Un sito ripulito dopo un attacco riparte pulito, poi viene ripreso. Questa rilevazione guarda ciò che la pulizia non cambia mai: il numero di fornitori da cui il sito dipende.
Qui la media non dice nulla, perché mescola due popolazioni. La distribuzione si legge a colpo d’occhio.
| Estensioni rilevate | Siti | Quota |
|---|---|---|
| Nessuna visibile | 115 | 21 % |
| Da 1 a 2 | 122 | 23 % |
| Da 3 a 5 | 142 | 26 % |
| Da 6 a 10 | 107 | 20 % |
| 11 e più | 54 | 10 % |
Il sito mediano porta 3 estensioni. Nel decile più carico ne porta 11, e il massimo rilevato è 28. Metà del parco è sobria, una minoranza netta porta un carico di tutt’altro ordine.
Una estensione pubblicata sul repository ufficiale di WordPress ha una pagina pubblica, un editore identificabile e una data di ultimo aggiornamento che chiunque può consultare. Il 66 % dei siti rilevati porta almeno una estensione assente da quel repository: una estensione a pagamento, una consegnata da un’agenzia, o uno sviluppo su misura.
Il suo aggiornamento non arriva dal canale pubblico. Arriva da un contratto, da una fattura annuale, o dalla casella di posta di una persona che forse ha lasciato l’azienda. Tra le estensioni con editore identificabile, il 20 % dei siti dipende già da cinque società distinte o più, e questa cifra è un minimo.
Quando un sito viene attaccato, ciò che si chiede al fornitore è di ripulirlo: togliere i file aggiunti, reinstallare il nucleo, cambiare tutti gli accessi, ripartire da un backup sano. Questo lavoro è necessario e funziona, il sito riparte pulito.
Agisce su ciò che è entrato. Le tabelle di questa pagina descrivono altro: il numero di porte. Un sito ripulito il lunedì dipende il martedì dagli stessi fornitori, le cui pubblicazioni future nessuno conosce. La probabilità che nessuno di loro pubblichi una falla nell’anno non si calcola su una estrazione, ma su tante estrazioni quanti sono i fornitori.
È questo che spiega la reinfezione senza supporre un errore di pulizia. Due siti ripuliti con la stessa cura non hanno davanti lo stesso anno se uno porta tre estensioni e l’altro ventotto.
| Estensione | Siti |
|---|---|
| Contact Form 7 | 102 |
| Elementor | 87 |
| WP Rocket | 82 |
| Elementor Pro | 61 |
| WooCommerce | 58 |
| WPML | 37 |
| Complianz | 35 |
| Brevo | 33 |
Nessuna di queste estensioni è in causa. Descrivono ciò che un sito di PMI fa davvero: un modulo di contatto, un’impaginazione, la cache, un negozio, la traduzione, un banner di consenso, una newsletter. Ognuna è un fornitore in più.
Serenity è un sito web creato, ospitato, protetto e tenuto aggiornato da Simafri, che crea, ospita e mantiene siti aziendali dal 2002. Il nome a dominio è registrato a nome del cliente, e un account Simafri Suite è incluso.
Base di campionamento: i 10 662 domini .fr della lista Tranco GQJJK, stabilita il 31 agosto 2026. I primi 9 144 per rango sono stati scansionati il 1 settembre 2026, ossia l’86 % della base.
Catena di qualificazione: ogni sito raggiungibile (6 791) è stato letto come pagina pubblica. Il numero SIREN è stato cercato nelle note legali che la legge francese impone di pubblicare, poi risolto sull’API pubblica delle imprese, il che collega 3 061 siti a un’azienda reale. Sono stati esclusi 157 enti pubblici e 27 siti attribuiti al loro fornitore di hosting, che le note legali devono obbligatoriamente nominare. Restano 1 778 PMI da 1 a 249 dipendenti, di cui 540 su WordPress.
Cosa è stato letto: le estensioni e i temi la cui presenza appare nel codice pubblico della pagina iniziale e, per ogni estensione, l’editore dichiarato sul repository ufficiale di WordPress.
Cosa non è stato letto: nulla che richieda accesso al sito, alla sua amministrazione o al suo hosting. Nessun test di intrusione, una sola richiesta per sito.
Portata: una estensione che non carica né script né foglio di stile sulla pagina iniziale resta invisibile, quindi i numeri di questa pagina sono minimi e il carico reale è superiore. Poiché la base è una lista dei domini più visitati, i siti molto piccoli vi sono sottorappresentati. La prossima rilevazione allargherà la base e leggerà il SIREN dell’editore anziché quello dell’host quando compaiono entrambi.
La rilevazione completa è pubblicata, una riga per azienda, con dominio, SIREN, fascia di dipendenti ed estensioni rilevate. Queste cifre sono riutilizzabili citando Simafri e collegando questa pagina.
Scaricare la rilevazione completa (CSV)
Prossima rilevazione prevista per il 1 ottobre 2026, su una base allargata, che permetterà di dire se il carico sale o scende.
Simafri è l’alleato tecnico delle aziende dal 2002: creiamo il vostro sito, lo ospitiamo, lo manteniamo e lo teniamo aggiornato, con il vostro nome a dominio registrato a vostro nome. Scriveteci, guardiamo insieme il vostro caso.
Simafri
Parliamo del vostro progetto
Diteci in due parole ciò che vi serve: vi rispondiamo rapidamente.
Preferite l'email? Scriveteci a support@simafri.com.
Il modulo non si vede? Scriveteci direttamente:
support@simafri.com