Perché il tuo sito web ha bisogno di aggiornamenti continui: spiegato a chi paga la fattura

Un sito web non è un prodotto finito. Lo dico con questa precisione perché la maggior parte dei titolari di PMI con cui ho lavorato nel tempo parte dal presupposto opposto: pensano che un sito, una volta consegnato, funzionerà esattamente come il giorno in cui è andato online, e che qualsiasi richiesta di budget successiva al lancio sia una spesa discrezionale, non una necessità tecnica. Non è così. E questa convinzione, di fatto, è alla radice di molti problemi che vedo su siti costruiti anche molto bene, da sviluppatori seri, con tecnologie moderne.

In questo articolo vado a spiegare perché un sito web ha bisogno di aggiornamenti continui, cosa si aggiorna concretamente e, soprattutto, cosa rischi se non aggiorni. Lo faccio usando un linguaggio che non richiede di conoscere la programmazione, dal momento che questo è esattamente il tipo di conversazione che dovresti poter avere con chiunque ti gestisca il sito.

Un sito web è costruito su un ecosistema, non su un'isola

Quando uno sviluppatore costruisce un sito moderno, non scrive tutto il codice da zero. Utilizza centinaia di "componenti" software realizzati da altri sviluppatori e distribuiti gratuitamente come software open source. Questi componenti si chiamano dipendenze, e nel mondo del web JavaScript, che alimenta la maggior parte dei siti professionali costruiti negli ultimi anni, vengono gestiti attraverso un sistema chiamato npm (Node Package Manager).

Pensa a queste dipendenze come ai mattoncini con cui è costruito il tuo sito. Il tuo sviluppatore non ha inventato il modo in cui il sito si connette ai server di pagamento, né il componente che gestisce il form di contatto, né il sistema di navigazione su mobile: ha usato componenti già esistenti, testati da migliaia di altri sviluppatori in tutto il mondo, e li ha assemblati nella struttura specifica del tuo progetto.

Il problema è che questi componenti cambiano nel tempo. I loro autori rilasciano aggiornamenti che correggono errori, migliorano le prestazioni o aggiungono funzionalità. E quando cambiano in modo significativo, il sito che li usa deve essere aggiornato per restare compatibile e sicuro. Nessun mattoncino rimane identico per sempre, e l'ecosistema che regge il tuo sito evolve indipendentemente da quello che hai deciso tu nel giorno del lancio.

Le vulnerabilità di sicurezza che non vedi

Questo è il punto che di certo dovrebbe preoccupare di più qualsiasi titolare di PMI: ogni dipendenza che non viene aggiornata è una potenziale porta di accesso per chi vuole compromettere il tuo sito.

Non si tratta di scenari teorici. Quando un ricercatore di sicurezza scopre una vulnerabilità in una libreria molto diffusa, la notizia viene pubblicata in database pubblici come il CVE (Common Vulnerabilities and Exposures) e diventa immediatamente nota anche a chi costruisce strumenti automatici per sfruttarla. Da quel momento, qualsiasi sito che usa quella versione vulnerabile della libreria è esposto, e il rischio cresce man mano che passa il tempo senza che venga applicato un aggiornamento correttivo.

Quello che succede in pratica, e che ho visto succedere su siti di clienti che ho preso in carico quando la situazione era già degenerata, è che il sito viene compromesso in modo automatico, senza che nessun hacker si sia mai interessato specificamente alla tua attività. Ci sono strumenti che scansionano migliaia di siti al giorno cercando versioni vulnerabili di librerie note, e quando le trovano agiscono in modo automatico. Il tuo negozio di Bari, la tua agenzia di Taranto o il tuo studio professionale di Lecce non devono essere bersagli interessanti per subire questo tipo di attacco: basta essere su internet con un software non aggiornato da troppo tempo.

La questione della sicurezza, poi, non riguarda soltanto te: se il tuo sito raccoglie dati personali dei clienti, indirizzi email o informazioni di pagamento, sei responsabile della loro protezione ai sensi del GDPR. Un sito compromesso per mancanza di manutenzione non è una sfortuna, è una negligenza con conseguenze legali precise.

Cosa si aggiorna concretamente su un sito web

Per capire perché la manutenzione ha senso e perché costa tempo (e dunque denaro), è utile sapere cosa si aggiorna concretamente. Le componenti principali sono tre, e ognuna segue un ritmo diverso.

La prima è il FRAMEWORK, ossia la struttura portante del sito. Se il tuo sito è costruito con Next.js, con WordPress, con Astro o con qualsiasi altro sistema moderno, quel sistema rilascia aggiornamenti periodici che correggono problemi, migliorano le prestazioni e introducono nuove funzionalità. Aggiornare il framework richiede di verificare che tutte le altre parti del sito continuino a funzionare correttamente, perché a volte i cambiamenti non sono retrocompatibili con quello che era stato scritto prima.

La seconda componente è l'insieme delle dipendenze. Un progetto web medio utilizza decine o centinaia di pacchetti esterni. Non tutti si aggiornano allo stesso ritmo: alcuni cambiano ogni settimana, altri ogni mese, altri restano stabili per anni. Il lavoro di manutenzione ordinaria consiste anche nel valutare quali aggiornamenti applicare subito, tipicamente quelli che riguardano la sicurezza, e quali richiedono più attenzione perché potrebbero introdurre cambiamenti nel comportamento del sito.

La terza componente è l'infrastruttura, ossia il sistema operativo e l'ambiente su cui gira il sito. Se il sito è in hosting gestito, questa parte la gestisce il provider. Se è su un server dedicato o in cloud, rientra nella manutenzione del progetto e richiede attenzione periodica, seppur meno frequente rispetto alle prime due componenti.

Cosa succede concretamente se non aggiorni

La conseguenza più immediata, seppur non sempre la più grave, è che alcune funzionalità smettono di funzionare correttamente su nuovi browser o dispositivi. I browser si aggiornano costantemente e a volte smettono di supportare funzionalità obsolete o cambiano il comportamento di certi elementi. Se il sito non viene mantenuto, questa incompatibilità può tradursi in pulsanti che non rispondono, form che non si inviano, o layout che si rompono su versioni recenti di Chrome, Safari o Firefox.

Una conseguenza più seria riguarda le integrazioni. Il tuo sito probabilmente si collega a servizi esterni: un gateway di pagamento, un sistema di prenotazione, un CRM, Google Analytics, una piattaforma di email marketing. Questi servizi aggiornano periodicamente le proprie API, ossia le interfacce attraverso cui comunicano con il tuo sito, e a volte rendono obsolete le versioni precedenti. Quando questo accade, l'integrazione smette di funzionare. Quest'ultimo tipo di problema è quello che crea più urgenza, dal momento che si traduce spesso in prenotazioni che non arrivano, pagamenti che falliscono o dati che non vengono registrati correttamente.

La conseguenza più grave, di cui ho già parlato, è la vulnerabilità di sicurezza. Su un sito di e-commerce o su qualsiasi sito che gestisce dati personali dei clienti, questa non è mai una questione teorica: è una responsabilità diretta dell'imprenditore nei confronti dei propri utenti.

Ogni quanto ha senso aggiornare

Non esiste una risposta unica, perché dipende dalla tecnologia usata e dalla complessità del progetto. Quello che posso dirti, sulla base dei progetti che seguo, è che una manutenzione ordinaria mensile è sufficiente per la maggior parte dei siti professionali: comprende l'aggiornamento delle dipendenze con problemi di sicurezza noti, la verifica del funzionamento delle funzionalità principali e il monitoraggio delle prestazioni di caricamento.

Ci sono poi gli aggiornamenti di versione maggiore del framework, che di solito arrivano una o due volte all'anno e richiedono un lavoro più approfondito. Prima di applicarli è necessario testare il sito in un ambiente di staging, ossia una copia di prova separata dal sito reale, per verificare che tutto continui a funzionare come prima. Questo tipo di aggiornamento ha un costo superiore e va pianificato con anticipo, non affrontato in emergenza.

Il consiglio che do sempre a chi mi commissiona un progetto è di includere la manutenzione nel contratto fin dall'inizio, non di pensarci dopo. Un sito senza manutenzione è come un ufficio senza pulizie ordinarie: per qualche mese non si nota nulla, poi improvvisamente la situazione è degenerata al punto da richiedere un intervento straordinario molto più costoso di qualsiasi cura ordinaria.

Cosa chiedere al tuo sviluppatore

Se hai un sito attivo che non viene toccato da mesi o da anni, ci sono alcune domande concrete che puoi fare al tuo sviluppatore o all'agenzia che lo gestisce.

La prima è: "Quale versione del framework usi e quanto è distante dalla versione attuale supportata?" Se la risposta è che siete fermi a versioni uscite due o tre anni fa, è il momento di pianificare un aggiornamento. I framework principali indicano esplicitamente quali versioni sono ancora in supporto attivo e quali sono considerate End of Life, ossia non più mantenute dai loro autori.

La seconda domanda è: "Ci sono dipendenze con vulnerabilità di sicurezza note e non corrette?" Questa informazione è ricavabile in pochi minuti con strumenti standard come npm audit, che qualsiasi sviluppatore che lavora con JavaScript conosce certamente. Se non sa risponderti o non ha mai verificato, è un segnale che il sito non viene manutenuto in modo adeguato.

La terza domanda riguarda le integrazioni: "I servizi esterni collegati al sito sono aggiornati?" Se il tuo sito usa un gateway di pagamento o una piattaforma di prenotazione, è utile verificare periodicamente che l'integrazione funzioni correttamente su tutto il flusso, non soltanto che il sito sia visibile.

La manutenzione non è una spesa opzionale

Quando penso alla conversazione che ho quasi sempre con i nuovi clienti su questo argomento, mi rendo conto che il problema di fondo è di aspettativa: chi commissiona un sito tende a pensarlo come un prodotto con un costo una tantum, come l'acquisto di un computer o di un software con licenza perpetua. La realtà del web moderno è diversa. Un sito professionale è più simile a un'infrastruttura che a un oggetto, proprio perché l'ecosistema tecnologico su cui si appoggia è in continua evoluzione e richiede cura continua per restare funzionante, sicuro e performante nel tempo.

Non ho intenzione di fare allarmismo: nella maggior parte dei casi un sito ben costruito resta funzionante per mesi senza interventi urgenti. Ma "funzionante" non significa "sicuro" e non significa "aggiornato", e la differenza tra questi tre stati, nel lungo periodo, è quella che distingue un sito che continua a lavorare per te da uno che a un certo punto smette di farlo senza avvertirti in anticipo.

Se il sito della tua attività non viene toccato da più di sei mesi, questo è il momento giusto per fare un check-up. Possiamo valutare insieme lo stato delle dipendenze, verificare le integrazioni e strutturare un piano di manutenzione ordinaria che si adatti al tuo budget e alla complessità del progetto. Scrivimi e ti rispondo entro 24 ore.