Per le web agency che seguono siti WordPress, Joomla, Drupal e PrestaShop
SitePing controlla ogni sito da fuori, come un visitatore, e da dentro, con un agente nel CMS. Vedi i nuovi amministratori, i file del core modificati e il PHP nascosto negli upload. Di notte fa i backup cifrati e aggiorna i plugin, e se un aggiornamento rompe il sito torna alla versione di prima.
Per iniziare non serve la carta di credito.
Nessuna porta da aprire sul server del cliente. Le richieste sono firmate in tutti e due i sensi.
I plugin di sicurezza sono anche la prima cosa che un attaccante disattiva. SitePing tiene insieme le due viste e salva gli eventi sui propri server, dove chi entra nel sito non può cancellarli.
foto.php.jpg.htaccess, index.php, .user.ini e auto_prepend_file, i punti da cui il malware parte prima del CMS.sql lasciati nella cartella del sitoMolte dashboard multi-sito sono pensate per WordPress e aggiungono gli altri CMS dopo. I nostri agenti sono estensioni native di ogni CMS e usano lo stesso nucleo, così monitoraggio, sicurezza e backup arrivano su tutti insieme.
Joomla 3.10.12 e PrestaShop 1.7.8.11 non ricevono più correzioni, e molti clienti non hanno il budget per migrare subito. Active Shield applica sul sito le correzioni ufficiali uscite dopo, riportate file per file dai rilasci di Joomla e PrestaShop. Il rimedio vero resta l'aggiornamento: intanto il sito non resta scoperto.
| CVE-2024-21726 | Filtro dei contenuti aggirabile | OK |
| CVE-2024-40749 | Viste riservate visibili agli ospiti | OK |
| CVE-2024-27185 | Cache avvelenata dalla paginazione | OK |
| CVE-2026-74253 | Sourcerer: richieste con {source} bloccate | OK |
| 70 file | Confrontati con la release ufficiale prima di scrivere | OK |
L'agente legge quello che da fuori non si vede: chi è amministratore, come è impostato il CMS, cosa c'è nel database e nella cartella del sito. Ogni risultato dice cosa fare e in quale schermata.
trusted_host_patterns mancante in Drupal| A04 | Super User che Joomla non mostra | Critico |
| H03 | backup-2025.sql nella cartella del sito | Critico |
| F02 | 2 Super User senza autenticazione a più fattori | Avviso |
| E01 | Utente del database con privilegi su tutto il server | Avviso |
| D04 | HTTPS imposto su tutto il sito | OK |
Se un file del core cambia, vedi il percorso esatto, confrontato con la release ufficiale della versione installata. Un file PHP del core modificato è critico. Un template ritoccato di solito è opera di chi ha fatto il sito, e lo segnaliamo come avviso.
Nei nostri test su installazioni pulite, zero falsi positivi: 3.336 file di WordPress, 9.625 di Joomla, 22.269 di Drupal 10.6 e 37.172 di un negozio PrestaShop 9.2.
| libraries/src/Factory.php | Modificato | Critico |
| plugins/system/sef/helper.php | Assente nella release | Critico |
| templates/cassiopeia/index.php | Modificato | Avviso |
Chi inietta pagine spam di solito lascia stare la home page. Te ne accorgi da centinaia di URL nuovi nella sitemap, da un robots.txt che blocca Google o dalla schermata rossa di una blacklist.
Crescite improvvise, link verso altri domini, pagine su farmaci, casinò o prestiti
Modifiche, e regole che bloccano i motori di ricerca
Google Web Risk, Spamhaus DBL e ZEN, SURBL, SpamCop
Record A, MX o nameserver nuovi
Scudo SEO: mette a confronto la pagina servita a Googlebot (verificata anche da dentro il sito, dove il cloaking non si può nascondere) con quella che vede un visitatore arrivato da Google e uno da mobile. Così vengono fuori i redirect condizionali e i link nascosti. Se vuoi, un parere AI ti dice cosa ripulire.
Un sito conta come giù solo se lo vedono giù almeno due regioni. Gli avvisi e i critici arrivano per email, webhook o Telegram, e se succedono più cose insieme le raggruppiamo.
Sonde in altre regioni confermano il guasto prima dell'allarme critico. Un firewall che blocca solo il nostro IP non sveglia nessuno.
Colleghi una chat privata o un gruppo con un link che vale un'ora, e scegli se ricevere avvisi e critici o solo i critici.
Avviso quando il disco dell'hosting è all'85% e restano meno di 10 GB, critico sotto i 512 MB liberi. Le soglie si cambiano sito per sito.
File, riga e messaggio di ogni errore fatale, anche sulle pagine interne e sul carrello.
Lighthouse misura l'accessibilità della home page e ti segnala i problemi comparsi dall'ultima misura.
Punteggi mobile e desktop ogni settimana, con un avviso quando calano.
Molti aggiornamenti modificano anche il database, e rimettere solo i file vecchi lascia il sito a metà. Prima di aggiornare SitePing salva la cartella del plugin e le tabelle che può toccare. Se dopo le pagine danno errore, rimette tutto com'era.
Oggi funziona per plugin e temi WordPress. Le estensioni Joomla e lo staging arriveranno dopo.
| Backup del sito | Di stanotte, 01:30 | OK |
| Punto di ripristino | Cartella del plugin e 3 tabelle | OK |
| Shop Builder da 8.1 a 8.2 | Aggiornato | OK |
| Controllo delle pagine | Errore fatale PHP su /shop/ | Critico |
| Rollback | Di nuovo alla 8.1 in 4 secondi | OK |
Il server del cliente comprime e cifra database e file, poi li carica direttamente in uno storage europeo. Il lavoro è diviso in passi di pochi secondi, così regge anche l'hosting condiviso.
AES-256, con una chiave diversa per ogni backup. Sul sito e nello storage non resta niente in chiaro.
Dal secondo backup in poi partono solo i file cambiati. Per ripristinare non serve ricomporre la catena: ogni backup ha l'elenco completo dei suoi file.
Per esempio tutto il sito il primo del mese e il database ogni notte, ognuna con la sua conservazione. I backup importanti li tieni per sempre.
Lo storage usa Object Lock: fino alla scadenza non si possono cancellare, nemmeno con credenziali rubate. Con un clic rileggiamo ogni parte di un backup e contiamo le tabelle del database, e ogni 90 giorni ti ricordiamo di provare un ripristino.
Scegli database, file o tutti e due. Prima del ripristino facciamo un backup di com'è il sito adesso. Se preferisci, scarichi .sql.gz e .tar.gz.
Per i siti con dati delicati: i backup si chiudono con una chiave che hai solo tu, e senza quel file nessuno li apre, noi compresi. Li decifri anche offline, da riga di comando o nel browser.
Niente file di password condivisi e niente account admin creati per l'agenzia e poi dimenticati. La piattaforma chiede al sito un link di accesso che vale una volta sola, per 60 secondi, e solo su quel dominio.
Incolli l'URL e partono subito uptime, SSL, DNS, dominio, sitemap e blacklist. Senza plugin.
È un plugin leggero per WordPress, Joomla, Drupal o PrestaShop. Non apre porte e risponde solo alle richieste firmate con la chiave di quel sito.
Un codice monouso collega il sito alla piattaforma. Da quel momento arrivano inventario, eventi di sicurezza e controlli di integrità.
MCM1.eyJ1IjoiaHR0cHM6Ly9hcHAu… Ogni funzione ha la sua pagina, con come funziona, i limiti e le domande che ci fanno le agenzie.
| Dashboard solo WordPress | Scanner esterni | SitePing | |
|---|---|---|---|
| WordPress, Joomla, Drupal e PrestaShop nella stessa dashboard | Raramente | No | Sì |
| Controlli da dentro: nuovi admin, file del core, upload | Sì | No | Sì |
| Controlli da fuori: uptime, DNS, blacklist, spam nella sitemap | In parte | Sì | Sì |
| Integrità del core di Joomla | Raramente | No | Sì |
| Accesso admin con un clic | Sì | No | Sì |
| Backup cifrati sul sito e incrementali | In parte | No | Sì |
| Rollback degli aggiornamenti, database compreso | Raramente | No | Sì |
| Joomla 3 e Drupal 7 ancora in produzione | No | In parte | Sì |
| Patch di sicurezza per Joomla 3.10 e PrestaShop 1.7 | No | No | Sì |
Secondo le pagine pubbliche degli strumenti più usati, a settembre 2026. Le funzioni cambiano da un piano all'altro.
L'agente risponde solo alle richieste firmate con HMAC-SHA256, con timestamp e un nonce che vale una volta.
Una pagina del firewall o un errore rimasto in cache non possono essere scambiati per una risposta dell'agente.
Della configurazione e degli altri file sensibili riceviamo solo le impronte, per accorgerci se cambiano.
Mentre il sito serve le pagine l'agente si limita a registrare gli errori fatali. Il resto lo fa a piccoli passi, quando glielo chiede la piattaforma.
Il plugin che scarichi accetta solo la piattaforma da cui l'hai scaricato. Con un codice di collegamento falso nessuno può prendersi il sito.
La 2FA è obbligatoria per tutti gli account. Test automatici provano a ogni rilascio che un'agenzia non possa leggere o comandare i siti di un'altra.
Queste funzioni non ci sono ancora. Le scriviamo qui perché le agenzie ce le chiedono.
I dati di Search Console accanto ai controlli sullo spam SEO, e le pagine lette come le mostra un browser, JavaScript compreso.
Aggiornamenti provati prima su una copia del sito, screenshot delle pagine prima e dopo, aggiornamenti sicuri anche per le estensioni Joomla.
Le licenze per agenzie si comprano a blocchi di 5 siti, e il prezzo a sito scende man mano che la licenza cresce. Tutti i siti di una licenza hanno lo stesso livello.
2,50 € a sito / mese
per i primi 5 siti, fino a 1,50 € dal sito 41
L'agente in ogni sito, per le agenzie che fanno i backup altrove.
3,75 € a sito / mese
per i primi 5 siti, fino a 2,25 € dal sito 41
Essentials più i backup e gli aggiornamenti che tornano indietro da soli.
5,00 € a sito / mese
per i primi 5 siti, fino a 3,00 € dal sito 41
Pro più i controlli per i siti che vivono del traffico da Google o hanno un CMS vecchio.
0,00 € al mese
Monitoraggio uptime fino a 50 siti, senza agente.
5,00 € al mese
Un sito con le funzioni di Pro, per i freelance.
Calcolatore, scaglioni e tutte le funzioni per livello
Prezzi IVA e tasse escluse, che il pagamento aggiunge in base al tuo paese.
No. Per uptime, SSL, DNS, scadenza del dominio, sitemap e blacklist basta l'URL. Il plugin serve per quello che si vede solo da dentro: nuovi amministratori, integrità di core e file, vulnerabilità, accesso con un clic.
Durante le visite registra solo un gestore degli errori fatali. Scansioni e controlli partono quando li chiede la piattaforma, in passi di pochi secondi, e sono pensati per l'hosting condiviso.
Dopo tre contatti falliti ti arriva un allarme, e i controlli esterni vanno avanti. L'ultimo stato del sito resta salvato sui nostri server.
WordPress dalla 5.0 con PHP 7.4 o successivo. Joomla 4, 5 e 6, più Joomla 3.9 e 3.10 con un plugin a parte che gira anche su PHP 7.1. Drupal 7 e dalla 8.9 alla 11, PrestaShop dalla 1.7.6 alla 9.2.
Sì. Da fuori si controlla qualsiasi indirizzo, anche un'API (con il controllo di un campo JSON), e anche una porta TCP come quella di un server di posta. Per Laravel, Symfony o codice PHP proprio c'è un connettore per PHP 7.1 o successivo: scansione dei file, cartelle di upload, file sorvegliati e controlli di configurazione. Non controlla integrità del core e vulnerabilità, perché un'applicazione su misura non ha un elenco ufficiale con cui confrontarla.
Monitoraggio, integrità del core e backup funzionano anche lì. Su Joomla 3.10.12 e PrestaShop 1.7.8.11 puoi accendere Active Shield, che applica le correzioni di sicurezza ufficiali uscite dopo la fine del supporto. Le versioni 3.9, 1.7.6 e 1.7.7 vanno prima portate all'ultima release del loro ramo. La migrazione resta da fare, ma intanto il sito non resta scoperto.
Prima di aggiornare salviamo la cartella del plugin e le tabelle che può modificare, e controlliamo le pagine. Se dopo compaiono errori, testo mancante o errori fatali PHP, rimettiamo file e database com'erano e ti avvisiamo. Per tre giorni puoi anche tornare indietro a mano.
Partono già cifrati dal sito e restano cifrati in uno storage europeo, bloccati contro la cancellazione. Ogni backup ha la sua chiave, che la piattaforma conserva cifrata. Se vuoi, i backup di un sito si chiudono con una chiave che tieni tu: noi abbiamo solo la parte pubblica, e senza il tuo file nessuno li apre.
Da Wordfence Intelligence per core, plugin e temi WordPress, dal Joomla Security Centre per il core di Joomla e da OSV.dev (avvisi di GitHub e drupal.org) insieme alle release di drupal.org per core e moduli Drupal. Per PrestaShop usiamo OSV.dev e gli avvisi di Friends of Presta sui moduli di terze parti. La stessa vulnerabilità pubblicata da più fonti produce un solo avviso.
Email, webhook e Telegram, in una chat privata o in un gruppo. Su Telegram scegli per ogni chat se ricevere avvisi e critici o solo i critici. Slack e Microsoft Teams non ci sono ancora.
Sì, nei piani Pro e Complete. Dai un accesso a una persona del tuo cliente: vede stato, uptime, backup, aggiornamenti e report mensili dei suoi siti con il tuo nome, e non può cambiare nulla. Ogni mese può anche ricevere il suo report via email, in PDF con il tuo logo.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.