.

• Cronologia del sito e ripristino disponibili dal pannello, senza aprire un ticket al fornitore.

Se vuoi il quadro completo punto per punto, il confronto su aggiornamenti, sicurezza, backup e proprietà è nell'articolo WordPress o Wix nel 2026: il confronto onesto.

Domande frequenti

Un sito piccolo non interessa a nessuno, giusto?

Al contrario: gli attacchi automatici cercano siti facili, non siti importanti. Un sito piccolo e non aggiornato è un bersaglio più semplice di uno grande e curato.

Basta il backup per dormire tranquilli?

No, se non è mai stato provato un ripristino. Il backup serve solo se si riesce a rimettere online il sito in tempi ragionevoli: va verificato, non solo configurato.

Il certificato SSL basta come sicurezza?

No. L'SSL cifra il collegamento fra visitatore e sito: non impedisce che qualcuno entri dal lato amministrativo o da un plugin non aggiornato.

Su Wix il sito può essere bucato?

Non esiste un sistema immune: nessuna piattaforma lo è. La differenza è che su Wix il presidio dell'infrastruttura è continuo e centralizzato, non lasciato a un aggiornamento che deve fare qualcuno.

In due righe

Un sito non si buca per sfortuna, si buca perché per mesi nessuno ha aggiornato niente. Se nessuno lo fa, il problema non è WordPress: è che il tuo sito è scoperto.

Siamo partner Wix di livello Leggenda e seguiamo siti aziendali ogni giorno: guarda gli esempi. Scrivici dai contatti: risposta entro un giorno lavorativo.

Contenuti verificati il 3 novembre 2026.