Un sito ripulito dopo un attacco riparte pulito, poi viene ripreso. Questa rilevazione guarda ciò che la pulizia non cambia mai: il numero di fornitori da cui il sito dipende.
Qui la media non dice nulla, perché mescola due popolazioni. La distribuzione si legge a colpo d’occhio.
| Estensioni rilevate | Siti | Quota |
|---|---|---|
| Nessuna visibile | 395 | 11 % |
| Da 1 a 2 | 713 | 20 % |
| Da 3 a 5 | 1195 | 34 % |
| Da 6 a 10 | 1007 | 28 % |
| 11 e più | 233 | 7 % |
Il sito mediano porta 4 estensioni. Nel decile più carico ne porta 9, e il massimo rilevato è 28. Metà del parco è sobria, una minoranza netta porta un carico di tutt’altro ordine.
Un’evoluzione si misura solo sugli stessi siti. Su 540 siti WordPress di PMI rilevati a settembre, 417 sono stati rilevati di nuovo a ottobre, qualificati allo stesso modo. Il confronto riguarda solo loro: i siti aggiunti con l’allargamento della base non vi entrano, e le due colonne sono calcolate secondo la stessa regola di lettura, descritta nel metodo.
| Sugli stessi 417 siti | Settembre 2026 | Ottobre 2026 |
|---|---|---|
| Estensioni del sito mediano | 4 | 4 |
| Estensioni per sito, in media | 4,7 | 4,7 |
| Siti con dieci estensioni o più | 14,6 % | 13,9 % |
| Siti con una estensione esterna al repository | 66,9 % | 67,9 % |
| Siti con cinque editori identificati o più | 22,5 % | 22,8 % |
368 siti portano esattamente le stesse estensioni di settembre, 26 ne portano di più e 23 ne portano di meno.
Il carico è stabile: da una rilevazione all’altra, aggiunte e rimozioni quasi si compensano. L’unico movimento a senso unico va verso la dipendenza: 4 siti hanno adottato una estensione esterna al repository pubblico, e nessuno ne è uscito. Un carico che si mantiene da solo si tratta alla fonte, nel modo in cui il sito è costruito.
La lista Tranco classifica i domini più visitati. Per dare spazio anche ai siti più modesti, la rilevazione di ottobre vi aggiunge 120.000 domini estratti a caso tra i nomi .fr attivi del registro, letti allo stesso modo. Le due parti si leggono qui fianco a fianco.
| Ottobre 2026 | Lista Tranco | Estrazione casuale | Complessivo |
|---|---|---|---|
| Siti WordPress di PMI rilevati | 551 | 2992 | 3543 |
| Quota di WordPress tra le PMI identificate | 29,3 % | 46,0 % | 42,3 % |
| Estensioni del sito mediano | 4 | 4 | 4 |
| Siti con dieci estensioni o più | 13,2 % | 8,7 % | 9,4 % |
| Siti con una estensione esterna al repository | 67,3 % | 66,3 % | 66,4 % |
I siti estratti a caso, meno frequentati, funzionano con WordPress nettamente più spesso di quelli della lista Tranco. Il loro carico ha la stessa forma: lo stesso sito mediano, un po’ meno siti molto carichi, e la stessa dipendenza da estensioni esterne al repository, due siti su tre in entrambe le parti.
Una estensione pubblicata sul repository ufficiale di WordPress ha una pagina pubblica, un editore identificabile e una data di ultimo aggiornamento che chiunque può consultare. Dei siti rilevati, 66 % porta almeno una estensione assente da quel repository: una estensione a pagamento, una consegnata da un’agenzia, o uno sviluppo su misura.
Il suo aggiornamento non arriva dal canale pubblico. Arriva da un contratto, da una fattura annuale, o dalla casella di posta di una persona che forse ha lasciato l’azienda. Tra le estensioni con editore identificabile, 23 % dei siti dipende già da cinque società distinte o più, e questa cifra è un minimo.
Quando un sito viene attaccato, ciò che si chiede al fornitore è di ripulirlo: togliere i file aggiunti, reinstallare il nucleo, cambiare tutti gli accessi, ripartire da un backup sano. Questo lavoro è necessario e funziona, il sito riparte pulito.
Agisce su ciò che è entrato. Le tabelle di questa pagina descrivono altro: il numero di porte. Un sito ripulito il lunedì dipende il martedì dagli stessi fornitori, le cui pubblicazioni future nessuno conosce. La probabilità che nessuno di loro pubblichi una falla nell’anno non si calcola su una estrazione, ma su tante estrazioni quanti sono i fornitori.
È questo che spiega la reinfezione senza supporre un errore di pulizia. Due siti ripuliti con la stessa cura non hanno davanti lo stesso anno se uno porta tre estensioni e l’altro 28.
| Estensione | Siti |
|---|---|
| Elementor | 1148 |
| Contact Form 7 | 977 |
| Elementor Pro | 706 |
| Complianz | 536 |
| WooCommerce | 412 |
| WP Rocket | 348 |
| Slider Revolution | 341 |
| Cookie Notice | 296 |
Nessuna di queste estensioni è in causa. Descrivono ciò che un sito di PMI fa davvero: un modulo di contatto, un’impaginazione, la cache, un negozio, uno slideshow, un banner di consenso. Ognuna è un fornitore in più.
Serenity è un sito web creato, ospitato, protetto e tenuto aggiornato da Simafri, che crea, ospita e mantiene siti aziendali dal 2012. Il nome a dominio è registrato a nome del cliente, e un account Simafri Suite è incluso.
Base di campionamento, in due parti. La prima riprende quella di settembre: l’insieme dei domini .fr (10.662) della lista Tranco GQJJK, stabilita il 31 agosto 2026, scansionati questa volta per intero. È su questa parte che si basa il confronto con settembre.
La seconda allarga la base: 120.000 domini estratti a caso tra 4.607.211 nomi .fr attivi del file di dati aperti dell’Afnic, stato di agosto 2026. L’estrazione è riproducibile, e le due parti saranno rilette in modo identico ogni mese. Scansione il 23 settembre 2026.
Catena di qualificazione: ogni sito raggiungibile (66.183) è stato letto come pagina pubblica. Il numero SIREN è stato cercato nelle note legali che la legge francese impone di pubblicare, tenendo quello dell’editore del sito anziché quello del suo host o del suo fornitore, poi risolto sull’API pubblica delle imprese, il che collega 20.474 siti a un’azienda reale. Sono stati esclusi 292 enti pubblici e 437 siti il cui numero letto è quello di un fornitore di hosting, di un’agenzia o di una piattaforma di siti, ritrovato su più domini senza legame tra loro. Un’azienda conta una volta, attraverso il primo dei suoi siti rilevati. Restano 8380 PMI da 1 a 249 dipendenti, di cui 3543 su WordPress.
Cosa è stato letto: le estensioni e i temi la cui presenza appare nel codice pubblico della pagina iniziale e, per ogni estensione, l’editore dichiarato sul repository ufficiale di WordPress. Contano solo le tracce servite dal sito stesso o dalla sua rete di distribuzione: un modulo di recensioni clienti caricato dal sito WordPress del suo editore non fa del sito che lo mostra un sito WordPress. Da ottobre ogni rilevazione applica questa regola, e la colonna di settembre della tabella di evoluzione è ricalcolata di conseguenza.
Cosa non è stato letto: nulla che richieda accesso al sito, alla sua amministrazione o al suo hosting. Nessun test di intrusione, una sola richiesta per sito.
Portata: una estensione che non carica né script né foglio di stile sulla pagina iniziale resta invisibile, quindi i numeri di questa pagina sono minimi e il carico reale è superiore. Un’evoluzione si legge sui siti presenti in due rilevazioni successive: un sito diventato irraggiungibile, uscito da WordPress o ormai collegato al suo vero editore esce dal confronto.
Ogni rilevazione è pubblicata per intero, una riga per azienda, con dominio, SIREN, fascia di dipendenti, estensioni rilevate e la parte della base da cui proviene. Queste cifre sono riutilizzabili citando Simafri e collegando questa pagina.
Scaricare la rilevazione di ottobre 2026 (CSV)
Scaricare la rilevazione di settembre 2026 (CSV)
Prossima rilevazione prevista per il 1 novembre 2026, sulla stessa base, che permetterà di dire se il carico sale o scende sull’insieme dei siti.
Simafri è l’alleato tecnico delle aziende dal 2012: creiamo il vostro sito, lo ospitiamo, lo manteniamo e lo teniamo aggiornato, con il vostro nome a dominio registrato a vostro nome. Scriveteci, guardiamo insieme il vostro caso.
Simafri
Parliamo del vostro progetto
Diteci in due parole ciò che vi serve: vi rispondiamo rapidamente.
Grazie! La tua richiesta è stata inviata. Ti risponderemo a breve.
Preferite l'email? Scriveteci a support@simafri.com.