Negli ultimi mesi mi è capitato di seguire un caso molto significativo: un sito aziendale che era andato offline, era stato poi ripristinato, ma continuava ad avere problemi importanti di sicurezza, funzionamento e indicizzazione su Google.
A prima vista sembrava solo un sito “rimesso online”. In realtà, analizzandolo più a fondo, è emersa una situazione molto più complessa: un attacco hacker, utenti WordPress sospetti, hosting non adeguato, configurazioni tecniche errate e un problema enorme lato SEO, con centinaia di migliaia di URL anomali finiti nei risultati di Google.
Ho deciso di raccontare questo caso, senza citare il nome del cliente, perché è un esempio concreto di quanto sia importante affidare un sito WordPress a professionisti competenti e scegliere un hosting serio, sicuro e ben gestito.
Buona lettura!
Quando un sito torna online, non è detto che sia davvero risolto
Uno degli errori più comuni è pensare che, se un sito torna visibile online, allora il problema sia stato risolto.
Non sempre è così.
Un sito può essere tecnicamente raggiungibile, ma continuare ad avere problemi nascosti:
- file compromessi;
- utenti WordPress non autorizzati;
- plugin obsoleti;
- redirect sbagliati;
- errori SEO;
- pagine non più indicizzate;
- URL spam presenti su Google;
- problemi di sicurezza ancora attivi.
Nel caso che ho analizzato, il sito era stato ripristinato dopo essere andato giù, ma qualcosa non tornava. La visibilità organica era compromessa e il sito non risultava più correttamente indicizzato.
Da lì è iniziata una verifica tecnica più approfondita.
Il ruolo dell’hosting nella sicurezza di un sito WordPress
La prima cosa che è emersa è stata la fragilità dell’ambiente di hosting.
Un hosting non adeguato può diventare un punto debole enorme per un sito WordPress, soprattutto quando mancano:
- sistemi di sicurezza affidabili;
- backup gestiti correttamente;
- assistenza tecnica competente;
- monitoraggio delle anomalie;
- protezione da malware e accessi sospetti;
- infrastruttura stabile e aggiornata.
Nel caso specifico, l’ambiente in cui era ospitato il sito non offriva garanzie sufficienti. Anche l’hosting aveva avuto problemi di sicurezza e questo aveva contribuito a rendere la situazione più critica.
Per questo motivo, una delle prime decisioni è stata trasferire il sito su un hosting più autorevole e affidabile, dopo aver aggiornato WordPress, tema e plugin necessari.
Il sito web è la casa digitale di un’azienda. Se la casa poggia su fondamenta fragili, prima o poi i problemi arrivano.
Attacco hacker e utenti fake su WordPress
Durante le verifiche è emerso che il sito aveva subito un attacco hacker.
Uno dei segnali più evidenti era la presenza di utenti fake all’interno di WordPress. Questo è un campanello d’allarme importante, perché significa che qualcuno potrebbe aver avuto accesso all’area amministrativa o aver sfruttato vulnerabilità presenti nel sito.
In questi casi non basta cambiare una password o aggiornare un plugin a caso.
Serve un controllo più completo:
- verifica degli utenti amministratori;
- controllo dei permessi;
- scansione dei file;
- aggiornamento di WordPress;
- aggiornamento dei plugin;
- rimozione degli elementi sospetti;
- installazione di strumenti di sicurezza;
- controllo del comportamento del sito lato server.
Un sito compromesso può continuare a generare problemi anche dopo il ripristino apparente.
Il problema nascosto: oltre 600.000 URL indicizzati che non dovevano esistere
Dopo aver messo mano alla parte tecnica e aver trasferito il sito su un hosting più affidabile, abbiamo collegato Google Search Console.
È lì che è emerso il problema più grave.
Il sito aveva circa 60 URL reali, ma Google Search Console mostrava una quantità enorme di URL anomali:
- circa 622.000 URL indicizzati;
- circa 422.000 URL non indicizzati;
- per un totale vicino a un milione di URL coinvolti.
Questo significa che Google aveva trovato e memorizzato una quantità gigantesca di pagine che non dovevano esistere.
Per un sito aziendale, una situazione del genere è molto pericolosa perché può generare:
- perdita di fiducia da parte di Google;
- dispersione del crawl budget;
- confusione nell’indicizzazione;
- peggioramento della visibilità organica;
- difficoltà a far emergere le pagine reali;
- presenza nei risultati di ricerca di URL inutili o spam.
In pratica, il sito reale rischiava di essere sommerso da un’enorme quantità di URL spazzatura.
Redirect 404 trasformati in 301: l’errore tecnico che ha amplificato il problema
Analizzando il comportamento degli URL non esistenti, è stato individuato un errore molto grave.
Uno snippet di codice inserito nel sito il 2 febbraio 2025 faceva una cosa sbagliata: prendeva tutti gli URL inesistenti, che avrebbero dovuto restituire un errore 404, e li reindirizzava con un 301 verso la pagina /servizi.
Detto in modo semplice: ogni URL inventato o generato dallo spam non veniva segnalato correttamente come pagina inesistente. Al contrario, veniva trattato come se avesse una destinazione valida.
Questo ha permesso a Google di continuare a considerare raggiungibili tantissimi URL che, in realtà, non dovevano avere nessun valore.
Perché questo errore è così grave?
Un errore 404 indica a Google che una pagina non esiste.
Un redirect 301, invece, comunica che una pagina è stata spostata in modo permanente verso un’altra destinazione.
Se tutti gli URL inesistenti vengono reindirizzati con un 301 verso una pagina reale, Google riceve un segnale sbagliato: invece di capire che quegli URL sono inutili, continua a seguirli e a considerarli parte del sito.
Nel tempo, questo errore può produrre danni molto importanti all’indicizzazione.
Cosa abbiamo fatto per ripristinare il comportamento corretto del sito
Dopo aver individuato la causa tecnica, siamo intervenuti in modo mirato.
Le attività effettuate sono state:
- analisi tecnica del report di Google Search Console;
- debug delle risposte HTTP;
- verifica del comportamento degli URL non esistenti;
- individuazione del redirect anomalo globale 404 → 301 → /servizi;
- individuazione della regola PHP responsabile;
- rimozione della logica di redirect errata;
- ripristino da codice della gestione corretta degli errori 404 Not Found;
- implementazione da codice della gestione 410 Gone per gli URL spam o rimossi;
- test e verifica delle risposte HTTP;
- definizione della procedura di pulizia dell’indice Google;
- predisposizione del sito al successivo monitoraggio SEO.
Questa fase è stata fondamentale perché non si trattava solo di “sistemare il sito”, ma di correggere alla base il modo in cui il sito comunicava con Google.
Differenza tra 404 e 410: perché è importante per la SEO
In casi come questo, è importante distinguere tra errore 404 e risposta 410.
Il 404 indica che una pagina non esiste.
Il 410, invece, indica che una pagina è stata rimossa definitivamente.
Per gli URL spam o generati durante una compromissione, il 410 può essere molto utile perché comunica a Google che quelle risorse non devono più essere considerate.
Non è una bacchetta magica e non elimina tutto dall’indice in un giorno, ma aiuta Google a interpretare correttamente la situazione durante le successive scansioni.
Quando ci sono centinaia di migliaia di URL anomali, la pulizia dell’indice richiede tempo. L’importante è correggere la fonte del problema e fare in modo che il sito restituisca le risposte corrette.
Le verifiche tecniche finali
Dopo le modifiche sono stati eseguiti test diretti sulle risposte HTTP del sito.
È stato verificato che:
- le pagine reali continuano a essere correttamente raggiungibili;
- gli URL casuali e inesistenti restituiscono 404;
- gli URL identificati come appartenenti alla precedente generazione spam restituiscono 410;
- non sono più presenti redirect automatici globali dagli errori 404 verso la pagina /servizi;
- il comportamento è coerente sia a livello WordPress sia a livello HTTP.
Questa è una fase essenziale, perché ogni intervento tecnico va sempre verificato.
Non basta “fare una modifica”: bisogna controllare che il sito risponda correttamente, che Google possa interpretarlo nel modo giusto e che non si creino nuovi problemi.
Perché affidarsi a persone inesperte può costare molto caro
Un sito WordPress può sembrare semplice da gestire, ma quando entrano in gioco sicurezza, SEO tecnica, Search Console, redirect, codici di risposta HTTP e indicizzazione, servono competenze specifiche.
Un intervento fatto senza la giusta esperienza può generare danni enormi, anche se nasce con l’intenzione di risolvere un problema.
Nel caso che ho seguito, una configurazione errata ha contribuito nel tempo alla creazione di centinaia di migliaia di URL anomali. Il problema non era visibile a occhio nudo, ma Google lo stava registrando.
E questo è il punto più importante: molti errori tecnici non si vedono dal frontend del sito.
Il sito può sembrare online, ma sotto può avere problemi molto seri.
SEO tecnica, sicurezza e hosting: tre aspetti che non possono essere separati
Oggi un sito web non può essere valutato solo per la grafica o per i testi.
Un sito deve essere:
- sicuro;
- aggiornato;
- ospitato su un’infrastruttura affidabile;
- correttamente indicizzato;
- tecnicamente coerente;
- monitorato nel tempo;
- ottimizzato per Google e per le nuove forme di ricerca con agent AI.
SEO, sicurezza e hosting non sono mondi separati.
Se l’hosting è fragile, il sito è più esposto.
Se il sito è compromesso, la SEO viene danneggiata.
Se la SEO tecnica è gestita male, Google può interpretare il sito in modo sbagliato.
Per questo motivo, quando lavoro su un progetto web, considero sempre l’intero ecosistema digitale: sito, contenuti, sicurezza, hosting, SEO e visibilità.
Cosa fare se il tuo sito ha perso indicizzazione o presenta errori strani
Se un sito è sparito da Google, ha perso visibilità o mostra dati anomali in Search Console, la prima cosa da fare non è intervenire a caso.
Serve un’analisi.
Bisogna capire:
- se il sito è stato compromesso;
- se esistono URL spam;
- se gli URL inesistenti restituiscono il codice corretto;
- se ci sono redirect anomali;
- se la sitemap è pulita;
- se Search Console mostra errori importanti;
- se l’hosting è affidabile;
- se WordPress, tema e plugin sono aggiornati.
Solo dopo si può definire una strategia di recupero.
Quello che questo caso mi ha confermato
Un sito hackerato o gestito male non è solo un problema tecnico.
È un problema di visibilità, reputazione e fiducia.
In alcuni casi, un singolo intervento sbagliato può generare conseguenze molto pesanti sull’indicizzazione e sulla presenza online di un’azienda.
Per questo motivo è fondamentale affidarsi a professionisti capaci di leggere il sito nel suo insieme: non solo come spazio grafico, ma come strumento digitale che deve essere sicuro, funzionante, indicizzabile e autorevole.
Se il tuo sito ha perso visibilità, non compare più correttamente su Google o presenta errori strani in Search Console, prima di intervenire è importante capire cosa sta succedendo davvero.
Possiamo analizzarlo insieme e definire da dove ripartire.