Plugin e temi WordPress: aggiornarli senza rompere il sito

Un sito WordPress è fatto di tre pezzi: WordPress stesso, il tema che decide l’aspetto e i plugin
che aggiungono le funzioni (il modulo contatti, la galleria, il carrello). Il primo, in buona parte,
si aggiorna da solo. Gli altri due no, a meno che qualcuno non glielo dica. Ed è lì che i siti
restano indietro di mesi, a volte di anni.

Perché conta

Ogni plugin è codice scritto da qualcun altro, che gira sul tuo sito con gli stessi permessi di
WordPress. Quando nel codice si trova un difetto, l’autore pubblica una versione corretta. Da quel
momento il problema è noto a tutti, anche a chi cerca siti da attaccare: chi resta sulla versione
vecchia ha una porta aperta di cui ormai si conosce l’indirizzo.

La guida ufficiale alla sicurezza di WordPress lo dice in due righe: “make sure your plugins are
always updated” (assicurati che i plugin siano sempre aggiornati) e “if you are not using a
specific plugin, delete it from the system” (se un plugin non lo usi, cancellalo). Un plugin
disattivato ma ancora installato è codice che nessuno guarda più.

Cosa si aggiorna da solo, e cosa no

Secondo la documentazione di WordPress, di base:

• gli aggiornamenti minori di WordPress (quelli di sicurezza e correzione) si installano da soli;
• le traduzioni si aggiornano da sole;
• plugin e temi no, salvo casi particolari decisi da WordPress.org.

Dalla versione 5.5 l’amministratore può però attivare gli aggiornamenti automatici plugin per
plugin e tema per tema. È una scelta da fare una volta.

Come si attivano

Per i plugin: nella schermata Plugin, ogni riga ha una colonna dedicata agli aggiornamenti
automatici (nella documentazione in inglese si chiama “Automatic update”), con un link per
attivarli o disattivarli. Se vuoi farlo su più plugin insieme, spunta le caselle a sinistra e scegli
l’azione dal menu Azioni di gruppo in cima alla tabella, poi Applica.

Per i temi: in Aspetto → Temi clicca sulla miniatura del tema; sotto il nome dell’autore c’è
il link per abilitare gli aggiornamenti automatici. Qui si va un tema alla volta.

Se quei link non ci sono, la documentazione indica due cause: una versione di WordPress precedente
alla 5.5, oppure la funzione è stata disattivata dal provider dell’hosting o da un plugin.

Due cose da sapere dopo averli attivati:

• WordPress controlla gli aggiornamenti due volte al giorno. Il controllo si appoggia ai
  processi pianificati di WordPress (WP-Cron): se su quel server non girano bene, gli aggiornamenti
  non partono. Lo si verifica in Strumenti → Salute del sito, che segnala l’errore.
• Dopo ogni tentativo arriva una mail all’indirizzo dell’amministratore: sia quando è andato
  tutto bene, sia quando qualcosa non si è aggiornato. Quella mail va letta, non archiviata.

E se un aggiornamento rompe il sito?

È la paura che fa rimandare tutto, ed è legittima: un plugin nuovo può non andare d’accordo con il
tema o con un altro plugin. WordPress negli ultimi anni ha aggiunto due protezioni.

• Dalla 6.3, se aggiorni un plugin a mano e la nuova versione provoca un errore fatale, il
  plugin non viene riattivato. Il sito resta in piedi senza quella funzione, invece di mostrare
  una pagina bianca.
• Dalla 6.6, la stessa protezione vale per gli aggiornamenti automatici dei plugin: dopo
  l’aggiornamento WordPress carica la home page; se trova un errore fatale, rimette la versione
  precedente del plugin e manda una mail all’amministratore.

È una rete di sicurezza, non una garanzia. Il controllo guarda la home page: un plugin che si rompe
solo nella pagina del carrello o nel modulo contatti può passare inosservato. E riguarda gli errori
che fanno crollare la pagina, non quelli che la lasciano in piedi ma sbagliata.

Prima e dopo: la routine che serve

Prima, un backup che funzioni. La documentazione sugli aggiornamenti automatici lo mette come
primo consiglio: prima di attivarli, assicurati di poter tornare a una versione precedente del sito.
E la guida all’aggiornamento aggiunge: verifica che i backup ci siano e siano utilizzabili, “This is
essential”. Un backup mai provato è una speranza, non un backup. Ne avevamo parlato in un
articolo dedicato.

Poi, una pulizia: i plugin che non usi si cancellano, non si lasciano disattivati. E quelli che
installi arrivano dalla directory ufficiale di WordPress.org o da aziende note: la guida alla
sicurezza dice di non prendere plugin e temi “from untrusted sources”. Un plugin a pagamento
scaricato gratis da un sito qualunque è il modo più rapido per mettersi qualcosa in casa.

Infine, una scelta: quali plugin lasciare in automatico. Una regola semplice:

• automatico per i plugin piccoli e diffusi, che fanno una cosa sola;
• a mano, con un’occhiata al sito subito dopo, per quelli da cui dipende il lavoro: il negozio
  online, le prenotazioni, i pagamenti. Lì un aggiornamento si fa quando c’è qualcuno che controlla,
  non alle tre di notte.

Dopo ogni aggiornamento, manuale o automatico: apri il sito, prova le due o tre pagine che
contano davvero (il modulo contatti, il carrello, la pagina dei prezzi) e leggi la mail di
WordPress. Cinque minuti.

In breve

• Plugin e temi non si aggiornano da soli: va attivato, uno per uno.
• Ciò che non usi, cancellalo.
• Backup verificato prima, controllo delle pagine importanti dopo.
• Le mail di WordPress sugli aggiornamenti si leggono.

Se il tuo sito ha plugin fermi da mesi e non sai quali si possono aggiornare senza rischi,
scrivici: partiamo da un backup e li mettiamo in ordine.

Fonti: Plugin and themes auto-updates,
Upgrading WordPress,
Hardening WordPress,
WordPress 6.6 e la
proposta di Rollback Auto-Update
(documentazione ufficiale di WordPress, consultata il 14 ottobre 2026).