In breve: un contratto di manutenzione del sito web con focus sulla sicurezza fa in modo che aggiornamenti, backup e sorveglianza non dipendano dal caso. Seguiamo in modo continuativo i Suoi siti web e server PHP, teniamo aggiornato lo stato, testiamo il ripristino e reagiamo secondo una procedura concordata quando diventa nota una nuova vulnerabilità. Riceve periodicamente un rapporto comprensibile.
Perché la sicurezza appartiene al contratto di manutenzione del sito web
Molti contratti di manutenzione coprono gli aggiornamenti del CMS e si fermano lì. PHP2Shell ha mostrato che non basta: le vulnerabilità CVE-2026-109618 e CVE-2026-109619 si trovano in PHP stesso, non nel CMS. Un aggiornamento di WordPress o Shopware non le chiude. Chi cura solo il CMS non ha sotto controllo il pericolo vero e proprio.
A ciò si aggiunge il fattore tempo. Tra il preavviso di php.net del 20/10/2026 e la pubblicazione delle patch il 21/10 è passato un giorno, e secondo i resoconti dei media già il 17/10 c'era stato un primo tentativo di attacco osservato. In situazioni simili aiuta solo una procedura già definita e qualcuno che abbia accesso e sappia quali sistemi sono interessati. Chi cerca le credenziali solo nel caso peggiore, telefona ai fornitori e chiarisce le responsabilità perde proprio il tempo che gli aggressori sfruttano.
Un altro punto è spesso sottovalutato: i backup che non sono mai stati ripristinati sono una promessa senza prova. Solo un test di ripristino mostra se un salvataggio è completo e quanto tempo richieda davvero il ritorno all'operatività.
Per chi vale la pena un contratto di manutenzione della sicurezza
Un contratto di manutenzione con focus sulla sicurezza è adatto soprattutto alle imprese il cui sito web o shop è critico per l'attività, ma che non dispongono di un'amministrazione propria per server e PHP. Sono tipici i commercianti online, gli studi medici, gli studi professionali e le PMI con portali clienti, ma anche gli enti pubblici con più presenze web.
È altrettanto sensato quando la responsabilità è oggi distribuita su molte spalle: un'agenzia ha realizzato il sito web, un hoster mette a disposizione il server, un ex collaboratore conosceva gli accessi. In configurazioni simili, in situazioni come PHP2Shell emerge subito che nessuno è chiaramente responsabile. Il contratto crea un punto fisso che sa come stanno le cose e può agire.
Per un singolo sito web piccolo, senza moduli né dati dei clienti, può bastare una portata più snella. Lo chiariamo nell'inventario.
Che cosa contiene il contratto di manutenzione della sicurezza
- Aggiornamenti: sistema operativo, web server, PHP, CMS, estensioni e dipendenze, con ritmo fisso e in aggiunta in caso di vulnerabilità critiche
- Riavvio e prova: dopo gli aggiornamenti di PHP, riavvio di tutti i worker con verifica che non girino vecchi processi
- Backup: secondo la regola 3-2-1, con test di ripristino periodico. Le basi sono alla pagina Backup secondo la regola 3-2-1.
- Sorveglianza: integrità dei file, accessi, processi e log, come descritto alla pagina Security monitoring per web server
- Ciclo di vita: pianificazione anticipata prima che una versione di PHP raggiunga la fine del supporto, ad esempio PHP 8.2 il 31/12/2026
- Procedura di emergenza: passi concordati per il caso peggiore, accessi e referenti che nell'incidente sono subito noti
- Rapporto: sintesi periodica con aggiornamenti installati, eventi e raccomandazioni
Chi è responsabile di che cosa?
Molte vulnerabilità di sicurezza non nascono da cause tecniche, ma organizzative: ognuno pensa che se ne occupi un altro. Per questo mettiamo per iscritto le responsabilità. Un esempio tipico:
| Compito | Hoster | Agenzia | PHP SOS | Lei |
|---|---|---|---|---|
| Hardware, rete, data center | sì | |||
| Sistema operativo e aggiornamenti di PHP | a seconda del contratto | sì | ||
| CMS ed estensioni | sì | previo accordo | ||
| Contenuti e account utente | sì | |||
| Sorveglianza e procedura di emergenza | sì | autorizzazioni |
L'effettiva ripartizione dipende dai Suoi contratti. Soprattutto con i server gestiti vale la pena guardare con attenzione che cosa il fornitore si assuma davvero, vedi Server gestito: chiarire la responsabilità. Le agenzie con molti siti di clienti trovano un modello adatto alla pagina Partner per la sicurezza per le agenzie.
Come aiuta concretamente PHP SOS?
- Inventario: rileviamo tutti i siti web, server, versioni, accessi, backup e contratti esistenti.
- Messa in sicurezza iniziale: gli aggiornamenti arretrati e le debolezze note vengono chiusi per primi, prima che inizi l'assistenza continuativa.
- Accordo: mettiamo per iscritto portata, ritmo, responsabilità e procedura di emergenza, anche la questione di quando Le viene chiesto prima di una modifica.
- Assistenza continuativa: aggiornamenti, backup, sorveglianza e rapporti secondo piano, in caso di vulnerabilità critiche anche secondo la procedura di emergenza concordata.
- Verifica annuale: verifichiamo insieme se il contratto sia ancora adatto al Suo panorama di sistemi.
Che cosa ci serve e che cosa non promettiamo
Ci servono accessi amministrativi permanenti, un referente con potere decisionale, un contatto con hoster e agenzia e informazioni sulle modifiche previste alle Sue applicazioni. Gli accessi li gestiamo separatamente per ogni cliente e documentiamo chi vi ha accesso. Se prevede modifiche ai Suoi sistemi, ad esempio un nuovo shop, un altro sito web o un cambio di hoster, ce lo dica per tempo, in modo che aggiornamenti, backup e sorveglianza crescano insieme.
Non promettiamo che i Suoi sistemi non vengano mai attaccati. Un contratto di manutenzione riduce il rischio e fa in modo che nel caso peggiore si agisca in modo rapido e ordinato. Prezzi e tempi di reazione non li indichiamo in modo generico, ma li fissiamo nell'offerta dopo l'inventario. Come prepararsi ulteriormente sul piano organizzativo al caso peggiore è descritto alla pagina Creare un piano di emergenza IT per i web server.
Domande frequenti
Che cosa rientra in un contratto di manutenzione del sito web con focus sulla sicurezza?
Almeno aggiornamenti per server, PHP, CMS ed estensioni, backup regolari con test di ripristino, una sorveglianza della sicurezza e una disciplina chiara per le emergenze. È importante anche mettere per iscritto chi è responsabile di che cosa.
Il contratto di manutenzione sostituisce la mia agenzia o il mio hoster?
Non necessariamente. Spesso lavoriamo insieme ad agenzia e hoster e ci occupiamo della parte di sicurezza. È decisivo che le responsabilità siano distribuite senza lacune e che nulla resti in sospeso tra le parti coinvolte.
Che cosa succede quando diventa nota una vulnerabilità critica come PHP2Shell?
In quel caso verifichiamo quali dei Suoi sistemi sono interessati, installiamo gli aggiornamenti secondo la procedura concordata o applichiamo misure provvisorie e La informiamo sullo stato. Quanto rapidamente avvenga lo stabiliamo insieme nel contratto.
Esiste un prezzo fisso?
La portata dipende dal numero e dal tipo dei Suoi sistemi. Dopo un inventario prepariamo un'offerta che descrive esattamente che cosa è incluso.