Come creare un sito con WordPress: guida passo per passo

Per creare un sito con WordPress scegli un hosting con PHP e database aggiornati, installi WordPress scaricato da wordpress.org, attivi HTTPS, imposti permalink e opzioni di base, installi un tema leggero e pochi plugin, crei pagine e menu, configuri SEO, sicurezza e backup. Con un hosting adatto l’installazione richiede pochi minuti; il lavoro vero sta nella configurazione e nei contenuti.

Questo capitolo segue la guida per creare un sito web: lì trovi come decidere obiettivo, dominio e piattaforma. Qui si parte dal presupposto che WordPress sia la scelta giusta e si va passo per passo.

Prima di installare: WordPress fa per te?#

WordPress è un software libero che installi sul tuo hosting. Secondo W3Techs (12 ottobre 2026) lo usa il 40,1% di tutti i siti e il 58,6% di quelli con un CMS noto: significa temi, plugin, tutorial e professionisti ovunque. Il rovescio è che il sito è una tua responsabilità: aggiornamenti, backup e sicurezza non li fa nessuno al posto tuo, a meno di affidarli a qualcuno.

Se ti serve un sito vetrina di tre pagine e non vuoi toccare nulla per anni, un builder può bastare. Se vuoi un blog, una vetrina che cresce, un piccolo negozio o una SEO curata, WordPress è una scelta solida. Per un confronto completo con builder e sviluppo su misura leggi Come creare un sito web.

1. Scegli un hosting adatto#

I requisiti ufficiali di wordpress.org indicano PHP 8.3 o successivo, MariaDB 10.11 o successivo oppure MySQL 8.0 o successivo, e raccomandano il supporto HTTPS. Come server web consigliano Apache o Nginx; funziona qualsiasi server che supporti PHP e MySQL. Quando confronti i piani chiedi o verifica:

• versioni di PHP e database aggiornate, con possibilità di scegliere la versione di PHP dal pannello;
• certificato HTTPS gratuito e rinnovo automatico;
• backup giornalieri e possibilità di ripristino;
• accesso SSH o SFTP, non solo FTP in chiaro;
• risorse adeguate al traffico che prevedi, e assistenza raggiungibile;
• un ambiente di prova (staging), utile quando il sito diventa importante.

Un hosting economico va bene per iniziare, ma un sito lento o spesso irraggiungibile costa più in visite perse di quanto risparmi. Per i siti dei clienti noi usiamo server Linux con nginx; per un sito personale vale il criterio più semplice: aggiornato, con backup, con assistenza.

2. Installa WordPress da wordpress.org#

Scarica il software soltanto da wordpress.org: la guida ufficiale all’hardening raccomanda proprio di non prendere WordPress da altre fonti, che possono contenere codice malevolo. Molti hosting offrono l’installazione automatica con un clic: va bene se installa la versione ufficiale e aggiornata. In alternativa, l’installazione manuale è semplice:

1. crea un database e un utente dedicato dal pannello dell’hosting;
2. carica i file di WordPress nella cartella del sito via SFTP;
3. apri il dominio nel browser e segui la procedura guidata, indicando i dati del database;
4. scegli il titolo del sito, un nome utente amministratore che non sia “admin”, una password lunga e unica e un’email che controlli davvero.

Durante lo sviluppo, nelle impostazioni “Lettura” puoi spuntare “Scoraggia i motori di ricerca dall’indicizzare questo sito”. Ricordati di toglierla al lancio: dimenticarla tiene il sito fuori da Google.

3. Attiva HTTPS#

Con il certificato attivo, in Impostazioni › Generali controlla che “Indirizzo WordPress” e “Indirizzo del sito” comincino con https://. Poi:

• fai reindirizzare automaticamente http verso https, e la versione senza www verso quella con www (o viceversa), scegliendo una sola forma;
• controlla che non restino immagini o script caricati in http (contenuto misto);
• forza HTTPS anche per l’area di amministrazione: lo raccomanda la stessa guida all’hardening.

4. Impostazioni di base e permalink#

Prima di creare contenuti, tre minuti nelle impostazioni evitano problemi dopo:

• Generali: titolo e slogan reali, lingua italiana, fuso orario di una città italiana, formato data.
• Permalink (Impostazioni › Permalink): scegli una struttura leggibile come “Titolo articolo”, evitando gli indirizzi con numeri e punti di domanda. Meglio farlo ora: cambiarli dopo la pubblicazione richiede redirect.
• Discussione: se non usi i commenti, disattivali; se li usi, attiva la moderazione per contenere lo spam.
• Utenti: nome pubblico diverso dal nome utente di accesso.
• Contenuti di esempio: elimina l’articolo e la pagina di prova, e i temi e plugin che non usi.

5. Scegli un tema leggero#

Il tema decide aspetto, velocità e flessibilità. I temi “multiuso” con centinaia di opzioni e decine di script spesso rallentano il sito più di quanto aiutino. Cerca invece:

• un tema leggero, aggiornato di recente e compatibile con l’ultima versione di WordPress;
• scaricato dal repository ufficiale dei temi o da un autore noto, mai da siti che offrono versioni “gratuite” di temi a pagamento (la guida all’hardening raccomanda di usare solo il repository ufficiale o aziende note);
• un tema a blocchi o compatibile con l’editor di WordPress, che si adatta bene al telefono;
• un tema figlio (child theme) se prevedi modifiche al codice, così gli aggiornamenti non le cancellano.

Prova il tema sul tuo contenuto reale e misura la velocità con PageSpeed Insights prima di legarti a una scelta: i valori di riferimento sono nei Core Web Vitals (LCP entro 2,5 secondi, INP entro 200 millisecondi, CLS entro 0,1).

6. Pochi plugin, scelti bene#

Ogni plugin è codice in più da aggiornare e da proteggere, e può rallentare il sito. La regola è: meno plugin, meglio. Una dotazione ragionevole per un sito vetrina o un blog:

• SEO: un plugin che gestisca title, meta description, canonical e sitemap XML. Ne basta uno solo; due insieme creano duplicati.
• Cache e prestazioni: solo se l’hosting non include già una cache.
• Immagini: compressione e formati moderni, se il tema e l’hosting non lo fanno.
• Moduli di contatto: un plugin affidabile con protezione antispam.
• Sicurezza e backup: un plugin di backup che salvi anche fuori dal server; un firewall applicativo o un limitatore dei tentativi di accesso, se l’hosting non li ha.
• Cookie e privacy: uno strumento che blocchi davvero gli script prima del consenso (vedi la guida generale, sezione cookie).

Prima di installare un plugin controlla nel repository: data dell’ultimo aggiornamento, compatibilità con la tua versione di WordPress, numero di installazioni attive e recensioni recenti. Un plugin non aggiornato da molto tempo è un rischio. Disattiva e cancella quelli che non usi: un plugin disattivato ma presente può restare vulnerabile.

7. Pagine, menu e struttura#

Usa le pagine per i contenuti stabili (home, servizi, chi siamo, contatti, privacy) e gli articoli per quelli cronologici (blog, novità). Crea una pagina per ogni servizio principale, ognuna con un tema solo, e organizzale in modo gerarchico se ha senso. Il menu principale deve avere poche voci; le pagine legali vanno nel footer.

Imposta una pagina statica come home page in Impostazioni › Lettura. Per ogni pagina scrivi un H1 unico, sezioni con H2, link interni verso le pagine correlate e testo alternativo alle immagini. Come scrivere i testi e come ragionare sulla struttura è nella guida generale.

8. SEO di base su WordPress#

• Con il plugin SEO scegli un modello di title e meta description e poi personalizzali per le pagine importanti.
• Controlla che la sitemap XML sia attiva e abbia solo le pagine che vuoi indicizzare (di solito pagine e articoli, non tag e archivi vuoti). Come funziona: sitemap, a cosa servono.
• Registra il sito su Google Search Console, verifica la proprietà e invia la sitemap. La guida introduttiva di Google ricorda che la sitemap è facoltativa ma utile.
• Verifica che categorie, tag e archivi per autore o data non creino pagine quasi vuote o duplicate: se servono poco, mettili in noindex dal plugin SEO.
• Imposta il canonical su ogni pagina (lo fa il plugin) e fai attenzione agli indirizzi duplicati: vedi il tag canonical.
• Aggiungi favicon e immagine per la condivisione social.

9. Sicurezza: la lista dalla guida ufficiale#

La guida ufficiale all’hardening di WordPress riassume le misure di base. Le principali da applicare:

• aggiornare sempre WordPress all’ultima versione (dalla 3.7 esistono gli aggiornamenti automatici, in particolare per le correzioni di sicurezza);
• installare plugin e temi solo dal repository ufficiale o da aziende note, e tenerli aggiornati;
• usare l’autenticazione a due fattori per gli account di amministrazione e password uniche;
• non usare il nome utente “admin”;
• impostare permessi di directory a 755, dei file a 644 e del file wp-config.php a 400 o 440;
• disattivare l’editor di file dalla bacheca con la costante DISALLOW_FILE_EDIT in wp-config.php;
• usare HTTPS per l’area di amministrazione;
• fare backup regolari.

A queste aggiungi gli utenti con il ruolo minimo necessario (un collaboratore che scrive articoli non è amministratore) e la rimozione di account e plugin che non servono più. Se il sito viene violato, sai cosa fare: sito hackerato, cosa fare.

10. Backup che puoi ripristinare#

La documentazione ufficiale sui backup distingue due parti: il database (articoli, pagine, commenti) e i file (core, plugin, temi, upload e file come wp-config.php). Servono entrambi per ripristinare il sito, e vanno conservati insieme come un unico set. Indica di tenere almeno tre backup recenti, in posti diversi (server dell’hosting, cloud, computer locale), con frequenza settimanale per un sito piccolo e giornaliera per uno molto attivo, e sempre prima di un aggiornamento importante o di uno spostamento. Ogni tanto fai un backup manuale per verificare che quelli automatici funzionino. In pratica, prova a ripristinarne uno su un ambiente di prova una volta: è l’unico modo per sapere se funziona.

11. Aggiornamenti: una routine, non un evento#

Aggiornare ogni tanto non basta. Una routine semplice:

1. backup (o verifica che quello automatico sia recente);
2. aggiornamento di core, temi e plugin, uno alla volta, con attenzione ai plugin che toccano il sito;
3. controllo rapido del sito: home, modulo di contatto, pagina di un servizio;
4. se qualcosa va storto, ripristino del backup e verifica del plugin responsabile.

Durante gli aggiornamenti WordPress mette il sito in manutenzione per pochi istanti: come funziona e cosa fare se resta bloccato lo spieghiamo in Mettere WordPress in modalità manutenzione. Se non hai tempo o competenze per questa routine, esiste la manutenzione dei siti WordPress, che affida aggiornamenti, backup e controlli a chi lo fa di mestiere.

Privacy e cookie su WordPress#

WordPress include in Impostazioni › Privacy uno strumento per creare e assegnare la pagina dell’informativa, con un testo di partenza da adattare: è un punto di inizio, non un documento pronto. Verifica quali plugin e servizi esterni (statistiche, mappe, caratteri, video incorporati) trasmettono dati ai visitatori, descrivili nell’informativa e blocca gli script non tecnici finché l’utente non dà il consenso. Per i cookie non tecnici serve un consenso vero: una casella preselezionata non basta.

Prima di pubblicare#

1. Tolta l’opzione che scoraggia i motori di ricerca.
2. Modulo di contatto provato, con messaggio arrivato davvero.
3. Pagine controllate da telefono, link interni verificati.
4. Title e meta description presenti, sitemap inviata a Search Console.
5. Backup automatico attivo e un ripristino provato almeno una volta.

Quando conviene un professionista#

WordPress si impara, ma alcune situazioni chiedono competenze specifiche: un tema su misura, un negozio con molti prodotti, integrazioni con gestionali, siti multilingua, velocità spinta, migrazioni senza perdere posizionamento, siti già violati. Noi realizziamo siti WordPress pensati per la SEO e la sicurezza fin dall’inizio, con codice, dominio e accessi che restano tuoi; per i costi leggi quanto costa un sito web.

Hai già un sito WordPress lento, vecchio o che non porta contatti? Richiedi l’audit SEO gratuito o scrivici: guardiamo cosa va sistemato per primo.