Un backup è la rete di sicurezza che permette di rimettere in piedi un sito dopo un attacco, un aggiornamento andato male o un errore. In questo articolo vediamo perché è indispensabile, come funziona la regola 3-2-1, quali strumenti usare e come ripristinare davvero il sito quando serve.
Perché un backup è indispensabile
Nessuna misura di sicurezza è infallibile. Come abbiamo visto parlando di sicurezza come processo e non solo come plugin, si può fare tutto bene (aggiornamenti, password forti, ruoli ben gestiti) e trovarsi comunque davanti a un imprevisto. Il backup è ciò che trasforma un disastro in un semplice contrattempo.
Le situazioni in cui un backup salva il progetto sono più comuni di quanto si pensi: un aggiornamento che rompe il sito, un plugin in conflitto, un attacco riuscito, la cancellazione accidentale di contenuti, o un problema del server di hosting. In tutti questi casi, la differenza tra ore di lavoro perso e pochi minuti di ripristino sta nell’avere, o non avere, un backup recente e funzionante.
Cosa comprende il backup di un sito WordPress
Un sito WordPress non è un singolo file, e questo è il primo punto da capire. Un backup completo deve comprendere due componenti distinte:
- I file, cioè il core di WordPress, i temi, i plugin e soprattutto la cartella
wp-content/uploadscon tutte le immagini e i media caricati. - Il database, di solito MySQL, dove vivono articoli, pagine, commenti, utenti e impostazioni.
Salvare solo i file o solo il database non basta: per ripristinare un sito funzionante servono entrambi, ed è importante che siano coerenti tra loro, cioè catturati nello stesso momento. È proprio questo che i buoni strumenti di backup fanno in automatico.
La regola 3-2-1
La regola d’oro del backup, valida ben oltre WordPress, è il principio 3-2-1: tenere 3 copie dei dati (l’originale più due backup), su 2 supporti diversi, di cui almeno 1 conservata fuori sede (offsite).
Il punto più importante, e più trascurato, è proprio la copia offsite. Un backup salvato sullo stesso server del sito non protegge da un problema del server stesso: se l’hosting va in crisi o viene compromesso, sparisce anche il backup. Conservare almeno una copia su uno spazio esterno (Google Drive, Dropbox, Amazon S3, Backblaze) significa avere un backup raggiungibile anche quando il sito è completamente irraggiungibile.
I metodi: plugin, hosting o backup manuale
Esistono tre modi principali per fare il backup di un sito WordPress, e spesso la scelta migliore è combinarne più d’uno.
Il backup tramite plugin è il più diffuso: si installa uno strumento dedicato, si imposta la frequenza e la destinazione, e il resto avviene in automatico. È il metodo più flessibile e alla portata di tutti.
Il backup offerto dall’hosting è messo a disposizione da molti provider, a volte in automatico. È comodo come livello aggiuntivo, ma va verificato: bisogna sapere ogni quanto viene eseguito, per quanto tempo le copie restano disponibili e come si effettua un ripristino. Non sempre la copia è conservata davvero fuori dal server.
Il backup manuale, infine, consiste nello scaricare i file via FTP ed esportare il database. È utile come operazione occasionale (ad esempio prima di un intervento importante), ma non è realistico come strategia regolare, perché dipende dalla memoria e dalla costanza di una persona.
I principali plugin di backup
Sul fronte dei plugin, alcune soluzioni si sono affermate come riferimenti. Ecco le più note, con le rispettive caratteristiche:
- UpdraftPlus: il plugin di backup più installato (oltre tre milioni di siti). La versione gratuita gestisce già backup pianificati e manuali, il ripristino e l’invio delle copie su storage remoto come Google Drive, Dropbox o Amazon S3. La versione Premium (indicativamente da circa 70 $ l’anno) aggiunge backup incrementali e altre destinazioni.
- Jetpack VaultPress Backup: sviluppato da Automattic (l’azienda dietro WordPress.com), offre backup automatici giornalieri e in tempo reale interamente nel cloud, con un ripristino molto semplice. È particolarmente adatto agli e-commerce, dove anche un singolo ordine perso conta.
- Duplicator: più orientato alla migrazione che al backup ricorrente: è lo strumento ideale per spostare o clonare un sito da un hosting a un altro. La versione gratuita supporta soprattutto backup manuali.
- BackWPup e BlogVault: altre opzioni valide; BlogVault in particolare esegue le copie nel proprio cloud, senza appesantire il server del sito.
Non esiste lo strumento perfetto per tutti: per un sito personale la versione gratuita di UpdraftPlus copre l’essenziale, mentre per un e-commerce un backup in tempo reale come quello di Jetpack offre una tranquillità che vale il costo.
Quando anche un plugin diventa un rischio
Vale la pena ricordare che anche un plugin di backup è, a tutti gli effetti, codice che gira sul sito, e quindi una possibile superficie d’attacco. Ne è un esempio recente proprio UpdraftPlus: a giugno 2026 è stata resa pubblica una vulnerabilità critica (CVE-2026-10795), un bypass dell’autenticazione che, nelle versioni fino alla 1.26.4, poteva permettere a un attaccante non autenticato di ottenere l’accesso da amministratore. Gli sviluppatori hanno rilasciato rapidamente una correzione (versione 1.26.5), ma nei giorni successivi sono stati osservati tentativi di attacco diffusi.
Questo episodio non è un motivo per evitare i backup o quel plugin in particolare: è la conferma di due principi visti finora. Primo, gli aggiornamenti vanno applicati subito, perché la finestra di rischio si apre proprio quando una vulnerabilità diventa nota e il sito resta indietro. Secondo, una copia offsite e indipendente dal sito conserva il suo valore anche se lo strumento che la genera dovesse avere un problema. Lo strumento è un tassello; è la strategia complessiva a proteggere davvero.
Come impostare backup automatici
Al di là del plugin scelto, un backup automatico ben configurato risponde a tre domande.
Con quale frequenza? Dipende da quanto spesso cambia il sito. Un blog aggiornato ogni giorno ha bisogno di backup giornalieri; un sito vetrina che cambia di rado può accontentarsi di una cadenza settimanale. Un e-commerce, dove i dati cambiano di continuo, trae beneficio dal backup in tempo reale.
Quante copie conservare? Mantenere uno storico di più copie (ad esempio le ultime sette o dieci) permette di tornare indietro anche se un problema viene notato con qualche giorno di ritardo. Conservarne una sola significa rischiare di sovrascrivere l’ultima copia buona con una già compromessa.
Dove salvarle? Qui torna la regola 3-2-1: la destinazione dovrebbe essere uno spazio esterno al server del sito. Quasi tutti i plugin citati permettono di collegare un servizio cloud e di inviare lì le copie in automatico, ed è la configurazione da preferire.
Impostate queste tre cose una volta, il backup lavora in sottofondo senza ulteriori interventi.
Come ripristinare il sito
Un backup ha valore solo se si è in grado di ripristinarlo: è la parte più importante e, paradossalmente, la più trascurata. Vediamo le due vie principali.
Ripristino tramite plugin. Gli strumenti come UpdraftPlus o Jetpack VaultPress Backup includono una funzione di ripristino diretta dal pannello di WordPress: si apre la lista dei backup disponibili, si sceglie la copia desiderata e si selezionano le componenti da ripristinare (file, database o entrambi). Il plugin si occupa di rimettere a posto i dati. È il metodo più semplice quando il sito è ancora accessibile.
Ripristino tramite hosting o manuale. Se il sito non è più raggiungibile (ad esempio dopo un attacco grave), il ripristino passa dal pannello dell’hosting o da un’operazione manuale: si ricaricano i file via FTP e si reimporta il database. È più tecnico, ed è qui che avere una copia offsite e una procedura chiara fa davvero la differenza.
In entrambi i casi, la regola fondamentale è una: un backup va testato almeno una volta, provando un ripristino in un ambiente di prova. Un backup mai verificato è una speranza, non una garanzia, e scoprire che non funziona proprio nel momento del bisogno è lo scenario peggiore.
Errori da evitare
Gli errori più comuni sono pochi e ricorrenti: tenere l’unica copia sullo stesso server del sito, non avere alcuno storico (una sola copia che si sovrascrive), affidarsi genericamente al fatto che “tanto ci pensa l’hosting” senza aver mai verificato come e quando, e, il più insidioso, non aver mai provato un ripristino. Un altro errore è dimenticare di aggiornare il plugin di backup stesso, come ha ricordato il caso visto sopra.
Per chi parte da zero, conviene integrare il backup nella routine generale di gestione del sito, come quella descritta nella checklist per il primo sito WordPress: non un’attività separata, ma parte della cura ordinaria.
Prossimi passi
Il consiglio pratico è partire subito, anche in piccolo: installare uno strumento gratuito come UpdraftPlus, impostare un backup automatico verso uno spazio cloud esterno, definire una frequenza adatta al sito e, passaggio da non rimandare, fare almeno una prova di ripristino per essere sicuri che tutto funzioni.
Da lì si può crescere: aumentare la frequenza, aggiungere il backup dell’hosting come secondo livello o passare a una soluzione in tempo reale se il sito diventa più importante. L’obiettivo non è il backup perfetto, ma avere sempre, da qualche parte e al sicuro, una copia da cui ripartire.
