Progetti · manutenzione dei siti

Sicurezza e aggiornamenti dei siti

Un sito non è un mobile: invecchia anche se non lo tocca nessuno. Da qualche mese la parte noiosa di tenerlo in piedi — leggere gli avvisi di sicurezza, capire quali riguardano voi, verificare se il sito regge una versione più nuova di PHP — la facciamo con l’IA accanto. Non decide lei: guarda al posto nostro dove nessuno riesce a guardare tutti i giorni.

Cosa invecchia, in un sito

Un sito è fatto di pezzi che non invecchiano insieme: il programma che lo gestisce, il tema che gli dà l’aspetto, i plugin che aggiungono le funzioni, e sotto tutto il linguaggio con cui è scritto — PHP — nella versione che l’hosting ha installato. Ognuno di questi pezzi ha una vita sua, e prima o poi qualcuno la finisce.

Qui c’è l’equivoco che costa più caro. «Non più supportato» non vuol dire «non funziona più». Vuol dire che le falle scoperte da domani in avanti non verranno più chiuse da nessuno. Il sito continua a funzionare benissimo — per mesi, a volte per anni — fino al giorno in cui non funziona per niente. Ed è anche il motivo per cui nessuno se ne occupa: non dà fastidio, finché non è tardi.

I casi più comuni li vediamo tutte le settimane: un plugin che l’autore ha smesso di aggiornare tre anni fa e che nessuno ha sostituito perché «funziona», e siti ancora su PHP 7.4 o 8.0, versioni che non ricevono correzioni da anni e che gli hosting stanno spegnendo d’ufficio.

Perché non basta più aggiornare quando capita

C’è una cosa che vale la pena dire chiaramente, perché cambia il modo di ragionare: chi attacca il vostro sito non vi ha scelti. Quando viene pubblicata una falla in un plugin installato su centomila siti, quello che parte non è una persona che ha deciso di prendersela con voi: sono programmi che passano su tutta la rete e provano, un indirizzo dopo l’altro, senza sapere né chi siete né cosa vendete. Essere piccoli e sconosciuti non protegge: rende solo meno probabile che qualcuno si accorga di quello che è successo.

La conseguenza pratica riguarda i tempi. Se l’attacco è automatico, fra «è uscita la notizia» e «l’aggiornamento è sul sito» devono passare ore o giorni, non il prossimo giro di manutenzione. Ed è esattamente il punto in cui la buona volontà non basta più: gli avvisi da leggere sono decine ogni settimana, e leggerli tutti per scoprire che quasi nessuno vi riguarda è un lavoro che nessuno fa a lungo.

Le tre cose che l’IA ci fa fare in tempo

Non è magia e non è un prodotto che si compra al posto di un tecnico: è un assistente che legge molto più in fretta di noi e non si stanca di rifare la stessa cosa ogni giorno. Il valore, per voi, sta in queste tre.

Chi decide, e chi ci mette la firma

L’IA non ha le mani sul vostro sito. Legge, confronta, propone: non entra e non pubblica niente da sola. Guarda una persona, decide una persona, e la finestra la concordiamo con voi — perché aggiornare è un rischio piccolo ma non è zero, e va corso quando c’è qualcuno pronto a rimediare, non alle due di notte perché era comodo.

E sbaglia. Dice che un plugin è abbandonato quando è solo fermo da un po’, o segnala una falla che nella vostra configurazione non è nemmeno raggiungibile. Per questo il suo lavoro si rilegge sempre: serve a non farci mancare niente, non a farci pensare meno. La responsabilità di quello che finisce sul vostro sito resta di chi lo mette lì, e siamo noi.

Prima di toccare si fa la copia, e il rientro si prova: non si spera che vada bene. È la parte meno interessante del lavoro, ed è quella che decide come finisce la giornata quando qualcosa va storto.

Cosa vedete voi

La manutenzione non è un pacchetto uguale per tutti. Cosa si tiene d’occhio, ogni quanto si interviene e cosa è compreso lo decide il contratto, cliente per cliente: chi ha un sito vetrina non deve pagare quello che serve a chi ha un portale che lavora tutto il giorno. Quello che segue è la forma che prende più spesso, non un listino.

• Gli aggiornamenti li facciamo noi, nella finestra concordata, senza doverci pensare voi.
• Un avviso quando serve una decisione, e scritto in italiano: questo plugin va sostituito, i modi sono due, questo è quello che comporta.
• Il passaggio di versione di PHP preparato prima che l’hosting vi metta davanti a una data.
• Nessuna sorpresa in fattura: una manutenzione costa quello che costa, un sito da rimettere in piedi dopo un guaio costa un’altra cosa — e nel frattempo è fermo.

Le versioni di PHP, i certificati e lo spazio degli hosting che gestiamo li teniamo dentro Nexus, il nostro gestionale: così un sito che sta per restare indietro salta all’occhio da solo, senza che qualcuno debba ricordarsi di andare a guardare.

Perché questa pagina sta qui

Le altre pagine di questa sezione raccontano cose che abbiamo costruito con l’IA. Questa racconta lo stesso strumento usato al contrario: non per fare qualcosa di nuovo, ma per tenere in piedi quello che c’è già. Ed è la cosa che ci sembra più utile per un’azienda che non ha un tecnico in casa — non un sito nuovo, ma un sito che non diventa un problema.