Un backup WordPress è utile soltanto se contiene tutto ciò che serve, viene conservato in modo sicuro e può essere ripristinato. La presenza di un file sullo stesso server non garantisce la continuità: un errore, un attacco o un guasto possono colpire sito e copia insieme.
Una strategia corretta parte da due domande: quanti dati puoi permetterti di perdere e quanto tempo può restare offline il sito? Le risposte determinano frequenza, numero di copie, destinazioni e procedura di ripristino.
Che cosa compone un sito WordPress
Il database contiene articoli, pagine, utenti, commenti, impostazioni e molti dati dei plugin. I file comprendono caricamenti, temi, plugin, configurazioni e personalizzazioni. Salvare soltanto il database lascia fuori immagini e codice; copiare soltanto i file non conserva contenuti e impostazioni dinamiche.
Per un ripristino completo servono entrambi, acquisiti in momenti compatibili. In e-commerce o siti con molte modifiche, database e file possono cambiare durante la copia: bisogna gestire coerenza e attività in corso.
1. Definire RPO e RTO in modo pratico
L’RPO rappresenta la quantità massima di dati che puoi perdere: se un ordine perso è inaccettabile, un backup settimanale non basta. L’RTO indica quanto rapidamente il servizio deve tornare operativo. Non serve usare le sigle nel contratto, ma occorre concordare obiettivi misurabili.
Un blog aggiornato mensilmente e un negozio con ordini continui richiedono frequenze differenti. Considera anche email, CRM e sistemi esterni che non risiedono in WordPress.
2. Creare copie complete e incrementali
Un backup completo semplifica il ripristino ma richiede più spazio e tempo. Le copie incrementali o differenziali riducono il trasferimento, ma dipendono dalla catena precedente. Scegli in base a dimensione, frequenza e strumenti disponibili.
Documenta quali directory, tabelle e configurazioni vengono incluse. Escludere cache temporanee è ragionevole; escludere uploads o tabelle personalizzate senza saperlo può rendere inutilizzabile la copia.
3. Conservare copie fuori dal server
Una copia nella stessa macchina protegge da alcuni errori, non da guasto, compromissione o cancellazione del server. Mantieni più copie su supporti o servizi indipendenti e limita le credenziali che possono raggiungerle.
Il principio pratico è evitare un unico punto di fallimento. Se il pannello hosting viene violato, l’attaccante non dovrebbe poter eliminare anche tutte le copie remote con le stesse credenziali.
4. Stabilire frequenza e retention
Automatizza copie con frequenza coerente al ritmo di cambiamento. Conserva versioni giornaliere, settimanali o mensili secondo rischio e obblighi, evitando che una sola copia recente sostituisca tutte le precedenti.
Una compromissione può restare nascosta per giorni. Se conservi soltanto l’ultima versione, potresti avere più copie infette ma nessun punto pulito. La retention deve consentire di tornare a un momento precedente all’incidente.
5. Proteggere riservatezza e integrità
Il backup contiene spesso dati personali, credenziali e configurazioni. Cifra trasferimento e archiviazione quando appropriato, limita accessi, usa account separati e monitora download ed eliminazioni. Conserva le chiavi in un luogo distinto e documentato.
Verifica integrità con controlli o hash e proteggi alcune copie da modifiche. WordPress raccomanda copie dell’intera installazione in una posizione affidabile; supporti di sola lettura o protezioni contro la cancellazione aumentano la resistenza alle manomissioni.
6. Monitorare l’esito, non solo l’avvio
Un processo può risultare pianificato ma fallire per spazio esaurito, timeout, credenziali scadute o limiti del provider. Configura avvisi su errori e controlla dimensione, data e completezza delle copie.
Un file di pochi kilobyte non è una copia valida di un sito complesso. Confronta trend e indaga variazioni improvvise. Mantieni un registro delle verifiche e assegna una persona responsabile.
7. Testare il ripristino
Il test di restore è la prova decisiva. Ripristina periodicamente in un ambiente isolato, importa database e file, aggiorna configurazioni e verifica login, contenuti, immagini, moduli e funzioni principali. Misura il tempo impiegato.
Non testare sovrascrivendo il sito pubblico. Usa staging o un ambiente temporaneo protetto e impedisci indicizzazione, email e pagamenti involontari. Documenta ogni passaggio e correggi la procedura quando emergono dipendenze mancanti.
8. Preparare il recupero dopo un attacco
Ripristinare una copia senza rimuovere la causa può portare a una nuova compromissione. Prima identifica vettore d’ingresso, account, file modificati e persistenza. Scegli una copia antecedente all’attacco e aggiorna core, tema, plugin e credenziali.
Conserva evidenze necessarie all’analisi senza rimettere online codice infetto. Un backup pulito accelera il recupero, ma non sostituisce bonifica, hardening e monitoraggio successivo.
9. Eseguire copie prima delle modifiche
Crea un punto di ripristino prima di aggiornamenti, migrazioni, interventi sul database e modifiche importanti. Etichetta la copia con data e scopo e verifica che appartenga al sito corretto.
Un backup pre-intervento non sostituisce quello periodico. Se il sito era già compromesso o corrotto, la copia recente conserverà il problema; serve anche una cronologia più lunga.
10. Documentare responsabilità e accessi
Indica chi controlla i backup, chi può ripristinare e chi autorizza l’operazione. Conserva istruzioni, contatti, credenziali di emergenza e dipendenze in un luogo accessibile anche se il sito e la posta principale non funzionano.
Rivedi il piano quando cambiano hosting, dominio, dimensione, plugin o persone. Elimina in modo sicuro copie oltre la retention, considerando obblighi e richieste sulla protezione dei dati.
Checklist backup WordPress
- Definisci perdita dati e tempo di fermo accettabili.
- Includi database, uploads, tema, plugin e configurazioni.
- Conserva copie su destinazioni indipendenti.
- Stabilisci frequenza e retention con più punti temporali.
- Proteggi accessi, trasferimenti, chiavi e integrità.
- Monitora errori, dimensioni e completamento.
- Prova il ripristino in un ambiente isolato.
- Integra backup, bonifica e hardening negli incidenti.
- Crea copie prima delle modifiche importanti.
- Documenta responsabilità e procedura di emergenza.
LBCOMPANY configura e verifica backup WordPress per aziende in tutta Italia e li integra nei processi di manutenzione e recupero da compromissioni. Leggi come proteggere WordPress, approfondisci gli aggiornamenti controllati e scopri i servizi di sicurezza LBCOMPANY.
Domande frequenti sui backup WordPress
Basta il backup fornito dall’hosting?
Può essere utile, ma occorre conoscere contenuto, frequenza, retention, indipendenza e procedura di ripristino. È prudente avere copie separate.
Devo salvare database e file?
Sì. Il database contiene contenuti e impostazioni; i file contengono uploads, temi, plugin e configurazioni. Servono entrambi.
Quanto spesso devo fare il backup?
Dipende da quanto spesso cambiano dati e da quanta perdita è accettabile. Un e-commerce richiede in genere frequenze maggiori di un sito statico.
Come so se un backup funziona?
Controllando esito e integrità e soprattutto eseguendo un ripristino periodico in un ambiente isolato.
Posso ripristinare subito dopo un attacco?
Solo dopo avere valutato origine e data della compromissione. Una copia infetta o la causa non rimossa possono compromettere nuovamente il sito.
I backup devono essere cifrati?
Quando contengono dati sensibili e in base al rischio, la cifratura di trasferimento e archiviazione è una misura importante insieme al controllo accessi.
Hai un backup o soltanto un file mai provato?
Verifichiamo completezza, sicurezza e ripristino e costruiamo una strategia coerente con il rischio del sito.