PHP2Shell: come mettere offline il sito nel modo giusto
La notizia più importante delle ultime 48 ore per chi gestisce un sito riguarda la sicurezza. Il 21 ottobre, il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità critiche, ribattezzate PHP2Shell. PHP è il linguaggio di programmazione su cui si basa WordPress: se il tuo sito usa WordPress, il problema ti riguarda. Diversi siti sono stati messi offline per installare la patch o prepararne l'installazione, compresi alcuni siti governativi dell'Unione europea (UE).
Se metti offline il sito per applicare la patch, Google dà un'indicazione chiara. John Mueller consiglia di restituire il codice HTTP 503, anziché lasciare scadere le richieste o restituire errori 404 o 500. Il codice 503 comunica che il servizio è temporaneamente indisponibile: «Siamo chiusi, ripassa più tardi». Mueller ricorda anche che si può fare senza passare da PHP, modificando il DNS per indirizzare il traffico altrove o verso una CDN. È un dettaglio importante: se PHP non funziona, non può inviare quel messaggio. La guida di Google riserva il 503 alle chiusure d'emergenza di 1-2 giorni, al massimo qualche giorno, e precisa che robots.txt non deve mai restituire un 503. Anche Search Engine Journal ha ribadito la raccomandazione.
Le posizioni continuano a oscillare
I risultati di ricerca sono instabili ormai da un mese. Il nostro indicatore di volatilità resta su livelli medio-alti da fine settembre e sta tornando a salire. La prima rilevazione di oggi è 7,7, ma sono arrivati i dati di appena 5 fornitori su 12, con forti divergenze: Serpstat e Wincher segnano 10/10, SimilarWeb si ferma a 3,2. Barry Schwartz di Search Engine Roundtable ha segnalato un aumento delle discussioni tra il 20 e il 21 ottobre e ritiene che sia in corso un aggiornamento di Google non confermato. Alcuni gestori di siti hanno visto migliorare le posizioni, ma con il 60-70% di clic in meno rispetto al solito. Di solito, una situazione del genere suggerisce che le AI Overviews rispondano alla domanda prima ancora che qualcuno faccia clic.
Prendi con cautela i dati degli strumenti di monitoraggio. Secondo Nozzle, una parte dei risultati che Google invia ai servizi di monitoraggio delle posizioni è completa ma errata. La quota ha toccato un picco del 25% e dal 1° ottobre si attesta ogni giorno tra il 5 e l'11%.
Cosa fare
- Chiedi oggi stesso al tuo fornitore di hosting se sul server è installata una versione di PHP con la patch.
- Restituisci un 503, non una pagina di errore, se metti offline il sito.
- Dai più peso ai clic di Search Console che ai dati degli strumenti esterni di monitoraggio delle posizioni, questa settimana.
