Quanto costa rimuovere malware da WordPress?

Il costo per rimuovere malware da WordPress dipende da una cosa che molti preventivi ignorano: non tutti i siti infetti sono uguali. Un redirect spam appena comparso su un sito vetrina non ha lo stesso rischio di un WooCommerce compromesso da settimane, con ordini, utenti, gateway di pagamento e pagine spam già indicizzate.

Un prezzo serio deve coprire almeno tre attività: diagnosi, pulizia e prevenzione. Se manca una di queste parti, stai pagando una rimozione parziale.

Se sei ancora nella fase "non so se il sito è davvero infetto", parti dalla guida hub su malware WordPress. Se invece hai già redirect, blacklist o hosting sospeso, il percorso corretto è la pagina su rimozione malware WordPress e, quando serve intervento operativo, il servizio di bonifica malware WordPress.

Risposta rapida

La rimozione malware da un sito WordPress standard parte in genere da 249-300 euro più IVA, ma il prezzo finale dipende dal rischio: WooCommerce con ordini, multisite, assenza di backup, codice custom o infezioni vecchie lo fanno salire. Un preventivo serio copre diagnosi (root cause), pulizia e prevenzione: se ne manca una, stai pagando una rimozione parziale che rischia di farti reinfettare e pagare due volte.

Fasce di prezzo realistiche

Per un sito WordPress standard, un intervento di bonifica parte spesso da 250-300 euro più IVA. Questa fascia ha senso quando:

• il sito è piccolo;
• gli accessi hosting sono disponibili;
• non ci sono customizzazioni critiche;
• il malware è circoscritto;
• il database non è pieno di spam;
• non serve ricostruire parti del sito.

Il costo sale quando ci sono molte installazioni nello stesso hosting, un WooCommerce attivo, codice custom, plugin premium senza licenza, backup assenti o una compromissione vecchia.

Perché una scansione non basta

Una scansione può trovare file sospetti, ma non spiega come sono arrivati. La differenza tra scansione e bonifica tecnica è questa: la bonifica cerca la root cause. Se non trovi il vettore d'ingresso, il sito può reinfettarsi.

Le cause frequenti sono plugin vulnerabili, temi nulled, credenziali compromesse, permessi sbagliati, vecchie versioni PHP, upload PHP eseguibili o admin creati senza controllo.

Cosa dovrebbe includere il prezzo

Un intervento professionale dovrebbe includere:

• backup pre-intervento;
• copia staging quando il sito è critico;
• analisi file, database, utenti e configurazioni;
• rimozione malware e backdoor;
• sostituzione core e plugin dove possibile;
• hardening minimo;
• verifica blacklist e redirect;
• report finale;
• monitoraggio post-intervento.

In WPsec.it il percorso Urgenza per bonifica malware WordPress parte da 249 euro per casi standard, con prezzo finale in regime forfettario, e include backup, staging quando serve, root cause, hardening base, referto forense e monitoraggio reinfezione 30 giorni. Il prezzo finale viene confermato solo dopo analisi iniziale, perché WooCommerce, multisite, assenza di backup o infezioni profonde cambiano il rischio operativo.

Il costo nascosto del prezzo troppo basso

Il vero rischio non è pagare 50 euro in più. Il rischio è pagare due volte perché il sito torna infetto. Una pulizia economica che cancella solo i file più evidenti può lasciare:

• backdoor in uploads;
• opzioni malevole in wp_options;
• utenti admin nascosti;
• cron job sospetti;
• plugin vulnerabili ancora attivi;
• regole .htaccess manipolate.

Quando succede, perdi tempo, indicizzazione, fiducia dei clienti e talvolta anche accesso all'hosting.

Come valutare un preventivo

Chiedi sempre se il fornitore lavora su backup, se verifica la root cause, se controlla il database, se mette in sicurezza dopo la pulizia e se consegna un report. Se la risposta è vaga, il prezzo basso non è un vantaggio.

Se il sito è già in blacklist o reindirizza verso spam, apri un briefing: più informazioni raccogli nella prima ora, meno rischi nella fase di ripristino. Per la sequenza tecnica completa vedi guida al recupero in 11 fasi; se non sai ancora se il sito è infetto, parti dal check-up gratuito o dalla pagina sito WordPress hackerato.

---