WordPress è morto? I dati 2026 e le 9 alternative vere

In sintesi: sì, per chi deve aprire o rifare un sito aziendale nel 2026 WordPress è una scelta morta. Morto qui significa che ha smesso di essere l'opzione che vince senza discussione, non che sparisce dal web: gira ancora sul 40,8% dei siti (W3Techs, 17 agosto 2026). Nel 2025 il suo ecosistema ha prodotto 11.334 nuove vulnerabilità, il 91% dentro i plugin (Patchstack, febbraio 2026), solo il 49% dei suoi siti supera i Core Web Vitals contro il 79% di Shopify (HTTP Archive, gennaio-aprile 2026), e sul canale che oggi cresce di più, le risposte generative, parte indietro proprio sulle cose che decidono la citazione. Sotto trovi le nove alternative reali, una per una.

• Quello che lo teneva in piedi è diventato il problema: i plugin. Nel 2025 il core ha avuto 6 vulnerabilità, le altre 11.328 sono arrivate da plugin e temi (Patchstack, 2026).
• Morto rispetto al GEO, ed è la parte che costa di più: i motori generativi citano pagine veloci e leggibili senza eseguire JavaScript (Vercel e MERJ, oltre 500 milioni di richieste), e la catena tema più page builder più venti plugin lavora contro entrambe le cose.
• Restare indietro lì toglie fatturato, non visite: il traffico portato dalle AI è cresciuto del 393% anno su anno e a marzo 2026 ha convertito il 42% meglio degli altri canali (Adobe Analytics, Q1 2026).
• Le due che consigliamo: DeepCMS con DM Intelligence per i siti aziendali, Shopify per chi vende online. DeepCMS lo abbiamo costruito noi, quindi leggi il consiglio sapendolo.

WordPress è davvero morto nel 2026?

Sì, per la decisione che devi prendere adesso: per un sito aziendale nuovo o da rifare non è più l'opzione che vince per inerzia. La diffusione resta enorme e va detta, perché è la prima obiezione che arriva. WordPress gira sul 40,8% di tutti i siti web e sul 59,0% di quelli con un CMS riconoscibile (W3Techs, rilevazione del 17 agosto 2026), e quella quota scende lentamente da anni.

La curva perde poco meno di due punti l'anno sul mercato CMS, mentre crescono le piattaforme chiuse e i siti costruiti fuori da un CMS classico. Chi eredita un sito WordPress che funziona non deve buttarlo. Chi deve scegliere oggi sta prendendo una decisione diversa da quella che avrebbe preso nel 2018, e i quattro motivi che seguono si misurano.

Quanto è rischioso davvero un sito WordPress?

Nel 2025 l'ecosistema WordPress ha registrato 11.334 nuove vulnerabilità, il 42% in più del 2024, e il 46% di queste non aveva una patch disponibile il giorno in cui è stata resa pubblica (Patchstack, whitepaper di febbraio 2026). Il tempo mediano fra la divulgazione e il primo sfruttamento di massa, sulle falle più bersagliate, è di 5 ore.

La lettura corretta di questi numeri non riguarda la qualità del codice di WordPress. Il core è presidiato da un progetto serio e nel 2025 ha avuto sei problemi, tutti a bassa priorità. Il punto è architetturale. Un sito WordPress reale monta fra dieci e quaranta estensioni scritte da autori diversi, con cicli di manutenzione diversi, e ognuna gira con gli stessi permessi del sito. La superficie di attacco la scegli tu, plugin dopo plugin, e cresce nel tempo anche quando il sito resta identico.

Il costo vero non è l'attacco, che magari non arriva mai. È il presidio. Qualcuno deve leggere i bollettini, provare gli aggiornamenti in staging, verificare che l'update del plugin non rompa il tema, ripristinare il backup quando succede. Nelle piccole e medie imprese italiane quel qualcuno spesso non esiste, e il sito resta fermo alla versione del giorno in cui è stato consegnato.

Perché un sito WordPress fatica sulla velocità?

Supera tutti e tre i Core Web Vitals solo il 49% circa dei siti WordPress, contro il 79% di Shopify, l'80% di Wix e l'85% di Duda (HTTP Archive Core Web Vitals Technology Report, dati gennaio-aprile 2026). È l'ultima posizione fra le piattaforme confrontate, e la distanza dalle piattaforme chiuse è ampia.

Anche qui il colpevole non è il software da solo. Un WordPress costruito con cura da uno sviluppatore bravo supera i Core Web Vitals senza problemi. Quello che il dato misura è la mediana del mondo reale, cioè il tema comprato su un marketplace insieme al page builder e ai plugin di form, slider, cookie, chat e traduzione, ognuno con i suoi fogli di stile e i suoi script. Le piattaforme chiuse partono avvantaggiate perché quello stack non te lo lasciano assemblare.

La velocità conta due volte. Sulle persone, perché una pagina lenta perde visite prima di essere letta. Sulle macchine, perché fra le pagine citate nelle risposte generative di Google il tempo di caricamento medio è 1,8 secondi contro i 2,6 delle non citate (BrightEdge, 2025). Quel secondo confronto è una correlazione dichiarata dagli autori, non una relazione di causa, quindi la velocità va trattata come igiene di base e mai venduta come strategia.

Cosa chiede l'era delle AI a un sito aziendale?

Chiede che il contenuto stia dentro l'HTML della prima risposta del server. GPTBot di OpenAI, ClaudeBot di Anthropic e PerplexityBot scaricano i file JavaScript e non li eseguono: l'analisi di Vercel e MERJ su oltre 500 milioni di richieste non ha trovato una sola prova di esecuzione. Tutto quello che appare solo dopo che il browser ha eseguito uno script, per questi crawler non esiste.

Il test dura trenta secondi e lo puoi fare adesso sul tuo sito. Apri il terminale e lancia curl -s https://iltuosito.it/pagina/ | grep "una frase del testo". Se la frase compare, i motori generativi la vedono. Se non compare, la pagina la disegna il JavaScript e per ChatGPT quella pagina è quasi vuota. La stessa verifica si fa dal browser, disattivando JavaScript nelle impostazioni del sito.

Il tema non è teorico. Nel primo trimestre 2026 il traffico portato dalle AI ai retailer statunitensi è cresciuto del 393% anno su anno, con visite più lunghe del 48% e ricavo per visita superiore del 37%, e a marzo 2026 quel traffico ha convertito il 42% meglio degli altri canali, dopo essere partito, dodici mesi prima, a circa metà del tasso medio (Adobe Analytics, aprile 2026). Nello stesso report Adobe misura una distanza netta di leggibilità per le macchine fra i siti che vengono citati e gli altri.

Su questo terreno WordPress parte indietro per tre ragioni che si sommano. La prima è la velocità, dove è ultimo del confronto con il 49% dei siti che supera i Core Web Vitals, e fra le pagine citate nelle risposte generative il tempo di caricamento medio è più basso. La seconda è il markup: temi e page builder producono livelli di contenitori dentro cui la risposta alla domanda finisce dopo tre schermate, mentre i motori pescano soprattutto dalla parte alta della pagina. La terza sono i dati strutturati, che su WordPress arrivano da un plugin SEO: quando la combinazione di cache e ottimizzazione li fa iniettare lato client, i crawler che non eseguono JavaScript non li vedono, e il controllo con curl te lo dice in un secondo. Nessuna delle tre è colpa del software di base, tutte e tre nascono dallo stack che ci si costruisce sopra.

Una precisazione contro la moda del momento. Il file llms.txt costa cinque minuti e non fa danno, però non è la leva: su 137.000 domini analizzati da Ahrefs il 97% dei file llms.txt pubblicati non ha ricevuto nessuna richiesta nel maggio 2026, e Google dichiara che Search lo ignora. Le cose che spostano davvero sono l'HTML servito dal server, i dati strutturati veri e una risposta chiara nelle prime righe sotto ogni titolo, come spieghiamo nella guida per apparire su ChatGPT, Perplexity e Gemini e nella guida allo schema markup per l'AI search.

Chi comanda sulla piattaforma su cui hai messo il sito?

Dal settembre 2024 WordPress vive un conflitto legale fra Automattic, l'azienda di Matt Mullenweg, e l'hosting WP Engine, che nel dicembre 2025 ha ottenuto un provvedimento cautelare per farsi ripristinare l'accesso alle risorse del progetto e che a febbraio 2026 ha depositato un atto in cui sostiene che il piano di royalty riguardasse una decina di operatori. Il processo con giuria è atteso nel 2027.

La ricaduta pratica sta nel calendario dei rilasci. Nell'aprile 2025 il progetto ha annunciato di scendere a un solo rilascio maggiore l'anno citando questioni legali in corso e la sospensione dei contributi di Automattic, poi a dicembre 2025 ha corretto la rotta e programmato tre rilasci per il 2026, con la versione 7.0 prevista ad aprile. Un'infrastruttura che ospita il 40% del web ha cambiato due volte in otto mesi il ritmo con cui distribuisce sicurezza e funzioni, e la causa che ha innescato tutto questo non è ancora chiusa.

Ai clienti applichiamo una regola semplice sui canali che non controllano, e vale anche per la tecnologia sotto il sito. Nessuna dipendenza da un ecosistema il cui governo può cambiare senza preavviso dovrebbe restare l'unica opzione che hai. Non è un motivo per scappare oggi da WordPress. È un motivo per smettere di trattarlo come una scelta neutra, che non richiede una valutazione.

Con quali criteri abbiamo valutato le alternative?

Quattro criteri, gli stessi che usiamo quando un cliente ci chiede su cosa rifare il sito. Chi mantiene la piattaforma nel tempo, e quanto lavoro resta a te. Se le pagine escono dal server già leggibili da un motore generativo. Quanto costa cambiare una cosa dopo il lancio, in soldi e in giorni. Cosa succede ai tuoi contenuti il giorno in cui vuoi andartene.

La tabella riassume le nove piattaforme che seguono, e ogni voce ha poi la sua scheda. Le percentuali sui Core Web Vitals vengono dallo stesso rilevamento HTTP Archive citato sopra, gennaio-aprile 2026.

Le 9 alternative a WordPress nel 2026, una per una

1. DeepCMS con DM Intelligence, il sito come servizio

Ha senso per un'azienda che vuole un sito veloce e citabile senza doversene occupare, e che preferisce un referente a un pannello di amministrazione. DeepCMS lo abbiamo costruito noi, quindi questa voce ha un conflitto di interessi evidente e vale la regola di sempre, cioè guardare i fatti verificabili e diffidare del resto.

Toglie le voci che hanno riempito le sezioni precedenti. Le pagine escono dalla rete edge di Cloudflare come HTML già pronto, quindi quello che leggi tu e quello che legge ChatGPT sono la stessa cosa. Non ci sono plugin di terze parti da aggiornare, perché le funzioni stanno dentro il pacchetto che manteniamo noi. I contenuti stanno in un database che resta tuo e si esportano quando vuoi. Il cliente aggiorna testi e immagini da un editor visuale, oppure parlando con la propria AI, perché ogni sito espone un server MCP: puoi chiedere a Claude o a un altro assistente di correggere un testo o pubblicare un articolo, senza aprire un ticket. Accanto al sito gira DM Intelligence, che misura visite, posizionamento su Google, conversioni e citazioni nelle risposte AI in un posto solo, invece di sei abbonamenti separati.

Quello che la distingue dalle altre otto voci riguarda il contratto prima della tecnologia. Il sito resta un servizio, con l'agenzia al tuo fianco per ogni intervento, compreso quello che altrove diventa un preventivo. La piattaforma manda oggi in produzione quattordici siti, incluso quello che stai leggendo. Sul prezzo, in questa fase un sito DeepCMS ci costa circa la metà di un equivalente WordPress e lo vendiamo di conseguenza, ed è una politica commerciale nostra, non una legge di mercato, perché un confronto indipendente fra i costi delle due tecnologie non esiste. Il caso pubblico da guardare è il Garden Sporting Center, 38.000 metri quadri di impianti attivi dal 1984, migrato con il posizionamento intatto durante un passaggio generazionale.

Il limite: DeepCMS non si compra come licenza self-serve. Se cerchi un software da installare e gestire da solo, le voci che seguono funzionano meglio. Il perimetro del servizio sta nella pagina siti web ed e-commerce, la tecnologia nella pagina DeepCMS.

2. Shopify, per chi vende online

Ha senso per chiunque venda prodotti, dal primo ordine in su, e resta la scelta giusta nella quasi totalità dei casi. Shopify è certificata PCI DSS di livello 1 come service provider e la conformità del checkout la eredita ogni negozio senza fare nulla, il 79% dei suoi siti supera i Core Web Vitals, e il carico dei picchi lo regge lei. Nel Black Friday 2025 ha gestito 14,6 miliardi di dollari di vendite, il 27% in più dell'anno prima, con un picco di 5,1 milioni di dollari al minuto.

Il secondo motivo riguarda il futuro prossimo degli acquisti. Quando OpenAI ha aperto gli acquisti dentro ChatGPT, a settembre 2025, i primi due cataloghi collegati sono stati Etsy e Shopify, con il protocollo Agentic Commerce sviluppato insieme a Stripe, e a marzo 2026 l'approccio è cambiato verso app dedicate dentro ChatGPT che riportano l'utente sul sito del venditore. La direzione resta la stessa. Le integrazioni commerciali con gli assistenti nascono prima sulle piattaforme grandi, e un negozio costruito a mano le rincorre.

C'è poi un obbligo che in Italia molti negozi online hanno scoperto tardi. Dal 28 giugno 2025 l'European Accessibility Act, recepito con il decreto legislativo 82/2022, impone requisiti di accessibilità ai siti di commercio elettronico, con esenzione per le microimprese sotto i dieci dipendenti e i due milioni di fatturato. Lo standard di riferimento è la EN 301 549 con le WCAG di livello AA, e le sanzioni amministrative previste arrivano a decine di migliaia di euro. Su una piattaforma gestita l'adeguamento è un lavoro di tema e contenuti, su uno stack fatto di venti plugin diventa un cantiere.

Il limite: paghi un canone mensile più una commissione sulle transazioni, molte funzioni arrivano da app a pagamento che si sommano nel tempo, e le personalizzazioni profonde vivono dentro il suo linguaggio di template. WooCommerce resta sensato in un caso solo, cioè se sei già su WordPress, hai uno sviluppatore che lo mantiene e il catalogo è piccolo, accettando che la sicurezza del negozio dipenda dagli stessi plugin di terze parti del resto del sito.

3. Webflow, per il team marketing che vuole le mani sul sito

Ha senso quando in azienda c'è chi si occupa di marketing e vuole cambiare layout e pagine senza passare da uno sviluppatore. Produce HTML servito dai suoi server, ha un CMS interno per blog e schede, e la libertà visuale è molto superiore a quella di un costruttore di siti classico.

Il limite: il conto sale con i contenuti e con le lingue, perché la localizzazione e il numero di elementi del CMS stanno nei piani superiori. Le funzioni fuori standard richiedono comunque codice, e a quel punto servono le stesse competenze che volevi evitare.

4. Framer, per landing e siti vetrina da pubblicare in fretta

Ha senso per un sito di poche pagine, per il lancio di un prodotto o per una campagna che deve andare online in pochi giorni con una resa grafica curata. Chi disegna pubblica da solo, senza passaggio tecnico.

Il limite: quando il progetto cresce mostra la corda su cataloghi grandi, strutture multilingua articolate e integrazioni con gestionali. Va scelto sapendo che è l'attrezzo per la velocità di messa online, non per la complessità.

5. CMS headless con frontend su misura, per chi ha uno sviluppatore stabile

Ha senso quando in azienda c'è una persona tecnica che resta, e i requisiti non stanno dentro una piattaforma chiusa. Headless vuol dire che il CMS gestisce solo i contenuti e li espone via API, mentre il sito pubblico lo costruisci a parte, di solito con Astro o Next.js. Le pagine escono statiche o renderizzate dal server, quindi arrivano ai crawler già leggibili, e sui Core Web Vitals Astro sta al 67%. Le sei opzioni che contano si dividono in due famiglie, quelle che installi tu e quelle che compri come servizio.

Il 2026 ha spostato gli equilibri di questa categoria più di quanto sembri da fuori. Un'azienda di design ha comprato Payload, una di CRM ha comprato Contentful, e Directus ha lasciato la licenza precedente per una che chiede un contratto sopra una certa dimensione. Nessuna di queste mosse rompe un sito il giorno dopo, tutte e tre cambiano chi decide il prezzo e la direzione del pezzo su cui hai costruito il tuo. È la stessa domanda della sezione sul governo di WordPress, applicata a fornitori più piccoli.

C'è poi un equivoco da togliere di mezzo, perché è il motivo per cui molti scelgono headless. Passare a un CMS headless non elimina la manutenzione, la sposta. Le cinque vulnerabilità Strapi divulgate a maggio 2026 lo mostrano bene: la più grave permetteva a un attaccante senza credenziali di estrarre il token di reset dell'amministratore e prendersi il pannello, e la correzione è arrivata subito, però resta da installare a chi ospita il software. Se il sito lo tieni tu, la responsabilità di applicarla è tua, esattamente come con un plugin WordPress.

Il limite: paghi due fornitori invece di uno e mantieni un progetto software, con le sue dipendenze da aggiornare e le sue build da far girare. Il giorno in cui lo sviluppatore cambia lavoro, il sito diventa un problema di chi resta.

6. Ghost, per chi pubblica e vende abbonamenti

Ha senso per una testata, una newsletter a pagamento o un progetto editoriale che vive di contenuti e iscritti. Nasce per scrivere, gestisce membership e invii senza plugin aggiuntivi, e la resa in pagina è leggera.

Il limite: fuori dall'editoriale mostra i suoi confini. Un sito aziendale con molte pagine di servizio, listini e moduli complessi ci sta stretto, e la versione autogestita richiede comunque manutenzione del server.

7. Squarespace e Wix, per il sito piccolo che deve solo esistere

Hanno senso per una micro impresa con poche pagine e nessun budget di gestione. Il costo è basso e prevedibile, la parte tecnica è coperta, e sulla velocità Wix è passata davanti a WordPress con l'80% dei siti che supera i Core Web Vitals.

Il limite: personalizzazione e portabilità limitate. I contenuti escono male da queste piattaforme, quindi la migrazione futura costa più di quanto costerebbe altrove, e le esigenze fuori standard restano scoperte.

8. Duda, per chi gestisce molti siti simili

Ha senso per agenzie, franchising e catene che devono mandare online decine di siti con la stessa impostazione. È la piattaforma più veloce del confronto, con l'85% dei siti che supera i Core Web Vitals, e la gestione multi sito è pensata per quel caso d'uso.

Il limite: meno flessibile sui contenuti articolati e poco diffusa in Italia, quindi trovare chi la conosce è più difficile che con le altre voci di questa lista.

9. WordPress headless, per chi ha già migliaia di contenuti

Ha senso quando l'archivio su WordPress è enorme, la redazione non vuole cambiare strumento e c'è un team tecnico che può costruire e mantenere il lato pubblico separato. Si tiene l'amministrazione di WordPress come deposito dei contenuti e si serve il sito con un frontend proprio.

Il limite: mantieni due sistemi invece di uno e la superficie dei plugin resta, perché l'amministrazione WordPress continua a esistere e va aggiornata. Se il frontend è costruito lato client, ti ritrovi anche il problema di leggibilità per le AI descritto sopra. Chi arriva a questa voce di solito sta cercando la numero 5, cioè un CMS headless nato per quel mestiere, con il vantaggio di non trascinarsi dietro il pannello vecchio.

Quando WordPress resta la scelta giusta

Resta la scelta giusta in quattro casi. Primo, hai già un sito WordPress che funziona, veloce, con qualcuno che lo aggiorna ogni mese, e rifarlo per principio significa spendere per un vantaggio che non hai misurato. Secondo, il tuo lavoro dipende da un plugin verticale senza equivalenti altrove, per esempio un sistema di prenotazioni collegato al tuo gestionale. Terzo, hai una redazione numerosa già formata sull'editor e il costo del cambio supera il beneficio. Quarto, hai uno sviluppatore interno che lo mantiene come parte del suo lavoro.

Fuori da questi casi la domanda da farsi non è se WordPress sia buono o cattivo, ma chi si occuperà di questo sito fra sei mesi, e con quale budget.

Come si cambia sito senza perdere il posizionamento?

Si perde posizionamento quando si migrano le pagine e si dimenticano gli indirizzi. La sequenza che seguiamo è sempre la stessa, e il grosso del lavoro sta nei primi due punti.

1. Inventario degli indirizzi vecchi da sitemap, Search Console e log del server, incluse le pagine che nessuno ricorda di avere pubblicato.
2. Mappa dei redirect 301 uno a uno verso la destinazione finale, evitando i doppi salti, con le rotte di tag e categoria trattate una per una.
3. Bonifica dei link interni dentro i testi, perché i link assoluti al vecchio dominio sopravvivono dentro il corpo degli articoli e diventano errori il giorno del passaggio.
4. Verifica di dati strutturati, hreflang e sitemap sul sito nuovo prima del cambio di DNS, con un controllo pagina per pagina che risponda 200.
5. Confronto delle posizioni a 7, 30 e 90 giorni sulle query che portavano traffico, non sul totale delle visite, che si muove per mille altri motivi.

Un ordine di grandezza da una migrazione che abbiamo chiuso ad agosto 2026, portando un sito editoriale da WordPress a DeepCMS: 281 articoli, 926 immagini, circa 1.690 redirect da mappare e 542 link assoluti sopravvissuti dentro il corpo dei testi, distribuiti su 228 articoli. Nessuno di quei 542 link si vede dall'amministrazione del sito, e ognuno sarebbe diventato una pagina di errore il giorno del passaggio. È il lavoro che separa una migrazione riuscita da tre mesi di traffico perso.

Domande frequenti

WordPress è sicuro nel 2026?

Il core di WordPress è sicuro e nel 2025 ha avuto sei vulnerabilità, tutte a bassa priorità. Il rischio arriva dai plugin e dai temi, che nel 2025 hanno prodotto il 91% delle 11.334 vulnerabilità dell'ecosistema, con il 46% dei casi privi di patch il giorno della divulgazione (Patchstack, febbraio 2026). Un sito WordPress è sicuro quanto la persona che lo aggiorna ogni settimana.

Qual è la migliore alternativa a WordPress?

Dipende da chi curerà il sito dopo il lancio. Per un'azienda che non ha nessuno dedicato, una piattaforma gestita con l'agenzia inclusa, come DeepCMS con DM Intelligence. Per chi vende online, Shopify. Per un team marketing autonomo, Webflow. Per chi ha uno sviluppatore stabile, Astro con un CMS headless.

Un CMS headless come Strapi è più sicuro di WordPress?

Ha una superficie più piccola, perché non monta decine di plugin di terze parti, e questo aiuta. Non è però una piattaforma che si aggiorna da sola: a maggio 2026 Strapi ha divulgato cinque vulnerabilità, fra cui una da 9,2 su 10 che permetteva la presa di controllo dell'amministrazione senza autenticazione, corretta nella versione 5.37.0. Se ospiti tu il software, la patch la applichi tu. Con i servizi in cloud come Sanity, Storyblok o Contentful quel lavoro è del fornitore.

Quanto costa mantenere un sito WordPress?

Il costo visibile è hosting più licenze dei plugin a pagamento. Quello invisibile è il tempo di presidio: aggiornamenti provati prima di andare in produzione, backup verificati, ripristini quando un update rompe qualcosa, più il preventivo di ogni modifica non prevista. Nelle aziende che seguiamo la voce che pesa non è il canone, sono i mesi in cui il sito resta fermo perché nessuno se ne occupa.

Meglio Shopify o WooCommerce per vendere online?

Shopify nella grande maggioranza dei casi, perché conformità del checkout, prestazioni e integrazioni con gli assistenti AI arrivano incluse. WooCommerce ha senso se sei già su WordPress, hai uno sviluppatore che lo mantiene e vendi pochi prodotti, accettando che la sicurezza del negozio dipenda dagli stessi plugin di terze parti del resto del sito.

Devo rifare il sito se sono su WordPress?

Non per principio. Conviene rifarlo se ricorre almeno una di queste condizioni: il sito non supera i Core Web Vitals, il contenuto non compare nell'HTML senza JavaScript, nessuno lo aggiorna da mesi, oppure ogni modifica richiede un preventivo e quindi non la chiedi più. Se non ricorre nessuna, tieni il sito e investi il budget sui contenuti.

Un sito nuovo perde le posizioni su Google?

Le perde se la migrazione è fatta male, cioè se gli indirizzi vecchi non vengono reindirizzati uno a uno alla nuova destinazione. Fatta bene, la posizione si mantiene e spesso migliora, perché velocità e struttura del contenuto migliorano insieme. Il controllo si fa sulle query che portavano traffico, a 7, 30 e 90 giorni dal passaggio.

Vuoi capire se il tuo sito regge il 2026?

Il controllo iniziale dura venti minuti e si fa sui tuoi numeri: Core Web Vitals reali, contenuto visibile senza JavaScript, redirect in piedi, dati strutturati. Se vuoi farlo con un senior, la call si prenota dalla pagina del nostro metodo, e ne esci con l'elenco di cosa sistemare sul sito che hai, anche quando la risposta è che non serve rifarlo.

Fonti e Riferimenti

• Patchstack, State of WordPress Security in 2026 (25 febbraio 2026): 11.334 nuove vulnerabilità nel 2025, 91% da plugin, 46% senza patch alla divulgazione, tempo mediano di sfruttamento 5 ore.
• W3Techs, Usage statistics of content management systems (rilevazione del 17 agosto 2026): WordPress 40,8% dei siti e 59,0% del mercato CMS, Shopify 5,3%.
• Search Engine Journal, Core Web Vitals: WordPress And Astro Versus Everyone Else (27 maggio 2026), su dati HTTP Archive Core Web Vitals Technology Report, gennaio-aprile 2026.
• Vercel e MERJ, The rise of the AI crawler (17 dicembre 2024): nessuna esecuzione di JavaScript da parte di GPTBot, ClaudeBot e PerplexityBot su oltre 500 milioni di richieste analizzate.
• Adobe Analytics, AI traffic grows but retail sites lag in AI search visibility (16 aprile 2026): traffico AI +393% anno su anno nel primo trimestre 2026, conversione +42% a marzo 2026, ricavo per visita +37%. Ripresa da TechCrunch il 16 aprile 2026.
• Ahrefs, We Analyzed 137K Sites: 97% of llms.txt Files Never Get Read (15 giugno 2026).
• Google Search Central, guida all'ottimizzazione per le esperienze AI: nessun markup speciale richiesto, un solo contenuto per persone e macchine.
• Aggarwal et al., GEO: Generative Engine Optimization, KDD 2024: citare fonti e aggiungere statistiche alzano la ripresa del contenuto del 27,5% e del 30,6%, il keyword stuffing la abbassa dell'8,3%.
• WordPress.org, A New Cadence for WordPress Core (16 aprile 2025) e Proposal: 2026 Major Release Schedule (18 dicembre 2025).
• TechCrunch, Automattic planned to target 10 competitors with royalty fees, WP Engine claims in new filing (12 febbraio 2026).
• Shopify, Merchants Achieve Record-Breaking 14,6 Billion in Black Friday-Cyber Monday Sales (2 dicembre 2025) e Shopify, PCI compliant hosting.
• Stripe, Instant Checkout in ChatGPT e Agentic Commerce Protocol (settembre 2025) e CNBC, OpenAI's first try at agentic shopping stumbled (20 marzo 2026).
• Figma, Welcoming Payload to the Figma Team (17 giugno 2025) e Salesforce, Signs Definitive Agreement to Acquire Contentful (1 giugno 2026), chiusura attesa fra luglio e settembre 2027.
• Directus, Evolving Our License for Long-Term Sustainability (22 aprile 2026): passaggio a MSCL, uso gratuito sotto i 5 milioni di ricavi e i 50 dipendenti, conversione a GPLv3 dopo 4 anni.
• Strapi, Security Disclosure (maggio 2026) e NVD, CVE-2026-27886: CVSS 9,2, versioni dalla 4.0.0 alla 5.36.x, correzione nella 5.37.0.
• European Accessibility Act, direttiva UE 2019/882, recepita in Italia con il decreto legislativo 27 maggio 2022, n. 82, applicabile dal 28 giugno 2025 ai servizi di commercio elettronico, standard EN 301 549 e WCAG di livello AA.
• BrightEdge (2025), tempo di caricamento delle pagine citate nelle AI Overview, 1,8 secondi contro 2,6 delle non citate, relazione dichiarata come correlazionale dagli autori.

Dati verificati ad agosto 2026. I benchmark su AI e visibilità generativa si muovono di trimestre in trimestre: prima di riusarli, controlla la data della fonte.