Hai risparmiato la parcella del professionista. In un pomeriggio, con l’intelligenza artificiale, il tuo sito è online: sembra fatto bene, si apre, ci sono testi, foto, il modulo contatti. Complimenti. Ora la domanda scomoda: sai cosa hai messo online, insieme al sito?
Perché la differenza tra un professionista e chi prova a creare un sito web con intelligenza artificiale da solo non sta nel sito che si vede. Sta in quello che non si vede: il codice sotto, le porte lasciate aperte, i dati che girano senza protezione. E il problema, con il fai da te, è che non sai nemmeno di avere un problema. Finché qualcuno non te lo mostra. Di solito un hacker, di solito troppo tardi.
Il codice che non hai letto (e che non sai leggere)
Quando chiedi a un’IA di scrivere il codice del tuo sito, l’IA ti consegna qualcosa che funziona. Quello che non ti consegna è la garanzia che sia sicuro. Il rapporto Veracode 2026 sulla sicurezza del codice generativo, che ha testato oltre 100 modelli linguistici su compiti reali di programmazione, ha trovato che il 44% del codice generato non supera i test di sicurezza: il tasso di successo si ferma al 56%, praticamente invariato rispetto all’anno prima, mentre la correttezza sintattica sfiora il 100%. Tradotto: il codice gira quasi sempre. Ma quasi una volta su due contiene falle.
Le falle più frequenti hanno nomi precisi: cross-site scripting, iniezione di log, controllo degli accessi rotto, segreti scritti in chiaro nel codice. E non sono teoria: ricercatori del Georgia Tech hanno ricondotto 74 vulnerabilità pubblicate (CVE) a commit scritti dall’IA, 35 delle quali nel solo marzo 2026. Un professionista legge quel codice, lo testa, lo corregge. Un non esperto lo pubblica. E non ha modo di accorgersi della differenza, perché il sito, a occhio, funziona benissimo.
WordPress senza nessuno che lo guarda
La maggior parte dei siti fai da te nasce su WordPress. Ed è qui che il rischio esplode. Il rapporto Patchstack sullo stato della sicurezza WordPress 2026 registra 11.334 nuove vulnerabilità scoperte nel 2025, il 42% in più dell’anno prima: il 91% riguarda i plugin, e quasi la metà (46%) non aveva una correzione disponibile al momento della divulgazione. Il tempo mediano tra la pubblicazione di una vulnerabilità e il primo attacco reale è di cinque ore.
Cinque ore. Ora chiediti: chi aggiorna il tuo sito? Chi controlla se un plugin che hai installato è diventato vulnerabile? Chi verifica che il backup esista davvero, e che si riesca a ripristinarlo? Chi si accorge se stanotte qualcuno è entrato? Se la risposta è “nessuno, non ci avevo pensato”, hai appena capito il punto: un sito non è un oggetto che si costruisce una volta, è un sistema che va guardato tutti i giorni. E il fai da te, per definizione, smette di guardarlo il giorno dopo la pubblicazione.
Cosa succede quando entrano
Gli attacchi ai siti piccoli non sono mirati: sono automatizzati. Bot che scandagliano la rete giorno e notte, provano le vulnerabilità note, entrano dove trovano la porta aperta. E quando entrano, il danno non è “il sito è brutto”. Il danno è concreto:
- I dati dei tuoi clienti. Moduli contatti, richieste di preventivo, ordini: se il sito è bucato, quei dati sono leggibili da altri. Con il GDPR, la responsabilità è tua, e le sanzioni del Garante sono reali.
- La reputazione. Google mette in blacklist i siti compromessi: i tuoi clienti vedranno un avviso rosso al posto della tua azienda. E un sito bucato viene usato per ospitare pagine di phishing: la truffa parte dal tuo dominio, con il tuo nome.
- Il salto al resto dell’azienda. Questa è la parte che in pochi considerano. Il sito spesso condivide hosting, password o accessi con la posta aziendale, il gestionale, il CRM. Una breccia nel sito diventa la porta d’ingresso all’intero sistema. Non hai messo a rischio “un sito”. Hai messo a rischio l’azienda.
Il conto, alla fine
E qui arriva il paradosso che chiude il cerchio: risparmiare il professionista è la scelta più costosa. Una bonifica professionale dopo un attacco, il rifacimento del sito, i giorni di fermo, i clienti persi, il danno di immagine: il conto supera di molte volte la parcella che si voleva evitare. Con un’aggravante: dopo l’attacco, il sito va comunque rifatto da un professionista. Solo che stavolta in emergenza, con i dati compromessi e la reputazione da ricostruire.
Cosa fa un professionista (e l’IA da sola non fa)
Attenzione: i professionisti usano l’intelligenza artificiale anche loro. La differenza è che la usano come uno strumento, non come un sostituto: il codice generato viene letto, testato, corretto, e qualcuno ci mette la responsabilità. Ecco la checklist minima che un sito professionale deve avere, e che il fai da te quasi mai ha:
- Revisione del codice e rimozione delle vulnerabilità prima della pubblicazione;
- Aggiornamenti gestiti e testati di core, temi e plugin, con rimozione di ciò che non serve;
- Backup automatici, conservati fuori dal server e verificati con prove di ripristino;
- Monitoraggio continuo e firewall applicativo, perché qualcuno deve accorgersi dell’intrusione in ore, non in mesi;
- Conformità GDPR vera: consensi, cookie, informative, trasferimenti di dati;
- Performance misurate: un sito lento perde clienti prima ancora che lo leggano.
Se hai già un sito fatto con l’IA, non è detto che sia da buttare: ma va verificato. Un audit di sicurezza dice in poche ore se sotto la superficie c’è qualcosa che non va, e quanto costa sistemarlo prima che lo scopra qualcun altro. È il controllo che il fai da te non fa mai, perché chi non è esperto non sa nemmeno cosa guardare.
Un sito non è un costo da tagliare: è la porta d’ingresso della tua azienda. E le porte, si sa, o sono blindate o sono aperte. Non esiste la terza opzione. Se vuoi un sito costruito con metodo, sicuro e pensato per portare clienti, dai un’occhiata a come lavoriamo: siti web professionali MDB Milano.
Domande frequenti
Ma i professionisti non usano l’IA anche loro?
Sì, e sarebbe sciocco non farlo. La differenza è il processo intorno: revisione del codice, test di sicurezza, aggiornamenti, monitoraggio, responsabilità. L’IA scrive, il professionista verifica. Nel fai da te, nessuno verifica.
Il mio sito è piccolo: chi vuoi che mi attacchi?
Nessuno in particolare, e tutti in automatico. Gli attacchi ai siti WordPress sono condotti da bot che provano migliaia di siti all’ora: non scelgono la vittima, trovano la porta aperta. Essere piccoli non protegge, rende solo più improbabile accorgersene.
Posso far controllare un sito che ho già fatto con l’IA?
Sì: un audit di sicurezza verifica codice, plugin, configurazioni e backup, e indica cosa sistemare e in che ordine. È il passo che trasforma un rischio invisibile in un problema risolvibile, prima che diventi un incidente.
Fonti
- Veracode GenAI Code Security Report 2026 (via sintesi Paperclipped): 56% di pass rate di sicurezza, 74 CVE ricondotte a commit IA (Georgia Tech)
- Patchstack, State of WordPress Security 2026: 11.334 vulnerabilità nel 2025 (+42%), 91% nei plugin, 46% senza patch alla divulgazione, 5 ore al primo attacco
- Wordfence, Quarterly WordPress Threat Intelligence Report Q2 2026: 182 vulnerabilità ad alta minaccia in un trimestre
Andrea Colombo
