Un plugin WordPress smette di funzionare quando vuole. Non si rompe all'improvviso — o meglio, a volte sì — ma più spesso degrada silenziosamente: smette di ricevere aggiornamenti, perde compatibilità con le nuove versioni di WordPress e del PHP, accumula vulnerabilità di sicurezza che nessuno sistema più.
Riconoscere un plugin abbandonato prima che diventi un problema è una competenza essenziale per chi gestisce un WordPress, anche senza essere sviluppatore.
Cosa significa "plugin abbandonato"
Un plugin WordPress si considera abbandonato quando lo sviluppatore o il team che lo mantiene smette di rilasciare aggiornamenti. I segnali sono:
- Ultimo aggiornamento superiore a 12 mesi: se un plugin non viene aggiornato da più di un anno, è probabile che sia abbandonato. Esistono eccezioni (plugin molto semplici e stabili), ma sono rare.
- Assenza di comunicazione: nessun avviso sulla pagina del plugin, nessun aggiornamento della documentazione, nessuna attività nel repository GitHub o nel forum di supporto di WordPress.org.
- Test "compatibile fino a": il plugin dichiara compatibilità con WordPress 5.x o 6.x di una versione vecchia, ma non con la versione corrente.
- Ticket di supporto senza risposta: se il forum di supporto del plugin (su WordPress.org) ha decine di ticket aperti da mesi senza risposta, non c'è nessuno dietro.
Perché un plugin abbandonato è un rischio
1. Vulnerabilità di sicurezza
La ragione principale per cui i plugin abbandonati sono pericolosi è che le vulnerabilità non vengono più corrette. Ogni anno Wordfence, Sucuri e Patchstack pubblicano report che mostrano come la maggior parte delle compromissioni di siti WordPress avvenga attraverso plugin e temi vulnerabili.
Una vulnerabilità scoperta in un plugin abbandonato rimane aperta per sempre. Se il plugin è installato su migliaia di siti, gli attaccanti automatizzano lo scan e compromettono tutti i siti che lo usano.
Diversi casi noti di attacchi di massa a WordPress hanno sfruttato proprio plugin che i proprietari del sito non sapevano essere abbandonati. In alcuni di questi casi, la vulnerabilità era pubblica da più di un anno.
2. Incompatibilità con WordPress e PHP
WordPress si aggiorna regolarmente (3-4 release all'anno, tra major e minori). Il PHP, il linguaggio su cui WordPress è costruito, si aggiorna con cicli annuali.
Un plugin abbandonato non viene verificato per compatibilità con:
- Le nuove versioni di WordPress (l'aggiornamento può romperlo, e se succede non c'è patch)
- Le nuove versioni di PHP (la transizione da PHP 7.4 a 8.x ha rotto migliaia di plugin obsoleti)
- Le nuove versioni di plugin dipendenti (se il plugin interagisce con WooCommerce, Elementor, Gravity Forms, e uno di questi si aggiorna, l'integrazione può saltare)
- I cambiamenti di API e funzioni deprecate (WordPress segnala funzioni obsolete a ogni release, ma un plugin non aggiornato continua a usarle)
3. Degrado delle prestazioni
Anche se il plugin non si rompe esplicitamente, può iniziare a causare problemi di performance:
- Carica script e stili CSS non ottimizzati
- Genera errori PHP silenziosi (warning, notice) che, accumulandosi, rallentano il sito
- Utilizza API deprecate o inefficaci per la stessa operazione
- Non sfrutta le funzionalità di caching introdotte nelle versioni recenti di WordPress
4. Assenza di supporto
Se il plugin si rompe, non c'è nessuno a cui chiedere aiuto. Il forum di WordPress.org è pieno di domande senza risposta. Il repository GitHub, se esiste, ha issue aperti da anni. Il sito dello sviluppatore, se raggiungibile, non ha più link al plugin.
Il problema non è solo la rottura: è che quando si rompe, l'unica soluzione è trovare un'alternativa e gestire la migrazione in emergenza.
Come controllare se un plugin è abbandonato
Metodo 1: WordPress.org
- Vai alla pagina del plugin su wordpress.org/plugins/nome-plugin
- Consulta la sezione "Ultimo aggiornamento" accanto alla versione
- Controlla la sezione "Compatibilità" — se dice "Testato fino alla versione X.Y" e quella versione è vecchia di oltre un anno, è un segnale
- Scorri fino al forum di supporto e guarda quanti thread aperti senza risposta ci sono
Metodo 2: Controllo diretto sul sito
In WordPress, vai su Plugin → Installed Plugins. Ogni plugin mostra la versione installata. Se non c'è un avviso di aggiornamento disponibile da diversi mesi, verifica manualmente sul repository di WordPress.org se è stata pubblicata una nuova versione. Se la versione pubblicata è uguale alla tua da 12+ mesi e non ci sono changelog recenti, il plugin è probabilmente abbandonato.
Metodo 3: Whois dello sviluppatore
Plugin di sviluppatori noti e attivi (Yoast, WooCommerce, Elementor, Wordfence, ACF, The SEO Framework) hanno cicli di aggiornamento regolari e team dedicati. Plugin di sviluppatori che hanno rilasciato un solo prodotto, non hanno presenza online e non rispondono a ticket di supporto sono a rischio più alto.
Strumenti di audit automatici
- WPScan (cli o API): scansiona il sito alla ricerca di plugin con vulnerabilità note. WPScan è mantenuto da Automatic (la società dietro WordPress.com) e aggiornato con il database di vulnerabilità di WPVulnDB.
- Plugin Security Scanner (plugin gratuiti come Wordfence o iThemes Security includono scan delle vulnerabilità dei plugin installati).
- Patchstack (plugin freemium): monitora le vulnerabilità di plugin e temi con notifiche attive.
Cosa fare se trovi un plugin abbandonato
La strategia dipende da quanto il plugin è critico per il funzionamento del sito.
1. Trova un'alternativa attiva
Cerca un plugin concorrente che faccia la stessa cosa e sia mantenuto attivamente. In molti casi, i plugin alternativi non solo sono più sicuri ma anche più performanti e ricchi di funzionalità.
Esempi comuni:
| Funzione | Plugin abbandonato comune | Alternativa attiva |
|---|---|---|
| Page builder leggero | LayerSlider WP | Builder direct (Gutenberg/Block Editor) o GenerateBlocks |
| Ottimizzazione immagini | EWWW IO 3.x (vecchie versioni) | WebP Express, Imagify, ShortPixel |
| Sicurezza | Vecchie versioni di All In One WP Security | Wordfence, Solid Security (ex iThemes) |
| SEO | Versioni molto vecchie di Yoast (se non aggiornabili) | Yoast (aggiornato), Rank Math, The SEO Framework |
| Cache | WP Super Cache (con problemi di compatibilità PHP 8) | Flying Press, WP Rocket (a pagamento) |
2. Fork o manutenzione interna (casi eccezionali)
Se il plugin è critico e non esiste un'alternativa adeguata, si può valutare la manutenzione in proprio:
- Fare un fork del plugin (copiare il codice e gestirlo internamente)
- Applicare patch di sicurezza manuali (ma serve uno sviluppatore che capisca il codice e monitori le vulnerabilità)
- Congelare la versione di WordPress e PHP se il plugin non ha alternative e non si può sostituire
3. Sostituzione in staging
Prima di sostituire un plugin critico in produzione:
- Crea un backup completo di sito e database
- Prepara un ambiente di staging (copia del sito in un sottodominio o directory protetta)
- Installa il plugin alternativo, testa tutte le funzionalità
- Verifica che i dati eventualmente gestiti dal vecchio plugin vengano migrati
- Solo dopo test completi, applica le modifiche in produzione
4. Disattiva se non più necessario
A volte un plugin abbandonato è semplicemente non più utilizzato, ma rimane attivo. Disattivarlo e cancellarlo è la soluzione più sicura e pulita.
Prevenzione: come evitare plugin abbandonati
- Preferisci plugin con history di aggiornamenti regolari (almeno 4-5 aggiornamenti all'anno, anche per plugin gratuiti)
- Controlla il profilo dello sviluppatore su WordPress.org prima di installare: se ha pochi plugin e bassa reputazione, valuta con cautela
- Evita plugin con meno di 10.000 installazioni attive se possibile: i plugin molto diffusi hanno più occhi sul codice e più incentivi a mantenere il supporto
- Non installare plugin solo per una funzionalità marginale che potresti ottenere con 5 righe di codice functions.php
- Documenta i plugin installati e pianifica una revisione trimestrale dello stato di aggiornamento di ciascuno
FAQ
Ogni quanto va controllato lo stato dei plugin?
Almeno ogni 3 mesi. Un plugin aggiornato a gennaio potrebbe essere abbandonato a ottobre. Meglio sincronizzare il controllo con gli aggiornamenti di WordPress (ogni 3-4 mesi).
Un plugin con 2 anni senza aggiornamenti è sempre pericoloso?
Non necessariamente. Se è un plugin molto semplice che fa una cosa sola (es. un piccolo snippet di codice) e funziona con WordPress corrente, potrebbe essere "stabile" e non avere bisogno di aggiornamenti frequenti. Ma è raro, e va valutato caso per caso.
La disattivazione del plugin è sufficiente?
Disattivare il plugin lo rende ineseguibile, ma il suo codice rimane sul server. Se la vulnerabilità riguarda file inclusi dal plugin anche quando è disattivo (raramente, ma possibile), sei ancora esposto. La cancellazione è sempre la scelta più sicura.
Posso aggiornare manualmente un plugin abbandonato?
Tecnicamente sì, se hai competenze di sviluppo e capisci il codice. Ma è una soluzione temporanea: ogni aggiornamento di WordPress, PHP o plugin dipendenti richiederà un intervento manuale. Meglio sostituire il plugin.
CTA
Un audit dei plugin WordPress è uno dei controlli rapidi che possono prevenire problemi ben più seri. Se gestisci un WordPress aziendale e non hai mai verificato lo stato dei tuoi plugin, contattaci per un controllo di sicurezza gratuito.
Fonti
- WPScan Documentation — sito wpscan.com
- Wordfence — "WordPress Vulnerability Report 2025" — sito wordfence.com
- Patchstack Research — "State of WordPress Plugin Vulnerabilities" (2025) — sito patchstack.com
- WordPress Plugin Developer Handbook — sito developer.wordpress.org/plugins
- Sucuri Blog — "Vulnerabilità nei plugin WordPress: casi studio" — sito blog.sucuri.net
Link interni previsti
- Landing: /landing/assistenza-wordpress-ticino/
- Secondario: /contatti/
- Correlato: /blog/plugin-wordpress-sicuri-come-valutarli/
- Correlato: /blog/wordpress-aggiornamenti-automatici/
