Troppi plugin su WordPress? Come sceglierli bene e fare pulizia

Quanti plugin WordPress sono troppi?

Un plugin WordPress è un pacchetto di codice PHP di terze parti che si innesta nel tuo sito e ne estende le funzioni, dal form contatti al carrello ecommerce. Ogni plugin che installi diventa a tutti gli effetti parte del tuo sito: gira sui tuoi server, tocca il tuo database, vede i dati dei tuoi utenti. Ecco perché la domanda “quanti plugin WordPress posso tenere” è quasi sempre la domanda sbagliata.

La risposta breve, quella che diamo agli imprenditori che ce lo chiedono: non esiste un numero magico. Abbiamo visto siti con 8 plugin che si trascinavano a 5 secondi di caricamento e siti con 30 plugin che volavano. Quello che cambia non è la quantità, è la qualità del codice, la sovrapposizione tra le funzioni e soprattutto quanti di quei plugin sono ancora vivi e manutenuti.

Detto questo, un ordine di grandezza serve per orientarsi. Su un sito vetrina aziendale, sopra i 15 plugin attivi vale la pena fermarsi e fare un inventario. Su un ecommerce WooCommerce la soglia si alza naturalmente verso i 25 perché servono gateway di pagamento, spedizioni, fatturazione. Ma la soglia è un campanello d’allarme, non un limite. Il limite vero è quanti di quei plugin sapresti giustificare uno per uno se ti chiedessimo “questo a cosa serve?”.

Perché contare i plugin è la metrica sbagliata

Il conteggio è comodo perché è visibile: apri la bacheca, leggi il numero, ti spaventi. Ma quel numero non ti dice nulla su quanto pesa davvero l’installazione.

Prendiamo due casi reali visti su siti di PMI venete, senza fare nomi. Il primo aveva 11 plugin attivi, di cui uno era uno slider caricato in ogni pagina che iniettava 400 KB di JavaScript anche dove non c’era nessuno slider. Il secondo aveva 24 plugin, quasi tutti piccoli e ben scritti, e caricava le sue risorse solo dove servivano. Il sito con 11 plugin era il doppio più lento.

Quello che conta davvero è un insieme di fattori diversi:

1. Quante query al database aggiunge ogni plugin su ogni pagina caricata. Alcuni ne aggiungono due, altri quaranta.
2. Se carica CSS e JavaScript ovunque o solo dove il suo output è effettivamente presente.
3. Quanti hook pesanti registra, in particolare su init e wp_loaded, che girano a ogni richiesta anche nel backend.
4. Se duplica funzioni già presenti nel tema o in un altro plugin, moltiplicando il lavoro inutile.
5. Quanto è aggiornato e quanto è esposto dal punto di vista della sicurezza.

Il quinto punto è quello che quasi nessuno guarda e che, statisticamente, causa i danni peggiori.

Quali sono i plugin che rallentano il sito?

I plugin che rallentano il sito seguono schemi ricorrenti. Dopo qualche centinaio di audit, le famiglie problematiche sono sempre le stesse.

I page builder e i loro addon. Elementor, Divi, WPBakery e i pacchetti di widget extra sono i responsabili numero uno del peso frontend. Non perché siano scritti male, ma perché generano markup molto verboso e caricano librerie complete anche per una pagina che contiene solo testo. Il danno cresce in modo esponenziale se al builder principale hai aggiunto due o tre pacchetti di addon di terze parti.

Gli slider e le gallerie animate. Categoria in declino ma ancora diffusissima sui siti aziendali rifatti tra il 2018 e il 2022. Caricano jQuery, plugin jQuery aggiuntivi, CSS di animazione, e spesso si portano dietro immagini non ottimizzate.

I plugin di statistiche installati dentro WordPress. Quelli che ti mostrano i grafici delle visite direttamente in bacheca scrivono ogni singola visita nel tuo database. Su un sito con traffico serio la tabella cresce di centinaia di migliaia di righe e ogni query del sito rallenta di conseguenza. Le statistiche vanno lette in GA4 o in un servizio esterno, non dentro il database del sito.

I plugin di sicurezza mal configurati. Paradosso classico: installi un firewall applicativo per proteggerti e finisci per aggiungere un controllo su ogni richiesta, scansioni programmate che saturano la CPU nelle ore di punta e tabelle di log che esplodono. La protezione serve, ma va configurata e va scelta in base all’hosting che hai sotto.

I plugin “tutto in uno”. I pacchetti che promettono SEO, cache, sicurezza, backup e ottimizzazione immagini in un’unica installazione. Sembrano una semplificazione, in realtà caricano moduli che non userai mai e diventano un punto di rottura unico: se quel plugin ha un problema, ti si spegne mezzo sito.

C’è poi un effetto meno ovvio, che riguarda direttamente il posizionamento. Il JavaScript di troppo peggiora l’INP, la metrica di reattività che Google usa nei Core Web Vitals, e non è una questione teorica: ne abbiamo parlato in dettaglio nell’articolo sui Core Web Vitals e la metrica INP. Su WooCommerce il problema si amplifica ancora, perché ogni plugin aggiunge query su carrello e sessione a ogni singola visita.

Come riconoscere i plugin sicuri per WordPress?

I plugin sicuri per WordPress si riconoscono prima di installarli, guardando cinque indicatori pubblici che chiunque può leggere in due minuti sulla pagina del plugin nella directory ufficiale.

Data dell’ultimo aggiornamento. È il segnale più forte in assoluto. Se l’ultimo rilascio è di più di dodici mesi fa, considera il plugin a rischio. Se è di più di due anni, consideralo abbandonato e non installarlo, punto.

Compatibilità dichiarata con l’ultima versione di WordPress. La directory lo scrive esplicitamente. “Testato fino a” una versione vecchia di due anni significa che nessuno lo sta più seguendo.

Numero di installazioni attive. Non è una garanzia di qualità ma è una garanzia di attenzione: un plugin con 300.000 installazioni ha molti più occhi addosso e le vulnerabilità vengono scoperte e chiuse più in fretta. Sotto le mille installazioni attive stai facendo da beta tester.

Attività nel forum di supporto. Guarda quanti thread sono stati risolti negli ultimi due mesi. Se ci sono venti domande aperte senza risposta da settembre, l’autore ha mollato anche se l’ultima release è recente.

Storico delle vulnerabilità. Esistono database pubblici di vulnerabilità WordPress consultabili gratuitamente. Cercare il nome del plugin prima di installarlo costa trenta secondi. Un plugin con una vulnerabilità storica non è necessariamente da scartare, se è stata chiusa in fretta è anzi un buon segno. Un plugin con cinque vulnerabilità critiche in due anni è un’altra cosa.

A questi cinque aggiungiamo una regola nostra, meno tecnica ma molto efficace: preferisci i plugin che fanno una cosa sola. Un plugin che gestisce solo i form contatto è più facile da valutare, aggiornare e sostituire di una suite che gestisce form, popup, chat e newsletter insieme.

Perché i plugin abbandonati sono il vero problema

I plugin abbandonati sono la prima porta d’ingresso per gli attacchi ai siti WordPress. Non i temi nulled, non le password deboli, non WordPress core. I plugin dimenticati.

Il meccanismo è semplice e vale la pena capirlo, perché una volta capito le decisioni diventano ovvie. Quando qualcuno scopre una vulnerabilità in un plugin diffuso, la segnala all’autore, l’autore rilascia una patch, e a quel punto la vulnerabilità diventa pubblica. Da quel momento esistono script automatici che scandagliano internet cercando siti che usano ancora la versione vulnerabile. Non è un attacco mirato alla tua azienda, è una rete a strascico che passa su milioni di domini.

Se il plugin è mantenuto, tu aggiorni e la finestra si chiude. Se il plugin è abbandonato la patch non arriva mai, e la finestra resta aperta per sempre.

C’è poi la variante più insidiosa: il plugin disattivato ma non eliminato. Molti imprenditori pensano che disattivare basti. Non basta. I file restano sul server e in diversi casi restano raggiungibili via URL diretto, il che significa che il codice vulnerabile può essere eseguito anche se il plugin non è attivo in bacheca. La regola è netta: se non lo usi, non lo disattivi, lo cancelli.

E c’è la variante peggiore in assoluto: il plugin venduto. Succede regolarmente che un autore con un plugin popolare ma poco redditizio lo venda a terzi. Il nuovo proprietario rilascia un aggiornamento apparentemente innocuo che inietta pubblicità, raccoglie dati o installa una backdoor. Tu aggiorni in buona fede e ti sei portato il problema in casa da solo. È uno dei motivi per cui gli aggiornamenti vanno fatti con un metodo, non a caso, come spieghiamo in aggiornare WordPress senza rompere il sito.

Un sito compromesso non è solo un fastidio tecnico. Significa Google che ti marca come “sito ingannevole” nei risultati, la posta aziendale finita in blacklist perché il server ha iniziato a inviare spam, e settimane per recuperare la reputazione del dominio. Il costo di ripulire è sempre superiore al costo di prevenire, e su questo lavoriamo con l’hardening di WordPress.

Esistono davvero i migliori plugin WordPress?

Le classifiche dei migliori plugin WordPress che trovi in giro sono quasi sempre inutili, e in buona parte sono contenuti in affiliazione. Non esiste il plugin migliore in assoluto, esiste il plugin migliore per il tuo caso.

Quello che esiste, e che ha senso applicare, è un criterio di scelta. Il nostro è questo, in ordine di priorità:

1. La funzione è davvero necessaria? Metà dei plugin che troviamo nei siti dei nuovi clienti servivano a una campagna finita tre anni fa o a un test mai concluso.
2. Il tema o WordPress la fanno già? WordPress moderno gestisce nativamente lazy loading delle immagini, sitemap XML di base, formati immagine responsive. Molti temi commerciali includono già breadcrumb, header sticky, gallerie.
3. Si può risolvere con poche righe di codice nel tema figlio? Aggiungere uno script di tracciamento, nascondere un campo, cambiare un testo: sono cose che non meritano un plugin da 2 MB con pannello di amministrazione.
4. Se serve davvero un plugin, quale ha la manutenzione più solida? Qui rientrano i cinque indicatori del paragrafo precedente.
5. Quanto è costoso uscirne? Un plugin che salva i suoi dati in tabelle proprietarie e in shortcode sparsi nei contenuti è un lock-in. Quando vorrai cambiarlo dovrai rifare le pagine.

Il punto 5 è quello che le PMI sottovalutano di più e che si paga dopo tre o quattro anni, quando il sito va rifatto e ti accorgi che i contenuti sono ostaggio di uno strumento.

La checklist per fare pulizia senza rompere niente

Fare pulizia sui plugin è un’operazione a rischio se fatta a occhio, ed è quasi indolore se fatta con metodo. Questa è la sequenza che seguiamo sui siti dei clienti.

Prima di toccare qualsiasi cosa, fai un backup completo, file e database, e verifica di saperlo ripristinare. Un backup che non hai mai provato a ripristinare non è un backup, è una speranza.

Lavora su un ambiente di staging, cioè una copia del sito non pubblica. Quasi tutti gli hosting seri offrono la clonazione in staging con un click. Se il tuo non ce l’ha, è un buon motivo per rivalutare dove è ospitato il sito.

Fai l’inventario. Una riga per plugin con quattro colonne: nome, a cosa serve, ultimo aggiornamento, chi lo ha voluto. La quarta colonna sembra burocratica ma è quella che sblocca le decisioni, perché spesso nessuno sa più perché quel plugin sia lì.

Classifica in quattro gruppi:

• Da tenere: funzione essenziale, plugin aggiornato negli ultimi sei mesi.
• Da sostituire: funzione essenziale ma plugin abbandonato o pesante. Cerca l’alternativa prima di disinstallare.
• Da eliminare: funzione non più necessaria. Vanno via subito.
• Da capire: non sai cosa fa. Non toccarlo finché non lo scopri, potrebbe essere il plugin che tiene in piedi il modulo di preventivo.

Rimuovi uno alla volta. Mai due insieme. Dopo ogni rimozione controlla homepage, una pagina interna, il form contatti, e se hai un ecommerce anche una scheda prodotto e il checkout. Sembra pedante ma è l’unico modo per sapere con certezza cosa ha rotto cosa.

Cancella, non disattivare. Vale sia per la sicurezza sia per la pulizia del database.

Controlla i residui. Molti plugin lasciano tabelle, opzioni e cron job anche dopo la disinstallazione. Una passata di pulizia del database dopo aver rimosso cinque o sei plugin recupera spazio e velocità reali.

Misura prima e dopo. Prendi il tempo di caricamento e i Core Web Vitals prima di iniziare e rimisurali alla fine. Serve a te per sapere se è servito, e serve a giustificare il tempo speso.

Poi porta in produzione e ripeti i controlli sul sito live, perché cache e CDN possono comportarsi diversamente.

Se l’intera sequenza ti sembra fuori portata o semplicemente non è il tuo mestiere, è esattamente il tipo di intervento che copriamo con l’assistenza WordPress e, quando l’obiettivo è la velocità, con l’ottimizzazione dedicata alla velocità di WordPress.

Le funzioni che non meritano un plugin

Qualche esempio concreto di cose per cui vediamo installare plugin che non servono:

• Inserire uno script di tracciamento: va nel tema figlio o, meglio, in Google Tag Manager che probabilmente hai già.
• Nascondere il numero di versione di WordPress: due righe nel functions.php, e comunque da sola non è una misura di sicurezza seria.
• Aggiungere un campo al form: se il plugin form che usi lo supporta nativamente, non serve l’addon.
• Reindirizzare vecchie URL: pochi redirect si gestiscono a livello di server o CDN, molto più veloce di un plugin che interroga il database a ogni 404.
• Mostrare l’anno corrente nel footer: sì, esiste un plugin anche per quello, e sì, lo abbiamo trovato installato.

Ognuno di questi, preso singolarmente, sembra innocuo. Cinque di questi messi insieme sono cinque codebase di terze parti in più da aggiornare, cinque possibili vulnerabilità, cinque cose che possono rompersi al prossimo aggiornamento maggiore di WordPress.

Da dove partire questa settimana

Se non hai mai guardato la lista dei plugin del tuo sito, l’ordine sensato è questo:

1. Apri la bacheca e conta i plugin attivi e quelli disattivati. I disattivati vanno via oggi, senza discussione.
2. Ordina per data di ultimo aggiornamento e segna tutti quelli fermi da più di un anno. Quella è la tua lista di priorità.
3. Verifica di avere un backup funzionante e di sapere chi lo ripristina se qualcosa va storto.
4. Pianifica la pulizia in staging, non in produzione e non di venerdì pomeriggio.
5. Stabilisci una regola per il futuro: nessun plugin entra nel sito senza passare i cinque indicatori. Vale anche per te, non solo per chi ti mantiene il sito.

La pulizia una tantum risolve il presente. Quello che evita di ritrovarsi nella stessa situazione fra due anni è avere un ciclo regolare di controllo e aggiornamento, che è il cuore del nostro servizio di manutenzione e aggiornamenti.

WordPress non è fragile. Diventa fragile quando ci si accumulano sopra dieci anni di decisioni prese da persone diverse, senza che nessuno abbia mai più tolto niente. La differenza tra un sito che regge nel tempo e uno che va rifatto ogni tre anni sta quasi tutta lì.