WordPress è ancora attuale nel 2026? E dovete davvero sceglierlo?

La risposta breve: No, non dovete per forza usare WordPress. WordPress è il sistema più conosciuto per i siti internet, ma non è automaticamente il migliore nel vostro caso. Se vi serve un sito contenuto che modificate di rado, esistono strade più semplici che richiedono meno manutenzione. WordPress ha senso soprattutto se volete pubblicare testi da soli con regolarità senza chiamare ogni volta un tecnico, e se un domani qualcun altro deve poter riprendere in mano il vostro sito. E se temete gli aggiornamenti continui: potete anche noleggiare WordPress in modo che sia un fornitore a occuparsene. Quanto costa e a che cosa fare attenzione è spiegato più avanti.

Indice

1. Che cos'è WordPress in realtà?
2. Esistono due cose che si chiamano entrambe "WordPress"
3. Perché si legge di continuo di attacchi a WordPress?
4. Che cosa significa concretamente "fare gli aggiornamenti"?
5. L'alternativa: un sito senza alcun accesso
6. Dove quell'ora diventa un fine settimana
7. Che cosa fa davvero meglio WordPress
8. Se volete WordPress: le tre strade e quanto costano
9. La trappola degli aggiornamenti nella parola "managed"
10. E se non voleste fare niente di tutto questo da soli?
11. Tre domande che risolvono la vostra decisione
12. Domande frequenti

Questo articolo riflette la situazione di luglio 2026. I prezzi indicati sono dati dei fornitori al momento della ricerca, per lo più al netto dell'IVA e in parte promozionali; verificateli presso il fornitore prima di decidere.

Che cos'è WordPress in realtà?

WordPress è un programma che gira su un computer noleggiato in internet — il cosiddetto server — e che da lì genera il vostro sito. Vi collegate con nome utente e password, scrivete il testo in un campo che assomiglia a un semplice programma di videoscrittura, cliccate su "Pubblica" e la pagina è online. Per farlo non serve sapere nulla di programmazione.

Ciò che ha reso grande WordPress sono le estensioni, chiamate in gergo plugin. Sono piccoli programmi aggiuntivi di fornitori esterni che si aggiungono con pochi clic: uno per il modulo di contatto, uno per l'avviso sui cookie, uno per i salvataggi, uno per il negozio online. Ne esistono decine di migliaia. Queste estensioni sono la ragione della popolarità di WordPress e, come vedrete tra poco, anche la causa di quasi tutti i problemi.

Esistono due cose che si chiamano entrambe "WordPress"

È la confusione più diffusa in assoluto, e senza chiarirla non si capisce il resto:

wordpress.org è il software vero e proprio. È gratuito. Lo scaricate e lo installate su un server che noleggiate. Tutto ciò che accade dopo — aggiornamenti, salvataggi, riparazioni — è affare vostro o di qualcuno che pagate per questo.

wordpress.com è invece un'azienda presso la quale noleggiate un sito già pronto. Lì è tutto già configurato, vi collegate e iniziate a scrivere. Pagate ogni mese e in cambio avete meno libertà.

I due sono vagamente collegati, ma nella pratica quotidiana sono due offerte completamente diverse. Quando qualcuno vi dice che WordPress è gratuito intende wordpress.org, e il software lo è davvero. Il server, l'indirizzo del vostro sito e soprattutto la manutenzione non lo sono.

Perché si legge di continuo di attacchi a WordPress?

Perché WordPress è molto diffuso. L'azienda di sicurezza Patchstack, che raccoglie questi casi in modo sistematico, ha contato per il 2025 in tutto 11.334 nuove vulnerabilità scoperte nell'ambiente WordPress. Il numero sembra schiacciante. Decisivo è però dove si trovano queste falle:

• Il 91 per cento era nelle estensioni, cioè nei programmi aggiuntivi di fornitori esterni.
• Il 9 per cento era nei modelli grafici che danno l'aspetto al sito.
• Nel nucleo vero e proprio di WordPress sono state sei in tutto l'anno, tutte classificate a rischio basso.

Questa è la risposta alla domanda che assilla molti. Non è WordPress in sé la porta d'ingresso, ma ciò che vi si installa accanto. Chi aggiunge venti estensioni ha venti programmi estranei sul proprio server, della cui manutenzione dovrebbero occuparsi venti persone diverse. E non tutte lo fanno, tutt'altro: secondo lo stesso rapporto più della metà dei fornitori informati non aveva risolto il problema prima che diventasse pubblico.

Nemmeno il nucleo è del tutto immune. Nel luglio 2026 si è verificato uno di questi rari casi: con la combinazione di due difetti era possibile prendere il controllo completo di un sito senza che l'aggressore avesse bisogno di una password. Il 17 luglio sono usciti gli aggiornamenti d'emergenza. Ha colpito la reazione di alcuni fornitori: presso un host tedesco la via d'attacco era già bloccata il giorno successivo per tutti i clienti, senza che questi dovessero fare nulla. Su questa differenza torneremo proprio nella sezione sulle tre strade.

Un chiarimento importante: alla porta di ogni sito internet bussa qualcuno. Programmi automatici setacciano senza sosta la rete alla ricerca di siti in cui sia rimasto qualcosa di aperto. La differenza non sta nel fatto che qualcuno passi, ma nel fatto che trovi qualcosa che cede.

Che cosa significa concretamente "fare gli aggiornamenti"?

Un aggiornamento è una versione riveduta di un programma con cui il produttore corregge errori. In WordPress questi aggiornamenti escono di continuo: per WordPress stesso, per ogni singola estensione e per il modello grafico. Su un normale sito aziendale si accumulano rapidamente più segnalazioni a settimana.

Nella pratica significa tre cose:

Primo, qualcuno deve accorgersi delle segnalazioni. Chi entra solo ogni tre mesi lascia falle note aperte per tre mesi, e le falle note vengono sfruttate in fretta, spesso entro un giorno dalla pubblicazione.

Secondo, un aggiornamento può rompere qualcosa. Due estensioni che funzionano separatamente all'improvviso non vanno più d'accordo dopo l'aggiornamento e il modulo di contatto sparisce. Per questo si fa un salvataggio prima, si verifica dopo e serve qualcuno in grado di valutare il risultato.

Terzo, costa denaro se non lo fate da soli. I contratti di manutenzione dei fornitori tedeschi si collocano di solito tra 40 e 150 euro al mese per un normale sito aziendale; per un negozio online piuttosto verso la fascia alta. Calcolato su tre anni, si arriva facilmente a 2.000-5.000 euro solo per tenere tutto aggiornato.

Questo conto è il vero motivo per cui la domanda "devo per forza usare WordPress?" è legittima.

L'alternativa: un sito senza alcun accesso

Qui aiuta una distinzione che quasi nessuno spiega perché suona tecnica, ma che è facile da capire e decide tutto.

Possibilità A: pagine già pronte. Le vostre pagine vengono create una volta al computer e poi trasferite sul server, come un tempo si masterizzavano i file su un CD. Non c'è area di accesso, né password, né banca dati, quindi nessun archivio digitale con i testi che qualcuno potrebbe forzare. Ci sono semplicemente pagine pronte che vengono mostrate. Se volete cambiare qualcosa, lo cambiate al computer e lo caricate di nuovo.

Possibilità B: un sistema con area di accesso. Vi collegate via internet e scrivete lì. È esattamente ciò che fa WordPress.

La differenza di sicurezza non è un dettaglio, è il cuore della questione: con la possibilità A non c'è quasi nulla da prendere. Non perché non passi nessuno, ma perché non c'è niente che possa cedere. Dove sta invece il pericolo va detto con onestà: nelle credenziali di accesso al vostro server e al vostro account cliente presso il fornitore. Chi perde la password perde anche un sito di questo tipo. (Come proteggere i vostri accessi è spiegato nel nostro articolo sulla sicurezza informatica per i lavoratori autonomi.)

Proprio questa possibilità A è ciò che si ottiene oggi facendo costruire un sito con l'aiuto di un programma di IA. Per un blog, il sito di un artigiano o una presentazione aziendale è una scelta seria, non il ripiego per cui talvolta viene spacciata.

Un avvertimento è d'obbligo: non appena il vostro sito su misura riceve comunque un'area di accesso perché volete scrivere comodamente nel browser, avete costruito esattamente ciò che rende WordPress attaccabile, solo che in WordPress migliaia di esperti esaminano il codice mentre nella vostra soluzione non lo fa nessuno. Un sistema poco usato viene attaccato automaticamente più di rado. Questo lo rende meno appariscente, non più sicuro.

Dove quell'ora diventa un fine settimana

Che un sito del genere sia in piedi in una o due ore è vero, per il sito in sé. Ciò che quella stima di solito non comprende:

• Modulo di contatto. Un sito senza area di accesso non può inviare messaggi da solo. Vi serve un servizio aggiuntivo, e questo ha bisogno di una protezione contro la posta indesiderata, altrimenti ogni giorno finiscono centinaia di messaggi automatici nella vostra casella.
• Indicazioni obbligatorie. Le note legali e l'informativa sulla privacy devono essere corrette nella sostanza; un avviso sui cookie diventa necessario non appena inserite ad esempio una mappa o un video di terzi. L'esperienza mostra che i siti generati dall'IA presentano lacune proprio qui, e ci si accorge solo quando arriva una lettera.
• Immagini. Le foto dal telefono sono troppo grandi e rallentano il sito. Qualcuno deve ridurle.
• Farsi trovare. Perché Google registri correttamente il sito servono alcune indicazioni che un'IA non fornisce da sola. Ne parliamo nel nostro articolo sulla SEO per le piccole imprese.
• Le modifiche successive. Ogni modifica significa: aprire il computer, cambiare il file, caricarlo. Dal telefono non si può.

Nulla di tutto ciò è drammatico. Insieme, però, sono le ore che trasformano "due ore" in due fine settimana. Chi lo sa e lo vuole comunque prende una buona decisione. Chi non lo sa resta deluso.

Che cosa fa davvero meglio WordPress

Tre cose; tutto il resto è pubblicità.

1. Non dipendete da una sola persona. È il punto più importante e quello che quasi nessuno cita. Il vostro sito su misura lo capisce l'IA che lo ha prodotto, e voi finché ve ne ricordate. Trovare tra tre anni qualcuno che si addentri in quella soluzione del tutto particolare è faticoso e costoso. Per WordPress trovate praticamente in ogni città di provincia qualcuno che lo conosce. Se il vostro sito deve sopravvivere al vostro impegno personale o se un giorno lo riprenderà un collaboratore, un successore o un'agenzia, questo è un argomento molto forte.

2. Potete modificare i contenuti senza un tecnico e senza il vostro computer. Aggiornare il listino, mettere un avviso di ferie, scrivere un articolo: dal telefono, dall'auto, la sera sul divano. Chi cambia qualcosa due volte l'anno non ne sentirà quasi la mancanza. Chi scrive ogni settimana, molto.

3. Le noiose parti obbligatorie sono già pronte. Modulo di contatto con protezione dalla posta indesiderata, avviso sui cookie, riduzione delle immagini, indicazioni per Google, più lingue. Presa singolarmente nessuna è un dramma. Insieme sono esattamente le ore della sezione precedente.

E dove WordPress non è più in vantaggio? Nell'aspetto, nella velocità, nel posizionamento su Google e nel prezzo. Su tutti e quattro i punti un sito leggero e costruito con criterio tende a essere migliore, non peggiore.

Se volete WordPress: le tre strade e quanto costano

Supponiamo che abbiate scelto WordPress. Allora si aprono tre strade, che si distinguono soprattutto per quanto lavoro resta a voi.

Strada 1: noleggiare da WordPress.com

Noleggiate il sito già pronto direttamente dal fornitore e non installate nulla. A luglio 2026 i piani con pagamento annuale erano di 0 euro (gratuito, con limitazioni), 4 euro (Personale), 8 euro (Premium), 25 euro (Business) e 45 euro (Commerce) al mese.

Il punto da conoscere: scegliere liberamente le estensioni — cioè la libertà per cui si sceglie WordPress — è possibile solo a partire dal piano Business da 25 euro. Chi parte dal basso spesso si accorge solo più tardi che gli manca una funzione precisa.

Adatto a: chi vuole scrivere e non desidera avere a che fare con la tecnica.

Strada 2: hosting gestito, se ne occupa qualcun altro

"Managed", cioè gestito, significa che non noleggiate il sito ma la cura che gli sta intorno. Il fornitore installa gli aggiornamenti, esegue i salvataggi e sorveglia il server. È la risposta diretta al timore dell'eterno lavoro di aggiornamento. Fornitori tedeschi con server in Germania (situazione luglio 2026, prezzi al netto dell'IVA):

Adatto a: tutti quelli che vogliono WordPress ma non intendono curarlo di persona, cioè la maggioranza.

Strada 3: hosting normale, installazione fai da te

La strada più economica. Prenotate un semplice pacchetto di hosting, installate WordPress con pochi clic tramite un assistente e fate gli aggiornamenti da soli. Tra i fornitori con centri dati tedeschi ci sono All-Inkl, IONOS, Strato, webgo, Mittwald e Hetzner; i pacchetti base partono da pochi euro al mese, IONOS pubblicizza prezzi promozionali da 1 euro (in cambio di dodici mesi di durata minima e di un contributo di attivazione una tantum). Per chi è alle prime armi, nei test Strato è considerata la scelta più semplice e All-Inkl il rapporto qualità-prezzo più equilibrato per le piccole attività.

Siate consapevoli solo di una cosa: con questa strada tutto il lavoro di aggiornamento resta a voi. È esattamente l'impegno che probabilmente volevate evitare.

Adatto a: chi vuole imparare e ci trova gusto. Chi desidera approfondire trova la procedura nella nostra serie sul server proprio con Debian.

E la valutazione che tiene insieme tutto: i 13-44 euro al mese della strada 2 non sono un sovrapprezzo. Sostituiscono il contratto di manutenzione da 40-150 euro oppure il vostro tempo. La domanda non è se pagate per la manutenzione, ma dove.

La trappola degli aggiornamenti nella parola "managed"

Qui bisogna guardare bene, perché "managed" non è un termine tutelato e i fornitori vi attribuiscono significati diversi.

Ricordate i numeri di prima: il 91 per cento delle vulnerabilità sta nelle estensioni, sei casi all'anno nel nucleo di WordPress. E ora il punto decisivo: molti piani gestiti aggiornano solo il nucleo, non le estensioni.

Da Raidboxes, per esempio, i piani Mini (17 euro) e Starter (22 euro) comprendono gli aggiornamenti automatici di WordPress stesso. Delle estensioni e dei modelli grafici il fornitore si fa carico espressamente solo nel piano "Fully Managed" da 35 euro. Chi sottoscrive il piano piccolo credendo che così sia tutto sistemato si ritrova proprio quella parte in cui si trovano più di nove falle su dieci.

Analogo il caso di webgo: i pacchetti CMS da 17,95 euro sono una normale offerta di hosting in cui aggiornamenti e salvataggi restano a voi; una vera assistenza completa comincia lì solo con i server gestiti, decisamente più cari. Non è un'accusa al fornitore, sta scritto così nella descrizione del servizio. Basta leggerla.

L'unica domanda da porre a ogni fornitore prima di firmare: "Aggiornate anche le mie estensioni e il mio modello grafico, oppure soltanto WordPress?" La risposta stabilisce se avete comprato manutenzione o soltanto spazio.

E se non voleste fare niente di tutto questo da soli?

Per molti lettori la riflessione finisce proprio qui: serve loro un sito dignitoso, ma non hanno voglia né delle segnalazioni di aggiornamento né di capire quale piano copra quale aggiornamento. In quel caso la strada più sensata è far costruire e curare il sito, senza occuparsi di nulla.

Lo offriamo anche noi, perciò indichiamo i numeri apertamente affinché possiate confrontare. Su peppertools.de/de/ihre-homepage ci sono due modelli:

• 1.490 euro netti una tantum: fino a cinque sottopagine con grafica propria, modulo di contatto e le impostazioni di base perché Google registri correttamente il sito. Il sito poi è vostro. Hosting e indirizzo li prenotate voi.
• 99 euro netti al mese: stessa realizzazione, ma hosting e indirizzo internet sono compresi, così come la cura continuativa, la manutenzione tecnica e le modifiche ai testi. Durata di 24 mesi.

Fino alla messa online passano di norma circa due settimane. Le informative sulla privacy, le basi per farsi trovare e la resa sul telefono fanno parte della realizzazione.

E la valutazione che vi spetta, anche se riguarda noi stessi: confrontate il canone con le singole voci. L'hosting gestito costa 13-44 euro al mese, un contratto di manutenzione altri 40-150 euro, la realizzazione si aggiunge una tantum, e le modifiche ai testi in entrambi i casi le fate voi o le pagate. Chi intende comunque curare il sito da sé e si diverte con la tecnica se la cava a meno con le tre strade precedenti. Chi vuole delegare del tutto non paga di più con il modello a noleggio, ma raggruppa ciò che altrimenti comparirebbe su tre fatture. Che cosa sia meglio per voi dipende unicamente dalla vostra voglia di occuparvene, non da quale modello sembri più caro.

Tre domande che risolvono la vostra decisione

La domanda giusta non è "quale sistema è migliore", ma queste tre:

1. Chi modificherà questo sito fra tre anni, e ne sarà capace? Se la risposta è "io stesso, e me la cavo con la tecnica", un sito semplice senza area di accesso va benissimo. Se la risposta è "non so, qualcuno", scegliete WordPress. Lo si capisce ovunque.

2. Ogni quanto modificate qualcosa? Un numero di telefono nuovo due volte l'anno? Allora non vi serve un'area di accesso. Un articolo, offerte, appuntamenti ogni settimana? Allora la volete.

3. Volete occuparvi degli aggiornamenti o pagare perché lo faccia qualcun altro? Entrambe le cose vanno bene. Solo "né l'uno né l'altro" non funziona. Un sito WordPress di cui nessuno si occupa diventa nel giro di un anno un rischio per voi e per i vostri visitatori.

Domande frequenti

WordPress sta scomparendo? No. Gira ancora su oltre il 40 per cento di tutti i siti internet del mondo, molte volte più del secondo fornitore. La sua quota cala lentamente dalla fine del 2025 perché molti piccoli siti passano a soluzioni preconfezionate a noleggio. Per la vostra decisione di oggi questo non conta.

Il mio sito WordPress attuale è ora insicuro? Non automaticamente. Dovete fare attenzione se da mesi nessuno installa aggiornamenti, se sono installate estensioni che non conoscete o se un'estensione non è più curata affatto dal produttore. Fatelo controllare una volta prima di pensare a un cambio: fare ordine costa spesso meno che ricostruire.

Posso passare più avanti da un sito semplice a WordPress? Sì. I testi e le immagini sono vostri e si possono trasferire; l'impegno sta nell'aspetto e nella struttura. Al contrario funziona allo stesso modo. Il passaggio diventa di solito più difficile con i sistemi preconfezionati a noleggio: chiedete lì prima di firmare in che forma potrete riavere i vostri contenuti.

E per un negozio online? Quella è un'altra domanda con altre risposte, perché si aggiungono pagamento, spedizione e testi legali. Il confronto dei sistemi per negozi si trova in un articolo a parte.

Se siete incerti, cominciate in piccolo: un sito semplice con le informazioni essenziali è meglio di un sistema elaborato che dopo un anno non cura più nessuno. E se scegliete WordPress, mettete in conto la manutenzione fin dall'inizio, come appuntamento fisso in agenda o come voce nei costi mensili. Se comunque volete far realizzare il sito, trovate i prezzi consueti e la procedura nell'articolo sulla creazione di un sito web.

Un ultimo pensiero che a molti facilita la decisione: il vostro sito internet e il vostro lavoro d'ufficio sono due cose separate. Preventivi e fatture li scrivete indipendentemente da ciò su cui gira il vostro sito. Installare un'estensione in WordPress per questo significa un programma in più da tenere aggiornato, e le vostre fatture finiscono sullo stesso server del vostro sito pubblico. Restare separati, per esempio con una soluzione dedicata come office1.cloud, mantiene leggere entrambe le cose: il sito e l'elenco delle cose di cui dovete occuparvi.