Come installare WordPress: guida passo passo

Installare WordPress richiede cinque minuti se l'hosting fa il lavoro per te, una mezz'ora se lo fai a mano. La parte che conta davvero, però, viene dopo: le impostazioni iniziali che decidono se il sito sarà sicuro e indicizzabile, e che quasi nessuno sistema. In questo articolo trovi entrambe le procedure e la lista di cose da fare subito dopo.

Prima: quale WordPress

C'è una distinzione che genera confusione e che va chiarita subito.

WordPress.com è un servizio in abbonamento gestito da un'azienda. WordPress.org è il software libero che installi dove vuoi. Questa guida riguarda il secondo — quello che ti dà il controllo completo. La differenza in dettaglio è in WordPress.org vs WordPress.com.

Cosa ti serve:

• Un hosting con PHP e database MySQL o MariaDB (praticamente tutti)
• Un dominio, collegato all'hosting
• Accesso al pannello di controllo

Metodo 1 — Installazione automatica

È il modo consigliato per il 95% dei casi, e richiede pochi minuti.

Quasi tutti gli hosting condivisi offrono un installatore nel pannello (spesso sotto "Applicazioni", "Softaculous" o direttamente "WordPress"):

1. Entra nel pannello dell'hosting e cerca l'installatore
2. Scegli WordPress e il dominio su cui installarlo
3. Compila: titolo del sito, nome utente amministratore, password, email
4. Avvia

Il sistema crea il database, scarica i file e configura tutto. In pochi minuti il sito è raggiungibile e il pannello di amministrazione è su tuosito.it/wp-admin.

Due accortezze che contano già in questa fase:

Non usare "admin" come nome utente. È il primo nome che ogni attacco automatico prova. Usa qualcosa di non ovvio.

Metti una password lunga e generata a caso, non una che ricordi facilmente.

Metodo 2 — Installazione manuale

Serve quando l'hosting non offre l'installatore, o su un VPS. Non è complicata, sono cinque passaggi.

1. Scarica WordPress dal sito ufficiale ed estrai l'archivio.

2. Crea il database. Dal pannello dell'hosting: un database nuovo, un utente dedicato, e assegna a quell'utente tutti i permessi su quel database. Annota nome database, utente, password e host — servono al passaggio 4.

3. Carica i file nella cartella radice del sito (public_html o simili) via SFTP. Attenzione a caricare il contenuto della cartella wordpress, non la cartella stessa — altrimenti il sito finisce su tuosito.it/wordpress.

4. Avvia la configurazione. Apri il tuo dominio nel browser: parte la procedura guidata. Inserisci i dati del database, poi titolo del sito, utente e password.

5. Fatto. Entra su /wp-admin.

Se qualcosa non va: l'errore "Errore nello stabilire una connessione al database" significa quasi sempre credenziali sbagliate al passaggio 4, oppure un host diverso da localhost (alcuni provider usano un indirizzo specifico, indicato nel pannello).

Metodo 3 — In locale, per fare prove

Se vuoi imparare o sviluppare senza mettere niente online, esistono strumenti che installano tutto lo stack sul tuo computer con un clic (LocalWP, XAMPP, MAMP, oppure Docker se preferisci).

È il modo giusto per sperimentare: puoi rompere tutto senza conseguenze, e provare aggiornamenti prima di applicarli al sito vero.

Cosa fare subito dopo l'installazione

Questa è la parte che fa la differenza, e che la maggior parte delle guide tralascia. Sono venti minuti.

Sicurezza

Cambia il prefisso delle tabelle se hai installato a mano: il predefinito wp_ è quello che cercano gli attacchi automatici. Va fatto in fase di installazione, dopo è più laborioso.

Attiva l'autenticazione a due fattori per gli account amministratore.

Limita i tentativi di accesso. Il modulo di login di WordPress accetta tentativi illimitati: è il bersaglio numero uno. Un plugin che blocca dopo N tentativi falliti risolve gran parte del problema.

Verifica che il sito sia in HTTPS. Quasi tutti gli hosting offrono un certificato gratuito attivabile dal pannello. Se il sito è in HTTP, sistemalo prima di pubblicare qualsiasi cosa.

Disattiva la modifica dei file dal pannello. Aggiungendo define('DISALLOW_FILE_EDIT', true); in wp-config.php, chi dovesse entrare nel tuo amministratore non può modificare direttamente il codice.

Il quadro generale è in come rendere un sito sicuro.

Impostazioni di base

I permalink. Vai in Impostazioni → Permalink e scegli "Nome articolo". Il formato predefinito produce URL con numeri e parametri, pessimi per lettori e motori. Falla subito, perché cambiarla dopo significa gestire dei redirect.

Togli il blocco ai motori di ricerca. In Impostazioni → Lettura c'è una casella "Scoraggia i motori di ricerca dall'indicizzare questo sito". Se l'installatore l'ha attivata e te ne dimentichi, il sito resta invisibile su Google. È un classico che costa mesi.

Elimina i contenuti di esempio: l'articolo "Ciao mondo!", la pagina di esempio, il commento predefinito.

Rimuovi i temi e i plugin che non usi. Non basta disattivarli: il codice inutilizzato resta una superficie di attacco. Tieni solo quello che serve.

Imposta fuso orario, lingua e formato data in Impostazioni → Generali.

Backup

Configuralo prima di iniziare a lavorare, non dopo. Un plugin di backup con invio automatico su uno spazio esterno si imposta in dieci minuti — il ragionamento completo è in come fare il backup di un sito web.

Gli errori più comuni dei primi giorni

Installare venti plugin. Ogni plugin è codice di terzi che rallenta il sito e amplia la superficie di rischio. Parti con il minimo indispensabile e aggiungi solo quando hai un'esigenza concreta.

Scegliere un tema pesantissimo. I temi multiuso con centinaia di funzioni caricano molto e rendono il sito lento, con effetti diretti sul posizionamento — vedi come velocizzare un sito web.

Non aggiornare. WordPress, temi e plugin non aggiornati sono la causa principale dei siti compromessi. Attiva gli aggiornamenti automatici almeno per quelli di sicurezza, e fai un backup prima degli aggiornamenti importanti.

Usare l'account amministratore per scrivere. Crea un utente separato con ruolo Editore per il lavoro quotidiano.

In sintesi

Nella maggior parte dei casi l'installazione è questione di minuti con l'installatore del pannello. La procedura manuale — scarica, crea il database, carica via SFTP, configura — serve quando quello non c'è.

Il lavoro che conta davvero viene dopo, e sono venti minuti: permalink su "Nome articolo", togliere il blocco ai motori, HTTPS attivo, limitare i tentativi di accesso, backup configurato, contenuti di esempio eliminati.

Due errori da evitare in partenza: utente "admin" e la casella che scoraggia l'indicizzazione lasciata attiva. Il primo è la porta d'ingresso preferita degli attacchi, il secondo rende il sito invisibile senza che nessuno se ne accorga per mesi.

Se stai partendo con un progetto e vuoi impostare bene tecnica e SEO fin dall'inizio, la consulenza per nuovi progetti serve a evitare le scelte che poi costano.