# Contratto di manutenzione della sicurezza per siti web e server

> Contratto di manutenzione con sicurezza: aggiornamenti, backup testati, monitoraggio e responsabilità chiare per siti web e server. Richieda l'assistenza.

Fonte: https://phpsos.de/it/leistungen/security-wartungsvertrag/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** un contratto di manutenzione del sito web con focus sulla sicurezza fa in modo che aggiornamenti, backup e sorveglianza non dipendano dal caso. Seguiamo in modo continuativo i Suoi siti web e server PHP, teniamo aggiornato lo stato, testiamo il ripristino e reagiamo secondo una procedura concordata quando diventa nota una nuova vulnerabilità. Riceve periodicamente un rapporto comprensibile.

## Perché la sicurezza appartiene al contratto di manutenzione del sito web

Molti contratti di manutenzione coprono gli aggiornamenti del CMS e si fermano lì. PHP2Shell ha mostrato che non basta: le vulnerabilità CVE-2026-109618 e CVE-2026-109619 si trovano in PHP stesso, non nel CMS. Un aggiornamento di WordPress o Shopware non le chiude. Chi cura solo il CMS non ha sotto controllo il pericolo vero e proprio.

A ciò si aggiunge il fattore tempo. Tra il preavviso di php.net del 20/10/2026 e la pubblicazione delle patch il 21/10 è passato un giorno, e secondo i resoconti dei media già il 17/10 c'era stato un primo tentativo di attacco osservato. In situazioni simili aiuta solo una procedura già definita e qualcuno che abbia accesso e sappia quali sistemi sono interessati. Chi cerca le credenziali solo nel caso peggiore, telefona ai fornitori e chiarisce le responsabilità perde proprio il tempo che gli aggressori sfruttano.

Un altro punto è spesso sottovalutato: i backup che non sono mai stati ripristinati sono una promessa senza prova. Solo un test di ripristino mostra se un salvataggio è completo e quanto tempo richieda davvero il ritorno all'operatività.

## Per chi vale la pena un contratto di manutenzione della sicurezza

Un contratto di manutenzione con focus sulla sicurezza è adatto soprattutto alle imprese il cui sito web o shop è critico per l'attività, ma che non dispongono di un'amministrazione propria per server e PHP. Sono tipici i commercianti online, gli studi medici, gli studi professionali e le PMI con portali clienti, ma anche gli enti pubblici con più presenze web.

È altrettanto sensato quando la responsabilità è oggi distribuita su molte spalle: un'agenzia ha realizzato il sito web, un hoster mette a disposizione il server, un ex collaboratore conosceva gli accessi. In configurazioni simili, in situazioni come PHP2Shell emerge subito che nessuno è chiaramente responsabile. Il contratto crea un punto fisso che sa come stanno le cose e può agire.

Per un singolo sito web piccolo, senza moduli né dati dei clienti, può bastare una portata più snella. Lo chiariamo nell'inventario.

## Che cosa contiene il contratto di manutenzione della sicurezza

- **Aggiornamenti:** sistema operativo, web server, PHP, CMS, estensioni e dipendenze, con ritmo fisso e in aggiunta in caso di vulnerabilità critiche
- **Riavvio e prova:** dopo gli aggiornamenti di PHP, riavvio di tutti i worker con verifica che non girino vecchi processi
- **Backup:** secondo la regola 3-2-1, con test di ripristino periodico. Le basi sono alla pagina [Backup secondo la regola 3-2-1](https://phpsos.de/it/ratgeber/backups-3-2-1/).
- **Sorveglianza:** integrità dei file, accessi, processi e log, come descritto alla pagina [Security monitoring per web server](https://phpsos.de/it/leistungen/security-monitoring/)
- **Ciclo di vita:** pianificazione anticipata prima che una versione di PHP raggiunga la fine del supporto, ad esempio PHP 8.2 il 31/12/2026
- **Procedura di emergenza:** passi concordati per il caso peggiore, accessi e referenti che nell'incidente sono subito noti
- **Rapporto:** sintesi periodica con aggiornamenti installati, eventi e raccomandazioni

## Chi è responsabile di che cosa?

Molte vulnerabilità di sicurezza non nascono da cause tecniche, ma organizzative: ognuno pensa che se ne occupi un altro. Per questo mettiamo per iscritto le responsabilità. Un esempio tipico:

| Compito | Hoster | Agenzia | PHP SOS | Lei |
|---|---|---|---|---|
| Hardware, rete, data center | sì | | | |
| Sistema operativo e aggiornamenti di PHP | a seconda del contratto | | sì | |
| CMS ed estensioni | | sì | previo accordo | |
| Contenuti e account utente | | | | sì |
| Sorveglianza e procedura di emergenza | | | sì | autorizzazioni |

L'effettiva ripartizione dipende dai Suoi contratti. Soprattutto con i server gestiti vale la pena guardare con attenzione che cosa il fornitore si assuma davvero, vedi [Server gestito: chiarire la responsabilità](https://phpsos.de/it/server/managed-server/). Le agenzie con molti siti di clienti trovano un modello adatto alla pagina [Partner per la sicurezza per le agenzie](https://phpsos.de/it/branchen/agenturen-white-label/).

## Come aiuta concretamente PHP SOS?

1. **Inventario:** rileviamo tutti i siti web, server, versioni, accessi, backup e contratti esistenti.
2. **Messa in sicurezza iniziale:** gli aggiornamenti arretrati e le debolezze note vengono chiusi per primi, prima che inizi l'assistenza continuativa.
3. **Accordo:** mettiamo per iscritto portata, ritmo, responsabilità e procedura di emergenza, anche la questione di quando Le viene chiesto prima di una modifica.
4. **Assistenza continuativa:** aggiornamenti, backup, sorveglianza e rapporti secondo piano, in caso di vulnerabilità critiche anche secondo la procedura di emergenza concordata.
5. **Verifica annuale:** verifichiamo insieme se il contratto sia ancora adatto al Suo panorama di sistemi.

## Che cosa ci serve e che cosa non promettiamo

Ci servono accessi amministrativi permanenti, un referente con potere decisionale, un contatto con hoster e agenzia e informazioni sulle modifiche previste alle Sue applicazioni. Gli accessi li gestiamo separatamente per ogni cliente e documentiamo chi vi ha accesso. Se prevede modifiche ai Suoi sistemi, ad esempio un nuovo shop, un altro sito web o un cambio di hoster, ce lo dica per tempo, in modo che aggiornamenti, backup e sorveglianza crescano insieme.

Non promettiamo che i Suoi sistemi non vengano mai attaccati. Un contratto di manutenzione riduce il rischio e fa in modo che nel caso peggiore si agisca in modo rapido e ordinato. Prezzi e tempi di reazione non li indichiamo in modo generico, ma li fissiamo nell'offerta dopo l'inventario. Come prepararsi ulteriormente sul piano organizzativo al caso peggiore è descritto alla pagina [Creare un piano di emergenza IT per i web server](https://phpsos.de/it/compliance/notfallplan-erstellen/).


## Domande frequenti

**Che cosa rientra in un contratto di manutenzione del sito web con focus sulla sicurezza?**  
Almeno aggiornamenti per server, PHP, CMS ed estensioni, backup regolari con test di ripristino, una sorveglianza della sicurezza e una disciplina chiara per le emergenze. È importante anche mettere per iscritto chi è responsabile di che cosa.

**Il contratto di manutenzione sostituisce la mia agenzia o il mio hoster?**  
Non necessariamente. Spesso lavoriamo insieme ad agenzia e hoster e ci occupiamo della parte di sicurezza. È decisivo che le responsabilità siano distribuite senza lacune e che nulla resti in sospeso tra le parti coinvolte.

**Che cosa succede quando diventa nota una vulnerabilità critica come PHP2Shell?**  
In quel caso verifichiamo quali dei Suoi sistemi sono interessati, installiamo gli aggiornamenti secondo la procedura concordata o applichiamo misure provvisorie e La informiamo sullo stato. Quanto rapidamente avvenga lo stabiliamo insieme nel contratto.

**Esiste un prezzo fisso?**  
La portata dipende dal numero e dal tipo dei Suoi sistemi. Dopo un inventario prepariamo un'offerta che descrive esattamente che cosa è incluso.

## Fonti

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: versioni supportate](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)