In breve
Gli aggiornamenti automatici delle versioni minori di WordPress conviene lasciarli sempre attivi, perché correggono falle di sicurezza e raramente causano problemi. Per plugin e temi dipende dal sito: su un sito semplice con backup quotidiani sono utili, su un e-commerce o un sito molto personalizzato è meglio aggiornare in modo controllato, dopo un test.
WordPress può aggiornarsi da solo, e da qualche anno può farlo anche con plugin e temi. È una comodità, ma apre una domanda legittima: gli aggiornamenti automatici di WordPress conviene attivarli oppure no? Un aggiornamento installato di notte senza nessuno che controlli può salvare il sito da un attacco, ma può anche fermare un modulo o un checkout. Per decidere caso per caso devi sapere come funzionano gli aggiornamenti automatici e cosa è attivo di default.
Come funzionano gli aggiornamenti automatici di WordPress?
WordPress controlla periodicamente se ci sono nuove versioni e, per i componenti per cui l’aggiornamento automatico è attivo, le installa in background senza intervento. Secondo la documentazione ufficiale, di default gli aggiornamenti automatici vengono eseguiti due volte al giorno.
Il meccanismo si appoggia a WP-Cron, il sistema di operazioni pianificate di WordPress, che parte quando qualcuno visita il sito. Se il tuo tecnico ha disattivato WP-Cron senza sostituirlo con un’operazione pianificata sul server, anche gli aggiornamenti automatici potrebbero non partire mai.
Esistono tre tipi di aggiornamenti automatici, con regole diverse.
| Tipo | Comportamento predefinito | Da quale versione |
|---|---|---|
| Versioni minori del core e traduzioni | Attivi di default sulla maggior parte dei siti | WordPress 3.7 |
| Versioni principali del core | Attivabili dal pannello; attivi di default sulle nuove installazioni | WordPress 5.6 |
| Plugin e temi | Disattivi, attivabili uno per uno dal pannello | WordPress 5.5 |
Le informazioni su core e costanti sono riportate nella guida agli aggiornamenti su developer.wordpress.org.
Quali aggiornamenti del core sono automatici di default?
Le versioni minori, quelle che cambiano l’ultimo numero come da x.y.1 a x.y.2, si installano da sole di default dalla versione 3.7. Contengono correzioni di sicurezza e di bug e sono pensate per non modificare il funzionamento del sito.
Le versioni principali, che introducono nuove funzioni, sono diventate attivabili dal pannello con WordPress 5.6. Sulle installazioni nuove da quella versione in poi sono attive di default, a meno che WordPress rilevi che il sito è gestito con un sistema di controllo versione. Su siti più vecchi aggiornati nel tempo, l’impostazione può essere diversa: controlla in Bacheca > Aggiornamenti, dove WordPress indica se il sito si aggiorna automaticamente solo per le versioni di manutenzione e sicurezza o per tutte le nuove versioni.
Come si attivano gli aggiornamenti automatici di plugin e temi?
Dalla versione 5.5 puoi attivarli per ogni singolo plugin dalla pagina Plugin, con il link “Abilita gli aggiornamenti automatici” nella colonna dedicata, e per ogni tema da Aspetto > Temi aprendo i dettagli del tema. Senza la tua scelta restano disattivi, salvo casi eccezionali decisi da WordPress.org per problemi di sicurezza gravi.
Quando un aggiornamento automatico di plugin o temi va a buon fine o fallisce, WordPress invia di default un’email all’amministratore del sito. Vale la pena controllare che l’indirizzo in Impostazioni > Generali sia uno che leggi davvero.
La protezione dagli errori fatali
Da WordPress 6.6, se l’aggiornamento automatico di un plugin causa un errore fatale PHP, WordPress lo rileva con una richiesta di prova alla home page e ripristina la versione precedente del plugin, avvisandoti via email. La protezione però ha dei limiti: riguarda i plugin e non i temi, e intercetta solo gli errori che bloccano il sito. Un plugin che si aggiorna senza errori ma rompe il layout, il modulo contatti o il checkout non viene rilevato.
Conviene attivare gli aggiornamenti automatici?
Sì per le versioni minori del core, sempre. Per plugin, temi e versioni principali la risposta dipende da quanto è complesso il sito, da quanto ti costa un malfunzionamento e da chi lo controlla dopo l’aggiornamento.
| Tipo di sito | Versioni minori | Plugin e temi | Versioni principali |
|---|---|---|---|
| Blog o sito vetrina semplice, pochi plugin | Attivi | Attivi, con backup giornalieri | Attivi o manuali entro pochi giorni |
| Sito aziendale con page builder e moduli | Attivi | Attivi solo per plugin semplici; manuali per page builder e plugin critici | Manuali, dopo un test |
| E-commerce WooCommerce | Attivi | Manuali, dopo test del checkout in staging | Manuali, dopo test in staging |
| Sito abbandonato, che nessuno controlla | Attivi | Attivi: il rischio di restare vulnerabili è maggiore del rischio di rotture | Attivi |
Se nessuno segue il sito, un plugin vulnerabile non aggiornato è quasi sempre un rischio più grande di un aggiornamento che rompe qualcosa. Meglio ancora, però, sarebbe affidarlo a qualcuno che lo segua. Se ti trovi in questa situazione, leggi come riprendere il controllo del sito WordPress.
Come configurare gli aggiornamenti automatici con il codice?
Oltre al pannello, puoi controllare gli aggiornamenti automatici con alcune costanti nel file wp-config.php e con dei filtri in un plugin. È un’operazione da fare solo se sai dove mettere le mani e dopo un backup del file.
La costante WP_AUTO_UPDATE_CORE accetta tre valori: true attiva gli aggiornamenti di sviluppo, minori e principali; false li disattiva tutti; 'minor' lascia attivi solo i minori. Per esempio, per limitarti alle versioni minori:
define( 'WP_AUTO_UPDATE_CORE', 'minor' );La costante AUTOMATIC_UPDATER_DISABLED impostata a true disattiva invece ogni aggiornamento automatico, compresi quelli di sicurezza. Salvo casi particolari, per esempio siti gestiti con sistemi di rilascio automatizzati, è una scelta sconsigliata.
define( 'AUTOMATIC_UPDATER_DISABLED', true );Per plugin e temi esistono i filtri auto_update_plugin e auto_update_theme. La documentazione ufficiale avverte di non inserire chiamate add_filter() direttamente in wp-config.php, perché in quel momento WordPress non è ancora caricato: vanno messe in un plugin, idealmente un must-use plugin (un file nella cartella wp-content/mu-plugins che si carica sempre). Ecco come attivare l’aggiornamento automatico di tutti i plugin:
<?php
add_filter( 'auto_update_plugin', '__return_true' );Tieni presente che un’impostazione nel codice prevale su quella del pannello, e chi dopo di te gestirà il sito potrebbe non accorgersene. Annota sempre cosa hai configurato.
Qual è l’alternativa agli aggiornamenti automatici?
L’alternativa è un aggiornamento manuale regolare e controllato: backup, test su staging, aggiornamento del sito reale e verifica delle funzioni principali. Richiede più tempo, ma riduce al minimo il rischio che un aggiornamento fermi il sito senza che nessuno se ne accorga.
Il procedimento completo è descritto nella guida su come aggiornare WordPress senza rompere il sito. In ogni caso, automatici o manuali, gli aggiornamenti funzionano bene solo se c’è un backup recente da cui ripartire: la guida ai backup WordPress spiega quanti farne e dove conservarli. Se stai valutando di affidare tutto a un servizio, confronta i piani di manutenzione WordPress e leggi costi e contenuti tipici nell’articolo su quanto costa la manutenzione di un sito WordPress.
Non sai come sono impostati gli aggiornamenti del tuo sito?
Con il check-up gratuito verifichi versioni e rischi in un minuto, senza password.
Domande frequenti
Gli aggiornamenti automatici di WordPress sono sicuri?
Quelli delle versioni minori sì, e conviene lasciarli attivi. Per plugin e temi il rischio di incompatibilità esiste, anche se da WordPress 6.6 un plugin che causa un errore fatale dopo l’aggiornamento automatico viene riportato alla versione precedente.
Come disattivo gli aggiornamenti automatici di un plugin?
Vai nella pagina Plugin e, nella colonna degli aggiornamenti automatici, clicca su “Disabilita gli aggiornamenti automatici” accanto al plugin. Se il link non c’è, l’impostazione è probabilmente forzata da codice o da un altro plugin.
Perché il mio sito non si aggiorna da solo?
Le cause più comuni sono una costante che disattiva gli aggiornamenti in wp-config.php, WP-Cron disattivato o poco traffico, permessi dei file che impediscono la scrittura o un sito gestito con controllo versione. Strumenti > Salute del sito segnala spesso il problema.
Gli aggiornamenti automatici sostituiscono la manutenzione?
No. Aggiornano il software, ma non verificano che il sito funzioni, non fanno backup e non controllano la sicurezza.