Domande frequenti

WordPress 6.0 o successivo e PHP 7.4 o successivo, su qualsiasi hosting standard. Non c’è nulla di esotico da installare: niente Node, nessuna fase di build, nessun servizio esterno. Alcune funzioni opzionali chiedono qualcosa in più al server: i backup cifrati richiedono l’estensione PHP zip e la risoluzione del paese per il geofencing richiede che le richieste HTTP in uscita siano consentite.

Scarica lo ZIP dal tuo account, poi in WordPress vai su Plugin → Aggiungi nuovo → Carica plugin, scegli il file e attiva. Alla prima attivazione non succede nulla di distruttivo: l’admin adotta il nuovo tema e ogni funzione di sicurezza resta disattivata finché non la abiliti tu.

Quando aggiorni a una versione più recente, elimina prima la copia vecchia e installa lo ZIP da zero invece di sovrascriverla, poi fai un aggiornamento forzato (Ctrl+Shift+R) perché il browser prenda il nuovo CSS.

Quasi nulla. Tema, dark mode, grafici e log vivono rigorosamente nell’area admin, quindi le pagine pubbliche restano intatte e le prestazioni del front-end non sono influenzate.

Ci sono esattamente due eccezioni volute, e solo se le attivi: la modalità manutenzione, che mostra ai visitatori la tua pagina di attesa mentre lavori, e la pagina 404 personalizzata, che sostituisce quella predefinita del tema.

Deskmode Suite è pensato per installazioni standard a sito singolo, che sono la stragrande maggioranza dei progetti di agenzie e freelance. Su una rete Multisite puoi attivarlo sui singoli siti e ognuno mantiene le proprie impostazioni.

Se gestisci una rete di grandi dimensioni e ti serve una configurazione centralizzata, scrivici prima dell’acquisto così ti diciamo con precisione cosa aspettarti.

Possono convivere, ma conviene evitare le funzioni sovrapposte. Se il plugin che usi già impone l’autenticazione a due fattori o limita i tentativi di login, attiva quella funzione in uno solo dei due: due implementazioni della stessa protezione tendono a produrre blocchi confusi più che sicurezza doppia.

Le funzioni che non si sovrappongono mai, e che puoi tenere accanto a qualsiasi altro plugin, sono il tema dell’admin, i grafici, gli strumenti database e i log.

La preferenza chiaro/scuro è personale: viene salvata per singolo utente, quindi un redattore che di sera preferisce l’admin scuro non la impone a tutti gli altri, e la scelta lo segue nelle sessioni successive.

Colore accento, logo e configurazione del menu sono invece impostazioni valide per tutto il sito, perché il loro scopo è proprio un brand coerente per chiunque acceda.

Sì, ed è una delle funzioni più utili per il lavoro con i clienti. Puoi nascondere del tutto le voci di menu, oppure limitarle per ruolo, così un cliente che accede come Editore vede un menu breve e pertinente invece dell’inventario tecnico completo del sito.

Il menu admin si può anche riordinare e, quando diventa lungo, compattare dietro un pulsante “mostra altre” — oppure lasciare completamente esteso, se preferisci scorrere.

È esattamente lo scopo per cui è nato. Puoi mettere il tuo logo nella barra admin e nella pagina di login, scegliere un colore accento coerente con l’identità del cliente, sostituire il testo del footer con il tuo HTML — una firma, un link all’assistenza, il tuo logo — e dare lo stesso trattamento alle pagine di manutenzione e 404.

Le impostazioni restano nel database, intatte. La disattivazione riporta semplicemente l’admin all’aspetto standard di WordPress, e riattivando ritrovi tutto esattamente come l’avevi lasciato: colore accento, voci nascoste, regole di sicurezza comprese.

Questo significa anche che puoi disattivarlo per un momento mentre indaghi su un conflitto, senza doverlo poi riconfigurare da capo.

Sì. La schermata di login segue lo stesso tema, campi del form inclusi: è proprio la parte che quasi tutte le soluzioni dark sbagliano, e una casella di testo bianca dentro un form scuro è il dettaglio che fa sembrare incompiuto un login personalizzato.

Perché forzarle renderebbe quelle pagine illeggibili invece che scure. Alcuni plugin portano con sé un’interfaccia admin completa, con pannelli il cui sfondo bianco è scritto direttamente nel loro markup. Cambiare colore solo al testo produce un grigio pallido su bianco: tecnicamente dark mode, praticamente illeggibile.

Quando riconosciamo questo schema lasciamo deliberatamente la pagina nel suo aspetto chiaro nativo, che resta perfettamente leggibile. Le schermate admin di Elementor sono gestite così, e lo stesso trattamento si può applicare a qualsiasi altro plugin che si comporti allo stesso modo: se ne trovi uno, segnalacelo e lo aggiungiamo.

Sì. Sui siti dove preferisci non offrire la scelta — per esempio un cliente che vuole un aspetto unico e coerente — l’interruttore della dark mode si può disattivare, e l’admin resta chiaro per tutti.

Il plugin ha una salvaguardia anti-lockout che protegge l’indirizzo IP da cui stai lavorando in quel momento, così l’incidente più comune — bloccare per sbaglio il proprio paese — viene evitato prima che accada.

Se dovessi restare fuori in altro modo, la via di fuga classica funziona sempre: rinomina la cartella del plugin via FTP o dal file manager dell’hosting. WordPress lo disattiverà alla richiesta successiva e ti farà rientrare, con le impostazioni ancora salvate.

È il limite reale delle regole per paese, e vale la pena pianificarlo. Se consenti solo l’Italia e il tuo cliente prova ad accedere durante una vacanza in Spagna, verrà bloccato: correttamente, dal punto di vista del plugin.

Le soluzioni pratiche sono due: consentire i paesi in cui il tuo team si sposta davvero, oppure allargare temporaneamente la regola e restringerla dopo. Poiché ogni blocco viene registrato, puoi anche guardare il log, vedere il tentativo legittimo che è stato fermato e correggere sulla base di dati reali invece che a intuito.

Sì, e conta più di quanto sembri. Dietro una CDN o un proxy tutti i visitatori sembrano arrivare dall’IP del proxy stesso, a meno che quello reale non venga letto dagli header inoltrati. Un plugin che sbaglia qui finisce per bloccare tutti oppure nessuno.

Deskmode Suite usa un’unica routine condivisa di rilevamento IP in tutti i moduli — geofencing, log e rate limit concordano su chi sia il visitatore — e legge gli header inoltrati impostati dai proxy più diffusi.

Sì. Accanto alle regole per paese puoi definire gli orari consentiti, utile sui siti dove nessuno ha motivo di collegarsi alle quattro del mattino. Insieme al rate limit, elimina buona parte dei tentativi automatici prima ancora che arrivino al controllo della password.

Un amministratore può disattivare l’autenticazione a due fattori per quell’account, permettendo all’utente di accedere con la sola password e riconfigurarla sul nuovo dispositivo. È lo stesso percorso di recupero usato dalla maggior parte delle implementazioni 2FA per WordPress, ed è il motivo per cui non conviene mai attivare il 2FA sull’unico account amministratore di un sito a cui non puoi accedere in altro modo.

È un numero unico ricavato da una serie di controlli concreti su prestazioni, database, plugin, sicurezza e ambiente del server. Ogni controllo può segnalare un problema critico o un avviso, e il punteggio scende di conseguenza: un sito con due avvisi e nessun problema critico si assesta sui novanta e passa, invece di risultare compromesso.

Il valore non sta nel numero in sé ma nella sua direzione nel tempo: il punteggio viene registrato ogni giorno, così puoi dimostrare a un cliente che il sito è davvero migliorato dopo il tuo intervento.

La profilazione è disattivata di default, e quando la abiliti l’impatto è volutamente contenuto: campiona le richieste del front-end invece di misurarle tutte, e non entra mai in gioco per i visitatori sulle pagine servite da cache.

È pensata per essere accesa per qualche giorno mentre indaghi su un sito lento, e poi rispenta. Lasciarla sempre attiva non è dannoso, ma nemmeno necessario.

Perché quel plugin non ha eseguito alcuna query durante le richieste campionate. Alcuni plugin lavorano solo in contesti specifici — un checkout, l’invio di un form, un’attività pianificata — e restano completamente inerti su un normale caricamento di pagina.

“Nessun dato” è quindi una buona notizia, non un malfunzionamento: il plugin è caricato ma non ti costa tempo di database. Il conteggio degli hook resta comunque visibile e ti dice quanto è integrato in profondità con WordPress.

È sicuro eliminare i residui dei plugin che hai rimosso, ed è di solito da lì che arriva il gonfiore. Non è sicuro eliminare un’opzione che un plugin sta ancora usando, per questo lo strumento non ti lascia mai agire alla cieca: le opzioni del core di WordPress che romperebbero il sito sono contrassegnate come protette e non si possono rimuovere affatto, e ogni eliminazione richiede una conferma in due passaggi che ti mostra il nome esatto dell’opzione.

La regola pratica: se riconosci nel prefisso un plugin che non hai più installato, è un residuo. Se hai dubbi, lascialo stare e fai prima un backup.

WordPress salva molte impostazioni come array PHP serializzati e, in quel formato, ogni stringa è preceduta dalla propria lunghezza. Un cerca-e-sostituisci SQL ingenuo cambia il testo ma non la lunghezza registrata, e nell’istante in cui i due valori non coincidono l’intero dato diventa illeggibile: è così che spariscono i widget e si azzerano le opzioni del tema dopo una migrazione fatta male.

Lo strumento apre quelle strutture, sostituisce i valori al loro interno e le richiude ricalcolando le lunghezze, così un nuovo URL più lungo o più corto lascia i dati perfettamente validi.

No, e nessuno strumento di questo tipo può farlo: le righe vengono riscritte sul posto. È proprio per questo che l’anteprima è obbligatoria prima dell’esecuzione — vedi quante righe di quali tabelle verranno toccate, e solo dopo puoi procedere.

Fai prima un backup del database. Ogni schermata coinvolta lo ripete, ed è l’unica istruzione che conviene seguire alla lettera.

Dove decidi tu: sul sito stesso per scaricarli al volo, su qualsiasi storage a oggetti S3-compatibile, oppure su un server remoto via FTP. Tenere almeno una copia fuori dal server è tutto il senso dell’operazione: un backup che vive solo sulla macchina che stai cercando di recuperare non è davvero un backup.

Scegli tu l’ambito prima di avviarlo: solo il database, che è piccolo e veloce e copre contenuti e impostazioni, oppure il database insieme ai file del sito, che è quello che serve prima di un aggiornamento importante o di una migrazione.

La pagina stima anche la dimensione prima di partire, così sai se stai per creare un archivio da 40 MB o da 4 GB: utile sugli hosting con limiti stretti.

Le cose che servono davvero quando qualcosa cambia senza spiegazione: chi ha effettuato l’accesso e quando, cosa è stato pubblicato o modificato, quali plugin sono stati attivati o aggiornati e quali impostazioni sono state cambiate. Su un sito con più redattori trasforma il “la pagina è cambiata da sola” in un nome e un orario.

Registra i messaggi inviati dal sito — destinatario, oggetto, orario, esito della consegna e corpo del messaggio — ed è proprio questo a renderlo utile quando un cliente giura di non aver mai ricevuto la conferma d’ordine.

Trattalo come un dato personale. Resta nel tuo database e non viene mai inviato altrove, ma se gestisci richieste di utenti europei conviene citarlo nella privacy policy e svuotarlo periodicamente, esattamente come faresti con qualsiasi altro archivio di corrispondenza.

Sì, i tentativi bloccati e gli accessi vengono registrati con l’IP di provenienza: senza, i grafici del geofencing non avrebbero alcun senso. Per il GDPR un indirizzo IP è un dato personale, ma registrarlo per la sicurezza dei propri sistemi rientra tra i legittimi interessi riconosciuti.

Quello che devi fare è la normale manutenzione: citarlo nella privacy policy e non conservare i dati più a lungo di quanto ti servano.

Sì. Disattiva la licenza sul vecchio sito per liberare lo slot, poi attivala sul nuovo. È il flusso normale quando un progetto per un cliente si chiude, o quando sposti un sito dal dominio di staging alla produzione.

Non dovrebbero, ed è un’aspettativa legittima: nessuno vuole spendere uno slot a pagamento per una copia di un sito. Se il tuo flusso di lavoro prevede diversi ambienti di staging, scrivici prima di acquistare e ti indichiamo il piano giusto.

C’è una garanzia soddisfatti o rimborsati di 14 giorni. Se il plugin non fa quello che questo sito dichiara e non riusciamo a risolverlo, scrivi all’assistenza entro quattordici giorni dall’acquisto e ti restituiamo i soldi.

Preferiamo risolvere il problema piuttosto che elaborare il rimborso, quindi conviene sempre descrivere prima la difficoltà: nella maggior parte dei casi si tratta di un conflitto che abbiamo già visto.

Disattivarlo non cambia nulla. La disinstallazione completa è il momento in cui essere consapevoli: l’admin torna all’aspetto predefinito di WordPress e i dati propri del plugin — impostazioni, log, statistiche raccolte — vengono rimossi insieme a lui.

Se vuoi conservare lo storico delle attività o delle email, esportalo prima di disinstallare. I tuoi contenuti, gli utenti e i dati di qualsiasi altro plugin non vengono mai toccati.

L’interfaccia è disponibile in inglese, italiano, spagnolo, francese e tedesco. Se gestisci un admin multilingua con WPML o Polylang, le stringhe personalizzabili del plugin — il testo del footer, le pagine di manutenzione e 404 — si possono tradurre per lingua dalla consueta schermata di traduzione stringhe, così i tuoi redattori italiani e quelli tedeschi vedono ciascuno il testo giusto.