Cosa succede a un sito dopo che è online: cosa si rompe, e chi lo aggiusta

Il giorno della consegna è il giorno in cui il sito sta meglio. Da lì in poi tutto quello che gli sta intorno cambia: il fornitore del dominio manda una fattura che finisce in una casella che nessuno apre, il certificato scade, il server passa a una versione nuova, Google cambia le regole con cui accetta le email. Il sito non fa niente di sbagliato. Semplicemente il mondo intorno si muove, e lui no.

Questo articolo elenca le cose che si rompono da sole, come te ne accorgi e a chi tocca rimetterle in piedi. Sono cinque, e stanno in cinque posti diversi: è il motivo per cui di solito nessuno se ne occupa.

Cinque cose che si rompono senza che nessuno le tocchi#

Il dominio scade ogni anno, e non da solo#

Un dominio .it è registrato per un anno. Il regolamento del Registro .it dice che alla scadenza i nomi «sono rinnovati automaticamente», ma il rinnovo automatico è fra il Registro e il fornitore che ha registrato il dominio per te, il Registrar. Fra te e il Registrar c'è una fattura. Se quella fattura non viene pagata, lo stesso regolamento dà al Registrar la facoltà di cancellare il dominio «anche senza l'esplicita richiesta da parte del Registrante».

Da lì parte un conto alla rovescia, e le Linee guida tecniche del Registro lo scandiscono con precisione: quindici giorni di tolleranza dopo la scadenza, poi il dominio cancellato passa in uno stato chiamato redemptionPeriod per al massimo trenta giorni, durante i quali «non è delegato», cioè il sito non si apre e la posta con quell'indirizzo non arriva. Lo può recuperare solo lo stesso Registrar. Passati i trenta giorni, il nome viene cancellato ed è «immediatamente disponibile in rete per una nuova registrazione». Chiunque, quel giorno, può prenderselo.

Il punto pratico non è il regolamento: è dove arriva quella fattura. Se il dominio vive nell'account dell'agenzia che ti ha fatto il sito, la scadenza la vede l'agenzia, e se l'agenzia nel frattempo ha chiuso o ha smesso di risponderti, nessuno la vede. È uno dei motivi per cui il dominio va intestato a te, con la tua email come contatto.

Il lucchetto ha una data di scadenza#

Il lucchetto accanto all'indirizzo, quello che fa comparire https, è un certificato, e i certificati scadono. Quelli gratuiti di Let's Encrypt, che oggi coprono una parte enorme del web, durano 90 giorni: la loro documentazione dice che «non c'è modo di modificare queste durate, non ci sono eccezioni». E la durata massima consentita a qualunque certificato si sta accorciando per tutti: il forum che riunisce le autorità di certificazione e i produttori di browser ha approvato nell'aprile 2025 un calendario che porta il limite da 398 a 47 giorni, in tre passi fra il marzo 2026 e il marzo 2029. Il primo è già scattato.

Cosa vede il cliente quando il certificato scade: una pagina a tutto schermo del browser che dice che la connessione non è privata, con un bottone per tornare indietro. Quasi tutti tornano indietro.

La conseguenza dei numeri qui sopra è che rinnovare a mano non è più una strada. Il rinnovo deve essere automatico, e qualcuno deve controllare che l'automatismo abbia funzionato, perché quando salta non avvisa: te ne accorgi dalla pagina rossa.

Il server invecchia sotto al sito#

Un sito gira sopra a del software che non è suo: il linguaggio in cui è scritto, il sistema che lo serve, le librerie che usa. Tutto questo ha una data di fine supporto, e gli hosting aggiornano perché tenere versioni vecchie è un rischio anche per loro.

L'esempio più comune in Italia è PHP, il linguaggio sotto a WordPress e a gran parte dei siti delle piccole imprese. Il calendario ufficiale delle versioni dice che PHP 8.1 non riceve più correzioni di sicurezza dalla fine del 2025, e PHP 8.2 le perde a fine 2026. Quando l'hosting passa alla versione successiva, un sito scritto per quella vecchia può aprirsi con una pagina bianca. Non è successo niente al sito: è cambiato il pavimento.

Lo stesso vale per il software del sito stesso. WordPress, nell'annuncio con cui nel giugno 2025 ha chiuso gli aggiornamenti di sicurezza per le versioni dalla 4.1 alla 4.6, mette in chiaro la regola generale: «l'unica versione di WordPress attivamente supportata è la più recente». Poi ci sono i plugin, ognuno scritto da qualcuno di diverso, ognuno con il suo ritmo di aggiornamento. Ogni tanto due aggiornamenti litigano e una parte del sito smette di funzionare, e il modo in cui te ne accorgi è che un cliente ti dice che il modulo non va.

Il modulo dei contatti smette di consegnare#

È la rottura più silenziosa, perché il modulo continua a dire «grazie, ti ricontatteremo» anche quando la richiesta non arriva a nessuno.

Il modulo manda un'email. Quell'email arriva alla tua casella, che nella maggior parte dei casi è Gmail o Google Workspace, e Google dal 1° febbraio 2024 chiede a chi invia posta di rispettare dei requisiti: il dominio che invia deve essere autenticato con SPF o DKIM, il server deve avere un record inverso valido, e se il tasso di segnalazioni come spam supera lo 0,30% la posta «potrebbe non essere consegnata come previsto, o essere contrassegnata come spam». Chi non li rispetta si vede rifiutare i messaggi con un codice di errore, che però arriva al server del sito, non a te.

Un modulo montato nel 2022 e mai più toccato manda ancora le email nello stesso modo di allora. Se quel modo oggi non passa, le richieste finiscono nello spam o non partono, e l'unico segnale che hai è che da un po' non scrive nessuno. Che è un segnale che si scambia facilmente con «il sito non funziona» o con «è un periodo morto».

Gli strumenti di misura si spengono da soli#

Il 1° luglio 2023 Universal Analytics, la versione di Google Analytics che stava nella maggior parte dei siti, ha smesso di elaborare i dati, e dal luglio 2024 Google li ha cancellati. Un sito che aveva ancora quel codice ha continuato a mandarlo per mesi a un servizio che non lo ascoltava più. Chi apriva il pannello ogni tanto ha visto i grafici a zero e ha pensato a un calo. Chi non lo apriva non ha visto niente.

Vale per tutto quello che è collegato da fuori: la mappa, il widget delle recensioni, il pulsante di prenotazione, il banner dei cookie. Ognuno di questi è un servizio con le sue regole e le sue chiavi, e ognuno può cambiare senza che il tuo sito ne sappia niente.

Chi se ne accorge, e a chi tocca#

Messe in fila, le cinque rotture hanno un tratto in comune: quasi mai se ne accorge chi dovrebbe aggiustarle.

La colonna di destra è il problema. Sono almeno tre soggetti diversi, il Registrar, l'hosting e chi ha fatto il sito, più te per i contenuti, e ognuno ha ragione a pensare che quella cosa non sia sua. Il dominio non è un problema di chi scrive il codice. Il modulo che non consegna non è un problema del Registrar. Nessuno sta sbagliando, ed è per questo che resta rotto.