Seconda copia e ripristino di prova
Una copia dei backup in un secondo storage e un ripristino di prova automatico ogni mese, per sapere che funzionano prima che servano.
Per web agency · WordPress e Joomla
Scopri l’attacco prima che se ne accorga il tuo cliente.
MultiCmsManager controlla ogni sito che gestisci da due lati: un agente dentro il CMS che nota nuovi amministratori, file del core alterati e PHP nascosto negli upload, e controlli dall’esterno per disservizi, certificati in scadenza, DNS dirottati e spam nella sitemap. Di notte fa i backup cifrati e aggiorna i plugin, tornando indietro da solo se qualcosa si rompe.
Durante la beta accogliamo le agenzie a piccoli gruppi.
- Critico Nuovo amministratore “wp-sync”Nessuno aveva fatto login
- Avviso File sensibile modificato: .htaccessDimensione 1,2 KB → 3,9 KB
- Critico File eseguibile negli uploadwp-content/uploads/2026/09/cache.php
- Inviato Email e webhook inviati al tuo team3 destinatari
- WordPress 6.5+
- Joomla 3.9 → 6
- PHP 7.4+ (7.1+ su Joomla 3)
- Nessuna nuova porta aperta
- Richieste firmate in entrambe le direzioni
§ 01Due lati per ogni sito
Quasi tutti gli strumenti guardano un sito da un lato solo. Gli attacchi passano dall’altro.
I monitor esterni vedono solo la home page. I plugin di sicurezza vivono dentro un singolo sito e sono la prima cosa che un attaccante disattiva. MultiCmsManager unisce le due viste e conserva le prove sui propri server.
Dall’interno, con l’agente
- Nuovi amministratori e cambi di ruolo, nel momento in cui avvengono
- File del core confrontati uno per uno con la release ufficiale
- PHP nascosto nelle cartelle di upload, anche travestito da
.php.jpg .htaccess,index.php,.user.inieauto_prepend_file: dove il malware si carica prima del CMS- Errori PHP fatali e accessi da amministratore da indirizzi IP mai visti
- Versioni installate confrontate con le vulnerabilità note
Dall’esterno, dai nostri server
- Uptime e tempi di risposta, più un controllo del testo che scopre le pagine defacciate che rispondono ancora 200 OK
- Scadenza del certificato SSL e del dominio, con settimane di anticipo
- Modifiche DNS: un nuovo nameserver è spesso il primo segnale di un dirottamento
- Sitemap piene di URL su farmaci o casinò, e robots.txt che nascondono il sito a Google
- Google, Spamhaus e le altre blacklist che mettono una schermata rossa davanti ai visitatori
§ 02Joomla, fatto bene
Qui Joomla non è un ripiego.
Quasi tutte le dashboard multi-sito sono strumenti per WordPress con una casella “anche Joomla”. Il nostro agente Joomla è un plugin di sistema nativo, costruito sullo stesso nucleo di quello WordPress: ogni funzione esce per entrambi lo stesso giorno.
- Integrità del core senza checksum ufficiali
- Joomla non pubblica i checksum dei file: li calcoliamo noi dal Full Package ufficiale di ogni versione e confrontiamo ogni file del sito.
- Dati letti da Joomla stesso
- Super utenti, estensioni, aggiornamenti in attesa e l’aggiornamento automatico nativo del core arrivano direttamente dal sito, non da ipotesi fatte dal front end.
- Accessi che si comportano come quelli di Joomla
- L’accesso con un clic usa lo stesso flusso del login senza password di Joomla: plugin utente e log delle azioni funzionano come sempre.
- Anche i siti rimasti indietro
- Un plugin dedicato per Joomla 3.9 e 3.10 gira anche su PHP 7.1: monitoraggio, integrità del core e backup pure sui siti che nessuno aggiorna più, con l’avviso di fine supporto e la strada per migrarli.
§ 03Prove delle manomissioni
Prove, non sospetti.
Quando cambia un file del core vedi esattamente quale, confrontato con la release ufficiale della versione installata. Il PHP modificato nel core è critico; un template ritoccato merita solo un’occhiata.
Su un’installazione pulita, nei nostri test: zero falsi positivi su 3.336 file di WordPress e 9.625 di Joomla.
| libraries/src/Factory.php | Modificato | Critico |
| plugins/system/sef/helper.php | Assente nella release | Critico |
| templates/cassiopeia/index.php | Modificato | Avviso |
§ 04Reputazione
Le pagine spam non mandano giù il sito. Gli fanno perdere posizioni.
Lo spam iniettato raramente tocca la home page. Si vede come centinaia di nuovi URL nella sitemap, un robots.txt che nasconde il sito a Google, o una blacklist che trasforma ogni visita in una schermata rossa.
Sitemap
Crescite improvvise, link ad altri domini, URL su farmaci, casinò o prestiti
robots.txt
Modifiche e regole che bloccano tutti i motori di ricerca
Blacklist
Google Web Risk, Spamhaus DBL e ZEN, SURBL, SpamCop
DNS
Nuovi record A, MX o nameserver
Scudo SEO: confronta cosa riceve Googlebot, verificato anche dall’interno del sito dove il cloaking non può nascondersi, con cosa vede un visitatore arrivato da Google e uno da mobile. Redirect condizionali e link nascosti vengono a galla, e un parere AI facoltativo spiega cosa ripulire.
§ 05Aggiornamenti sicuri
Aggiornamenti che tornano indietro da soli se rompono il sito.
Molti aggiornamenti cambiano anche il database: riportare indietro solo i file lascia il sito a metà. Prima di ogni aggiornamento MultiCmsManager salva la cartella del plugin e le tabelle che può modificare; se dopo le pagine non funzionano, rimette tutto com’era.
- Backup completo non più vecchio di un giorno, poi un punto di ripristino con file e tabelle
- Home e pagine scelte controllate prima e dopo: errori, testo sparito, stili persi, errori fatali PHP
- Rollback automatico di file e database, poi una nuova verifica delle pagine
- Livelli per sito: manuale, solo sicurezza, completo; di notte, nel fuso orario del sito
- Ritardo di 48 ore per le versioni non di sicurezza e rilascio a ondate su tutta la piattaforma: se una versione rompe dei siti, si ferma per tutti
- Plugin con licenza scaduta: niente tentativi a vuoto, ma un avviso
Oggi per plugin e temi WordPress. Estensioni Joomla e staging sono i prossimi passi.
| Backup del sito | Di stanotte, 01:30 | OK |
| Punto di ripristino | Cartella del plugin + 3 tabelle | OK |
| Shop Builder 8.1 → 8.2 | Aggiornato | OK |
| Controllo delle pagine | Errore fatale PHP su /shop/ | Errore |
| Rollback | Tornato a 8.1 in 4 secondi | OK |
§ 06Backup
Backup che nessuno può leggere né cancellare.
Database e file vengono compressi e cifrati sul server del cliente, poi caricati direttamente in uno storage europeo. Anche i siti su hosting condiviso li reggono: il lavoro procede a piccoli passi.
Cifrati prima di partire
AES-256 con una chiave diversa per ogni backup: sul sito e nello storage non resta nulla in chiaro.
Incrementali, ma completi
Dopo il primo si inviano solo i file cambiati, eppure ogni backup si ripristina in un solo passaggio, senza ricomporre una catena.
Programmati come vuoi tu
Più programmazioni per sito, per esempio tutto una volta al mese e il solo database ogni notte, ognuna con la sua conservazione. I backup importanti si tengono per sempre.
Protetti dalla cancellazione
Blocco a livello di storage (Object Lock): nemmeno chi ruba le credenziali può cancellarli prima della scadenza.
Ripristino con un clic
Database, file o entrambi rimessi sul sito dal pannello, dopo un backup dello stato attuale. Oppure il download come .sql.gz e .tar.gz.
La chiave al cliente, se serve
Per i clienti più esigenti i backup si chiudono con una chiave che tiene il cliente: senza quel file nessuno, noi compresi, può aprirli.
§ 07Accesso con un clic
Apri l’amministrazione di qualsiasi cliente con un clic. In sicurezza.
Niente archivi di password condivisi, niente account amministratore dimenticati. La piattaforma chiede al sito un link di accesso che funziona una sola volta, per 60 secondi, e solo su quel dominio.
- Token monouso valido 60 secondi, salvato solo come hash
- Emesso con una richiesta firmata: il link non può puntare altrove
- Registrato sulla piattaforma e nel registro attività del sito
- Il proprietario del sito può disattivarlo dalle impostazioni del plugin
§ 08Pronto in pochi minuti
Tre passaggi. Il primo funziona già.
-
1
Aggiungi il sito
Incolla l’URL. Uptime, SSL, DNS, dominio, sitemap e blacklist partono subito, senza plugin.
-
2
Installa l’agente
Un plugin leggero per WordPress o Joomla. Non apre nuove porte e risponde solo a richieste firmate con la chiave di quel sito.
-
3
Incolla il codice
Un codice monouso collega il sito. Da lì arrivano inventario, eventi di sicurezza e controlli di integrità.
MCM1.eyJ1IjoiaHR0cHM6Ly9hcHAu…
Tutte le funzionalità
Tutto quello che serve per tenere al sicuro i siti dei tuoi clienti.
Manutenzione
Aggiornamenti automatici dei plugin WordPress, con rollback se si rompe qualcosa
Punto di ripristino con database, controllo delle pagine e rollback automatico.
Manutenzione
Backup incrementali che si ripristinano come un backup completo
Solo i file cambiati, ma ripristino in un solo passaggio.
Sicurezza
Verifica dell’integrità dei file del core di Joomla, anche senza checksum ufficiali
Checksum ricavati dal Full Package ufficiale, per Joomla 3, 4, 5 e 6.
Sicurezza
Verifica dell’integrità dei file del core di WordPress
Ogni file confrontato con i checksum ufficiali, con il diff delle modifiche.
Sicurezza
Rilevare il cloaking: confronta cosa vede Googlebot con cosa vedono i visitatori
Googlebot, visitatore da Google e mobile a confronto, con parere AI.
Joomla
Joomla 3 ha finito il supporto: come proteggere i siti che lo usano ancora
Monitoraggio, integrità e backup anche su Joomla 3.9 e 3.10 con PHP 7.1.
§ 09Dove si colloca
Quello che altrimenti metteresti insieme con tre strumenti diversi.
| Dashboard solo WordPress | Scanner esterni | MultiCmsManager | |
|---|---|---|---|
| WordPress e Joomla nella stessa dashboard | Raramente | No | Sì |
| Vede dentro il sito: nuovi admin, file del core, upload | Sì | No | Sì |
| Vede da fuori: uptime, DNS, blacklist, spam nella sitemap | In parte | Sì | Sì |
| Integrità del core per Joomla | Raramente | No | Sì |
| Accesso admin con un clic | Sì | No | Sì |
| Backup cifrati sul sito e incrementali | In parte | No | Sì |
| Aggiornamenti con rollback anche del database | Raramente | No | Sì |
| Joomla 3 e 4 ancora in produzione | No | In parte | Sì |
In base alle pagine pubbliche degli strumenti più diffusi, settembre 2026. Le funzioni variano in base al piano.
§ 10Sicurezza della piattaforma
Costruito come qualcosa a cui daresti le chiavi di duecento siti.
Nessuna nuova porta aperta
L’agente risponde solo a richieste firmate con HMAC-SHA256, con timestamp e nonce monouso.
Risposte firmate
Anche le risposte sono firmate: una pagina del firewall o un errore in cache non possono passare per buone notizie.
Impronte, non file
Dei file sensibili, come la configurazione, escono dal sito solo le impronte. Mai il contenuto.
Niente lavoro durante le visite
Durante le visite normali l’agente ascolta solo gli errori fatali. Il lavoro pesante gira a piccoli passi, pensati per l’hosting condiviso.
Legato alla tua piattaforma
Ogni plugin scaricato accetta solo la piattaforma da cui viene: un codice di collegamento falso non può consegnare il sito a nessun altro.
Agenzie separate, dati separati
Ogni agenzia vede e comanda solo i propri siti, e 2FA obbligatoria per tutti gli account. Lo verifichiamo con test automatici su ogni rilascio.
In sviluppo
Cosa stiamo costruendo.
Staging e confronto visivo
Aggiornamenti provati prima su una copia, screenshot delle pagine prima e dopo, e aggiornamenti sicuri anche per le estensioni Joomla.
Report e accesso per i clienti
Report mensili con il tuo marchio e un accesso in sola lettura per i tuoi clienti.
§ 11Prezzi
Prezzo per sito, come dovrebbe essere.
Paghi i siti che monitori. I moduli aggiuntivi solo sui siti che ne hanno bisogno.
Monitor
da 1,49 € a sito / mese
Tutto quello che trovi in questa pagina ed è già disponibile.
- WordPress e Joomla
- Uptime, SSL, DNS, dominio, sitemap e blacklist
- Eventi di sicurezza e integrità del core
- Controllo delle vulnerabilità
- Aggiornamenti sicuri con rollback automatico
- Accesso admin con un clic
- Allarmi via email e webhook
Scudo SEO
da 1,99 € a sito / mese
Per i siti in cui il traffico dai motori di ricerca è il business.
- Googlebot, visitatori e mobile a confronto
- Parere AI su cloaking e link nascosti
- 30 controlli AI al mese inclusi
Backup
da 4,90 € ogni 50 GB / mese
Spazio condiviso tra tutti i tuoi siti.
- Cifrati sul sito prima del caricamento
- Incrementali, ripristino in un passaggio
- Ripristino sul sito con un clic
- Più programmazioni per sito
- Protetti dalla cancellazione
Prezzi di lancio previsti. I prezzi definitivi saranno confermati prima di qualsiasi addebito.
§ 12FAQ
Le domande che ci fanno le agenzie.
Devo per forza installare un plugin?
No. Uptime, SSL, DNS, scadenza del dominio, sitemap e blacklist richiedono solo l’URL. Il plugin aggiunge ciò che si vede solo dall’interno: nuovi amministratori, integrità di core e file, vulnerabilità, accesso con un clic.
L’agente rallenta i siti dei miei clienti?
Durante le visite normali registra solo un gestore per gli errori fatali. Scansioni e controlli di integrità partono quando li chiede la piattaforma, a passi di pochi secondi pensati per l’hosting condiviso.
E se un attaccante rimuove il plugin?
La piattaforma se ne accorge: dopo tre contatti falliti ricevi un allarme, e i controlli esterni continuano. L’ultimo stato noto resta sui nostri server.
Quali versioni sono supportate?
WordPress 6.5 o successivo con PHP 7.4 o successivo; Joomla 4, 5 e 6, e Joomla 3.9 e 3.10 con un plugin dedicato che funziona anche su PHP 7.1.
Cosa succede se un aggiornamento rompe il sito?
Prima di aggiornare salviamo la cartella del plugin e le tabelle che può modificare, e controlliamo le pagine. Se dopo l’aggiornamento compaiono errori, testo mancante o errori fatali PHP, rimettiamo file e database com’erano e ti avvisiamo. Per tre giorni puoi anche tornare indietro a mano.
Dove finiscono i backup e chi può leggerli?
Sono cifrati sul sito prima di partire e restano cifrati in uno storage europeo, bloccati contro la cancellazione. Ogni backup ha la sua chiave, custodita cifrata dalla piattaforma. Se il cliente lo chiede, i suoi backup si chiudono con una chiave che tiene lui: noi conserviamo solo la parte pubblica e senza il suo file nessuno può aprirli.
Da dove arrivano i dati sulle vulnerabilità?
Da Wordfence Intelligence per core, plugin e temi di WordPress, e dal Joomla Security Centre per il core di Joomla.
I miei clienti possono vedere i loro siti?
L’accesso in sola lettura per i clienti finali è in programma, insieme ai report mensili con il tuo marchio.
Richiedi l’accesso anticipato.
Accogliamo le agenzie a piccoli gruppi, per configurare insieme i primi siti e correggere quello che trovate.