«Abbiamo i backup automatici, quindi siamo tranquilli». È una risposta frequente quando si parla della sicurezza di un sito WordPress. Ma c’è una domanda più utile: se domani il sito smettesse di funzionare, riusciresti davvero a riportarlo online? E quanto tempo impiegheresti?
Un backup può esistere ed essere comunque inutilizzabile: file incompleti, database mancante, credenziali non disponibili o copie salvate soltanto sul server che si è guastato. Non serve aspettare un incidente per scoprirlo. Vediamo cosa controllare e come organizzare una prova di ripristino senza mettere a rischio il sito pubblico.
Fare un backup e poter ripristinare sono due cose diverse
Una copia di sicurezza conserva dati; un ripristino funzionante permette di rimettere in servizio un sito. Per WordPress servono normalmente sia i file — temi, plugin, caricamenti e configurazioni — sia il database, che contiene articoli, pagine, impostazioni e molte informazioni operative.
Se salvi solo la cartella dei file, potresti perdere contenuti e configurazioni. Se conservi soltanto il database, potrebbero mancare immagini, plugin o parti essenziali del tema. Alcuni servizi gestiti offrono backup completi, ma non conviene dedurlo dal nome del piano: bisogna verificarne l’ambito.
Le cinque domande da fare prima che succeda un problema
1. Che cosa viene salvato esattamente?
Controlla se la copia include database, file di WordPress, cartella uploads, plugin, temi ed eventuali componenti personalizzati. Se il sito usa WooCommerce, sistemi di prenotazione o moduli che salvano richieste nel database, assicurati che quei dati siano inclusi. Un elenco delle cartelle non basta: verifica anche che l’archivio sia leggibile e non presenti errori.
2. Ogni quanto viene eseguito il backup?
Un sito vetrina aggiornato raramente ha esigenze diverse da un e-commerce con ordini quotidiani. Chiediti quanti dati puoi permetterti di perdere: un giorno di modifiche, un’ora di ordini o quasi nulla? La frequenza va decisa in base al valore dei dati che cambiano, non solo all’opzione predefinita del plugin.
3. Dove vengono conservate le copie?
Se backup e sito risiedono sullo stesso server, un guasto o un attacco potrebbe colpire entrambi. È preferibile prevedere una copia separata, con accessi protetti e una politica di conservazione definita. Verifica chi può scaricare, cancellare e ripristinare gli archivi. Anche i backup contengono dati potenzialmente riservati.
4. Quante versioni precedenti restano disponibili?
Non tutti i problemi vengono scoperti subito. Un’infezione, una modifica errata o una cancellazione potrebbero risalire a giorni prima. Se conservi soltanto l’ultima copia, rischi di ripristinare anche il problema. Controlla per quanto tempo vengono mantenute le versioni precedenti e se la rotazione elimina troppo presto quelle utili.
5. Chi sa effettuare davvero il ripristino?
Un pulsante «Ripristina» non sostituisce una procedura. Servono accesso all’hosting, al dominio e agli eventuali servizi esterni, oltre a una persona che sappia individuare la copia corretta e verificare il risultato. Se il lavoro dipende da un fornitore, chiarisci in anticipo tempi di intervento, responsabilità e modalità di contatto. Se vuoi affidare a un team questi controlli e la gestione continuativa delle copie, scopri il nostro servizio di manutenzione WordPress e WooCommerce.
Come provare un backup WordPress senza rischiare il sito online
La verifica più convincente è un ripristino di prova in un ambiente separato. Non significa sovrascrivere il sito pubblico. Si prepara uno spazio isolato, si recuperano file e database da una copia reale e si controlla che il sito funzioni. Per capire quando usare un ambiente di test, leggi anche la nostra guida sullo staging WordPress e gli errori da evitare.
- Scegli una copia reale, non un backup appena creato soltanto per il test.
- Prepara un ambiente isolato, protetto dall’indicizzazione e dall’accesso dei visitatori.
- Ripristina file e database seguendo le istruzioni del servizio o del plugin utilizzato.
- Controlla le funzioni principali: pagine, immagini, login, menu, moduli, eventuali prodotti e processi di acquisto.
- Documenta tempi e problemi, così la procedura sarà ripetibile in un’emergenza.
Attenzione ai siti con ordini, pagamenti, email automatiche e integrazioni: nell’ambiente di prova occorre disattivare o isolare le funzioni che potrebbero inviare comunicazioni reali, incassare pagamenti o sincronizzare dati con sistemi esterni.
Quali controlli fare dopo un ripristino riuscito?
Non fermarti alla homepage. Prova ad aprire pagine interne, effettuare il login, verificare immagini e allegati, controllare i link e testare i moduli senza inviare messaggi a clienti reali. Per WooCommerce verifica il catalogo, il carrello e il checkout in modalità di test. Controlla anche i permessi degli utenti, i certificati HTTPS e le integrazioni più importanti.
Un sito che «si vede» può avere ancora funzioni rotte. Se ad esempio i moduli confermano l’invio ma le email non arrivano, il problema potrebbe restare invisibile a una verifica superficiale: abbiamo dedicato una guida ai moduli WordPress che non recapitano i messaggi.
Quanto tempo e quanti dati puoi permetterti di perdere?
Due concetti aiutano a decidere: il tempo massimo accettabile per tornare operativi e la quantità massima di dati che puoi perdere. Non serve conoscere le sigle tecniche per discuterne con il fornitore. Se un negozio online non può perdere gli ordini della giornata, un backup notturno potrebbe non bastare. Se una piccola vetrina viene aggiornata una volta al mese, potrebbe essere sufficiente un’altra strategia.
Il punto è rendere esplicite le esigenze: una copia ogni 24 ore non equivale a un ripristino in 24 ore. Il tempo necessario dipende da dimensioni del sito, accessi disponibili, infrastruttura e complessità delle integrazioni.
Quando il backup non basta: sito compromesso o dati alterati
Ripristinare una copia precedente può aiutare dopo un errore, ma non elimina automaticamente la causa di un attacco. Se il sito è stato compromesso, prima di riaprirlo bisogna individuare il problema, correggere la vulnerabilità, verificare gli accessi e accertarsi che la copia scelta non contenga già file malevoli. Per le prime decisioni consulta la guida su cosa fare nelle prime ore dopo un possibile attacco WordPress.
Una piccola checklist da conservare
Per sapere se sei preparato, devi poter rispondere a queste domande: esiste una copia completa e recente? È conservata anche fuori dal server principale? Hai più versioni? Sai chi possiede gli accessi? Hai provato almeno una volta a ripristinarla? Sai quanto tempo richiede? E hai controllato che le funzioni essenziali tornino operative?
Se non conosci le risposte, il primo passo non è acquistare un altro plugin: è verificare il sistema che hai già e colmare le lacune. Un backup affidabile è quello che hai dimostrato di poter utilizzare, non soltanto quello che compare come «completato» in una dashboard.
