I proprietari di siti WordPress si concentrano spesso sugli aggiornamenti dei plugin e del core, ma il tema attivo riceve meno attenzione. L’elenco dei plugin è ben visibile nell’amministrazione. Il tema, invece, è spesso qualcosa che è stato installato anni fa e a cui non si è più pensato. Il problema è che anche i temi sono codice. Hanno gli stessi rischi dei plugin, e un tema obsoleto può essere pericoloso quanto qualsiasi plugin non aggiornato presente sul tuo sito.
Il rischio per la sicurezza
I temi contengono PHP. Vengono eseguiti a ogni caricamento di pagina. Includono il proprio functions.php, spesso con codice di supporto personalizzato che gestisce moduli, richieste AJAX e integrazioni. Qualsiasi falla in quel codice è raggiungibile dal web pubblico esattamente come una falla in un plugin.
Tra le vulnerabilità più comuni dei temi ci sono gli endpoint AJAX non autenticati che accettano input dell’utente senza validazione, le funzioni di caricamento file prive di un’adeguata sanitizzazione e i moduli di contatto o i gestori dei commenti che non sono stati controllati contro il cross site scripting. Anche i temi premium con plugin integrati sono un rischio, perché le versioni di quei plugin sono di solito bloccate e raramente aggiornate quando il plugin originale corregge una falla.
Se il tuo tema non viene aggiornato da più di un anno, consideralo un avvertimento. Se non viene aggiornato da più di due anni, consideralo di fatto abbandonato.
Il rischio di compatibilità
I temi sono progettati per una versione specifica del core di WordPress, una versione di PHP e un insieme di plugin associati. Man mano che questi avanzano, un tema non mantenuto inizia a guastarsi in modi sottili. L’editor a blocchi viene visualizzato in modo diverso. I blocchi moderni non vengono mostrati correttamente. Nel registro degli errori compaiono avvisi PHP. I layout mobile si comportano male sui browser più recenti. I punteggi Core Web Vitals calano perché il tema genera spostamenti di layout che i browser attuali misurano in modo più rigoroso.
Nulla di tutto questo è drammatico il primo giorno. È la lenta erosione di un sito che un tempo funzionava bene.
Il rischio di prestazioni
I temi vecchi spesso caricano più risorse del necessario. Più versioni di jQuery. Icone Font Awesome anche quando il sito ne usa solo alcune. Librerie di slider provenienti da temi acquistati per uno specifico banner della home page e mai ottimizzate. Queste risorse compaiono a ogni caricamento di pagina e trascinano verso il basso i punteggi Core Web Vitals.
I temi moderni costruiti per l’editor a blocchi sono di solito più leggeri, con risorse caricate solo quando i blocchi pertinenti sono presenti nella pagina. Il divario di prestazioni tra un tema del 2020 e un tema a blocchi attuale e ben costruito è significativo.
Il problema dei temi piratati
Un rischio a parte che vale la pena segnalare è la pratica di scaricare temi premium da fonti non ufficiali. Una copia gratuita di un tema da cento dollari su un sito di torrent o di condivisione è quasi sempre infarcita di backdoor. Il proprietario installa il tema, la backdoor si attiva alla prima richiesta e l’aggressore ottiene pieno accesso al sito.
Questo schema è deprimentemente comune. Il risparmio sul costo della licenza del tema è una frazione minima del costo di bonifica quando accade l’inevitabile. Acquista sempre i temi dal fornitore ufficiale o usa il repository dei temi di WordPress.org.
Problemi di personalizzazione del tema
L’errore più grande che vediamo è la modifica diretta dei file del tema. Uno sviluppatore modifica header.php per correggere un problema di layout, oppure aggiunge una funzione in functions.php per gestire qualcosa di personalizzato. Quando il tema si aggiorna, quelle modifiche vengono cancellate.
L’approccio corretto è un tema child. Un tema child eredita tutto dal tema padre e ti permette di sovrascrivere file specifici o aggiungere funzioni specifiche senza toccare il padre. Quando il padre si aggiorna, le tue personalizzazioni sopravvivono.
Se il tuo tema attuale è stato modificato direttamente, il momento giusto per rimediare è adesso. Migra le modifiche in un tema child. Dopodiché potrai aggiornare il tema padre in sicurezza.
Come valutare il tuo tema
Apri la pagina dei temi nell’amministrazione di WordPress. Annota nome del tema, versione, autore e data dell’ultimo aggiornamento. Cerca il tema su WordPress.org o sul sito del fornitore. Se l’ultima versione è più avanti della tua di più di qualche release minore, pianifica un aggiornamento. Se l’ultimo aggiornamento risale a più di un anno fa, pianifica una migrazione per abbandonarlo.
Verifica se il tema è costruito per l’editor a blocchi. I temi più vecchi presuppongono l’editor classico e risultano sempre più goffi nel WordPress moderno. Un tema a blocchi è compatibile con la direzione verso cui sta andando la piattaforma.
Come aggiornare un tema in sicurezza
La procedura sicura è la stessa di qualsiasi cambiamento importante in WordPress. Prima fai un backup. Prova su un ambiente di staging. Esamina il changelog alla ricerca di modifiche che rompono la compatibilità. Aggiorna sullo staging, percorri il sito, correggi ciò che si è spostato, poi porta la modifica in produzione in una fascia oraria a basso traffico.
Per gli aggiornamenti di versione maggiore che includono modifiche al design, metti in conto di dedicare un po’ di tempo a sistemare le sovrascritture del tuo tema child. Per gli aggiornamenti minori, di solito è invisibile. La disciplina è la stessa: staging, test, distribuzione.
Quando la migrazione è la risposta giusta
A volte un tema vecchio è così indietro che aggiornarlo è più doloroso che migrare. Lo sviluppatore originale non c’è più, il tema non è più mantenuto, il codice è pieno di jQuery di un’altra epoca e un nuovo tema a blocchi darebbe al sito basi migliori rispetto al continuare a rattoppare quello vecchio.
Una migrazione pianificata verso un tema a blocchi attuale di solito riesce a preservare l’aspetto e lo stile del sito sostituendo al contempo le fondamenta sottostanti. Il costo è iniziale, ma i risparmi si accumulano in ogni anno futuro di manutenzione.
Ti serve una mano?
Se desideri far controllare il tuo tema WordPress, ricevere un consiglio su se aggiornare o migrare ed eseguire in sicurezza l’una o l’altra strada, il team di Defyn può aiutarti. Il tema è la base. Vale la pena farlo bene.
