Se gestisci siti WordPress su un VPS con Plesk, sai bene che installare WordPress è solo il primo passo. La vera sfida è configurare il server Plesk Obsidian in modo che ogni sito sia veloce, sicuro e facile da mantenere nel tempo. Nella mia esperienza da sysadmin, ho visto troppi server con Plesk installato “di default” che poi soffrivano di problemi di performance, vulnerabilità non patchate e configurazioni mal ottimizzate.
In questa guida vi mostro come trasformare un VPS con Plesk Obsidian in una piattaforma di hosting WordPress ad alte prestazioni, partendo dalla preparazione iniziale del server fino alla manutenzione automatizzata. Non è una guida all’installazione base di WordPress (per quella ho scritto un articolo dedicato su WP Toolkit), ma un approfondimento su tutto ciò che sta sotto: web server, PHP, database, sicurezza e automazione.
Con le ultime release di Plesk Obsidian — inclusa la 18.0.76 uscita a febbraio 2026 con una patch di sicurezza critica — ci sono diverse novità da conoscere per chi gestisce WordPress in produzione. Vediamo tutto step by step.
Requisiti e Preparazione del Server per Plesk Obsidian nel 2026
Prima di installare Plesk, è fondamentale scegliere il sistema operativo giusto. Nel 2026, Plesk Obsidian è compatibile con le tre ultime versioni di Windows Server e 18 sistemi UNIX tra cui AlmaLinux, Ubuntu, Debian e altri, supportando anche server con chip ARM per hosting a basso consumo energetico.
La mia raccomandazione personale per hosting WordPress è Ubuntu 22.04 LTS o Debian 12 — sono i più stabili e meglio supportati. Evitate CentOS 7, che è in Extended Lifecycle Support fino a fine 2026 ma richiede un costo aggiuntivo. Per quanto riguarda le risorse hardware, un VPS con hosting WordPress dovrebbe avere come minimo:
- 2 vCPU e 4 GB RAM per gestire fino a 5-10 siti WordPress
- Storage NVMe da almeno 40 GB (gli SSD tradizionali vanno bene, ma NVMe è decisamente meglio)
- IP statico configurato prima dell’installazione (obbligatorio per Plesk su Windows)
Installazione di Plesk da CLI
L’installazione di Plesk su un server fresh è semplice via SSH. Ecco i comandi che uso sempre:
# Scarico l'installer di Plesk
sh <(curl https://autoinstall.plesk.com/one-click-installer || wget -O - https://autoinstall.plesk.com/one-click-installer)
Dopo l’installazione, Plesk è raggiungibile su https://IP-SERVER:8443. La prima cosa che faccio è attivare gli aggiornamenti automatici — Plesk rilascia una nuova versione ogni 6 settimane, supportata per 12 settimane con hotfix e patch di sicurezza. Non restare aggiornati significa perdere anche l’accesso al supporto ufficiale.
Sicurezza del Server Plesk: Hardening Completo per WordPress
La sicurezza è il primo aspetto che configuro su ogni nuovo server. Plesk Obsidian parte già con una base solida: ModSecurity e Fail2Ban sono attivi out of the box. Ma c’è molto altro da fare per proteggere i siti WordPress hostati.
Configurazione di Fail2Ban e ModSecurity
Fail2Ban protegge contro gli attacchi brute force, ma va configurato correttamente. Ecco cosa modifico sempre:
# In Plesk: Tools & Settings → IP Address Banning (Fail2Ban)
# Imposto:
# - Ban period: 3600 secondi (1 ora)
# - Number of failures: 5
# - Time interval: 600 secondi
# Per ModSecurity: Tools & Settings → Web Application Firewall
# Seleziono il ruleset OWASP ModSecurity Core Rule Set
# Modalità: On (non "Detection Only")
Un errore che ho commesso all’inizio era lasciare ModSecurity in modalità “Detection Only” pensando di evitare falsi positivi. Il problema è che in quella modalità non blocca nulla. Meglio attivarlo in modalità piena e poi gestire le eccezioni caso per caso. Inoltre, dalla release 18.0.70, Plesk ha introdotto il rate-limiting per i tentativi di login, un’ulteriore protezione contro DDoS e brute force.
Hardening WordPress con WP Toolkit Security
Il WP Toolkit di Plesk include un sistema di hardening automatico che applica misure di sicurezza critiche a ogni nuova installazione WordPress. Tra le misure più importanti che verifico sempre:
- Disattivazione XML-RPC pingbacks — un vettore classico per attacchi brute force
- Blocco accesso a wp-config.php tramite regole Nginx
- Sicurezza della cartella wp-content — impedisce l’esecuzione diretta di file PHP
- Prefisso database personalizzato — mai lasciare il default
wp_ - Disattivazione concatenazione script nel pannello admin
Un consiglio importante: se detachate un sito dal WP Toolkit e poi lo ri-collegate, le misure di sicurezza risulteranno “non applicate” anche se in realtà alcune (come il blocco accesso a wp-config.php) sono ancora attive a livello di file. Ri-applicatele comunque per sicurezza. Per un approccio più avanzato alla protezione, vi consiglio il mio articolo su virtual patching con Patchstack e WAF applicativo.
Patch di Sicurezza Critica: Cosa È Successo con la 18.0.76
A fine febbraio 2026, Plesk ha rilasciato un aggiornamento critico per le versioni 18.0.75 Update 1 e 18.0.76 Update 2. La vulnerabilità era legata a un XPath Injection nella funzionalità di ricerca dell’APS Catalog, che poteva permettere un’escalation di privilegi locale. Se non usate l’APS Catalog potete mitigare il rischio, ma aggiornare immediatamente è la scelta giusta.
Questa vicenda ha sollevato anche un problema di trasparenza: diversi utenti soggetti alla Direttiva NIS2 hanno lamentato la mancanza di dettagli nei changelog, rendendo difficile la valutazione d’impatto obbligatoria. Ne ho parlato anche nel mio articolo su Plesk e conformità NIS2.
Ottimizzazione Performance: PHP-FPM, OPcache, Nginx e Database
Un server Plesk configurato bene può dare a WordPress un miglioramento medio del 30% nei tempi di caricamento rispetto alla configurazione default. Ecco cosa faccio su ogni server.
Configurazione PHP-FPM e OPcache
PHP-FPM è il cuore delle performance WordPress. La configurazione varia in base alle risorse del server, ma per un VPS da 4 GB RAM con 5-10 siti, uso questi parametri:
# In Plesk: Domains → [dominio] → PHP Settings → PHP-FPM
# Process Manager: dynamic
pm.max_children = 15
pm.start_servers = 3
pm.min_spare_servers = 2
pm.max_spare_servers = 5
pm.max_requests = 500
# OPcache (php.ini o Additional PHP directives)
opcache.enable = 1
opcache.memory_consumption = 256
opcache.interned_strings_buffer = 16
opcache.max_accelerated_files = 10000
opcache.revalidate_freq = 60
opcache.validate_timestamps = 1
Ho dedicato un intero articolo a questo argomento con configurazioni avanzate: Come Ottimizzo PHP-FPM e OPcache su Plesk. La versione di PHP da usare nel 2026 è la 8.4 (attualmente alla 8.4.18 su Plesk) o la 8.3 per compatibilità. PHP 8.1 è stato rimosso dai preset di installazione con la 18.0.75 perché ha raggiunto l’end of life.
Nginx come Proxy e Caching
Plesk usa di default Nginx come reverse proxy davanti ad Apache. Questa è una configurazione eccellente perché Nginx gestisce i file statici e le connessioni, mentre Apache processa il PHP. Per massimizzare le performance:
- Abilitate il caching statico Nginx per CSS, JS, immagini
- Configurate gli header di cache del browser (expires)
- Abilitate la compressione Brotli (ne parlo in dettaglio nel mio articolo dedicato)
- Considerate Nginx in modalità standalone (senza Apache) per siti solo WordPress
Per siti con traffico internazionale, aggiungete Cloudflare come CDN — la configurazione su Plesk è diretta grazie all’integrazione nativa. Ho scritto una guida completa alla configurazione di Cloudflare che vi consiglio di seguire.
Ottimizzazione Database MariaDB
Con la release 18.0.76, Plesk supporta l’upgrade a MariaDB 11.8 direttamente dalla UI (su Linux, esclusi ELS e CloudLinux). Questo porta miglioramenti di performance significativi per applicazioni database-intensive come WordPress. Ecco la mia configurazione personalizzata per my.cnf:
[mysqld]
# Buffer pool: circa 60-70% della RAM disponibile per MySQL
innodb_buffer_pool_size = 1G
innodb_log_file_size = 256M
innodb_flush_method = O_DIRECT
innodb_flush_log_at_trx_commit = 2
# Query cache (se disponibile nella versione)
query_cache_type = 1
query_cache_size = 64M
query_cache_limit = 2M
# Connessioni
max_connections = 100
wait_timeout = 300
Ricordate anche di pulire regolarmente il database WordPress per eliminare revisioni, transient scaduti e dati orfani che rallentano le query.
Automazione: Backup, Cron Job e Aggiornamenti
Un server di produzione non può sopravvivere senza automazione. Ecco i tre pilastri che configuro sempre.
Backup Automatici con Destinazione Remota
Non mi fido mai dei backup locali — se il server muore, muoiono anche loro. Configuro sempre una destinazione remota S3-compatible (Backblaze B2, Wasabi o MinIO). L’intero processo è dettagliato nel mio articolo su backup automatici su Plesk con S3.
Cron Job per Manutenzione
Uso i cron job di Plesk per automatizzare la manutenzione quotidiana. Alcune task che schedulo sempre:
- Pulizia log e file temporanei (giornaliera)
- Ottimizzazione tabelle database (settimanale)
- Verifica integrità WordPress core (settimanale)
- Rinnovo certificati SSL via Let’s Encrypt (automatico)
Per la configurazione dettagliata dei cron job, vi rimando alla mia guida completa ai cronjob su Plesk. Per quanto riguarda i certificati SSL, ho una guida specifica sull’automazione con Certbot e ACME.sh.
Smart Updates e Aggiornamenti Automatici
Una delle funzionalità più potenti del WP Toolkit è Smart Updates: Plesk crea una copia staging, applica gli aggiornamenti, fa screenshot delle pagine principali e le confronta con il sito live. Se qualcosa appare diverso (rotto), vi avvisa prima che i visitatori lo vedano. Questo è particolarmente utile quando gestite più siti e non potete controllare manualmente ogni singola pagina.
Per chi gestisce molti siti WordPress, il mass management del WP Toolkit permette di aggiornare un plugin su 20 siti contemporaneamente. Ho trovato questa funzionalità fondamentale quando devo applicare patch di sicurezza urgenti a decine di installazioni.
Novità Plesk Obsidian 2026: Cosa Cambia per il Hosting WordPress
Il 2026 ha portato diverse novità importanti per chi gestisce WordPress su Plesk. Ecco le più rilevanti dalla release 18.0.75 e successive:
- Supporto certificati SSL/TLS short-lived — in linea con le moderne pratiche di sicurezza e compliance
- Supporto .NET 10.0 su Windows e Linux
- MariaDB 11.8 nel Performance Booster
- PHP 8.5 supportato (versione 8.5.3 nell’ultimo aggiornamento)
- Deprecazione APS Catalog — dalla 18.0.77, l’intero catalogo APS verrà rimosso. Per WordPress, il WP Toolkit è l’alternativa ufficiale
- Miglioramenti accessibilità con semantic HTML e ARIA nelle pagine core
- TuxCare ELS per PHP — mantenete versioni PHP legacy protette direttamente dalla UI di Plesk
Un aspetto importante: PHP 8.1 è stato rimosso dai preset di installazione perché ha raggiunto l’end of life a dicembre 2025. Se avete ancora siti su PHP 8.1, è ora di migrarli almeno alla 8.2, o meglio alla 8.4. Per chi non può aggiornare subito, TuxCare offre Extended Lifecycle Support direttamente gestibile dalla UI di Plesk.
Se state anche valutando alternative a Plesk per via dell’aumento dei prezzi nel 2026, ho confrontato le opzioni nel mio articolo su alternative open source a Plesk e sulla migrazione a 1Panel o CloudPanel.
Monitoraggio Server: Tenere Tutto Sotto Controllo
Un server ben configurato va anche monitorato costantemente. Plesk offre strumenti integrati, ma per un monitoraggio serio uso sempre Grafana con Prometheus. Vi rimando alla mia guida al setup completo con Grafana e Prometheus su Plesk.
Le metriche che monitoro sempre per il hosting WordPress sono:
- CPU e RAM — per dimensionare correttamente PHP-FPM
- Disk I/O — colli di bottiglia frequenti su storage condiviso
- Connessioni MySQL attive — per prevenire il temuto “Error establishing database connection”
- Tempo di risposta HTTP (TTFB) — l’indicatore più importante per Google
- Certificati SSL — Plesk ha un blocco SSL It! nella dashboard che mostra lo stato consolidato di tutti i certificati
FAQ
Quale versione di PHP devo usare per WordPress su Plesk nel 2026?
La scelta migliore nel 2026 è PHP 8.4 (attualmente alla 8.4.18 su Plesk) per la combinazione ottimale di performance e compatibilità. PHP 8.3 è un’alternativa valida se alcuni plugin non supportano ancora la 8.4. Evitate PHP 8.1 che ha raggiunto l’end of life a dicembre 2025 e non riceve più aggiornamenti di sicurezza dal vendor.
Devo abilitare gli aggiornamenti automatici di Plesk?
Assolutamente sì. Plesk rilascia una nuova versione ogni 6 settimane, supportata per 12 settimane. Se non aggiornate, perdete accesso al supporto ufficiale e, soprattutto, restate esposti a vulnerabilità note. L’aggiornamento critico di febbraio 2026 (XPath Injection nell’APS Catalog) dimostra quanto sia importante restare aggiornati.
Meglio Nginx standalone o Nginx + Apache su Plesk per WordPress?
Per la maggior parte dei siti WordPress, la configurazione Nginx come reverse proxy + Apache è la scelta migliore: avete la velocità di Nginx per i file statici e la compatibilità di Apache con .htaccess e ModSecurity. Nginx standalone è più performante in teoria, ma può creare problemi con plugin che dipendono da .htaccess. Nella mia esperienza, il reverse proxy è il miglior compromesso.
Come proteggo WordPress da vulnerabilità dei plugin su Plesk?
Usate il WP Toolkit Security Scanner per applicare l’hardening automatico, abilitate Smart Updates per aggiornare senza rischi, e considerate WP Guardian per la vulnerability protection avanzata con virtual patching. Integrate il tutto con ModSecurity attivo e Fail2Ban configurato correttamente. Per un approccio completo, consultate la mia guida sull’audit dei plugin WordPress.
L’APS Catalog di Plesk sta venendo rimosso: cosa devo fare?
Sì, dalla versione 18.0.77 (prevista per aprile 2026) l’intero APS Catalog verrà rimosso. Le applicazioni già installate continueranno a funzionare, ma non saranno più supportate. Per WordPress, usate esclusivamente il WP Toolkit. Per Joomla, usate il Joomla Toolkit. Per altre applicazioni, seguite le guide ufficiali di installazione manuale.
Conclusione: Un Server Plesk Obsidian Ben Configurato fa la Differenza
Configurare un server Plesk Obsidian per hosting WordPress nel 2026 richiede attenzione su più livelli: dalla scelta del sistema operativo all’hardening di sicurezza, dall’ottimizzazione di PHP-FPM e OPcache al monitoraggio continuo. Le novità della release 18.0.75/76 — supporto certificati short-lived, MariaDB 11.8, PHP 8.5 e la deprecazione dell’APS Catalog — richiedono azioni concrete da parte di ogni sysadmin.
La buona notizia è che Plesk rende tutto più gestibile rispetto a un server configurato a mano: il WP Toolkit con Smart Updates, l’hardening automatico, i backup integrati e il monitoraggio dalla dashboard sono strumenti che, se configurati correttamente, vi faranno risparmiare ore di lavoro.
Se avete domande sulla configurazione del vostro server Plesk o volete condividere la vostra esperienza, lasciate un commento qui sotto — sono sempre curioso di scoprire come altri sysadmin gestiscono i loro ambienti WordPress in produzione.