Firmare il preventivo di un nuovo sito è una decisione che pesa per anni: il sito è la vetrina, il biglietto da visita e spesso il primo canale di contatto con i clienti. Eppure molte aziende scelgono guardando soprattutto il prezzo e le immagini del portfolio, e scoprono solo dopo che mancano cose essenziali: la proprietà del dominio, un'informativa corretta, un backup funzionante, una via d'uscita dal contratto.
Questa guida raccoglie dieci domande da porre a qualsiasi fornitore prima di firmare. Per ciascuna trovate perché conta, come suona una buona risposta e quali sono i segnali d'allarme. Non servono competenze tecniche: servono domande precise e la pazienza di pretendere risposte altrettanto precise. Per un inquadramento più ampio sul tema competenze e normativa, leggete anche l'articolo Agenzie web, CMS e AI senza competenze normative: come scegliere il fornitore.
Proprietà e dipendenza dal fornitore
1. Di chi sono il sito, i dati, il dominio, il codice e le credenziali?
Perché conta. Se il dominio è intestato all'agenzia, o l'hosting è su un account che non controllate, cambiare fornitore diventa un negoziato. Il titolare del sito e dei dati degli utenti, ai fini del GDPR, è di norma l'azienda committente: deve poter accedere a tutto.
Una buona risposta. Dominio intestato a voi, accesso amministrativo all'hosting, repository o archivio del codice consegnato, elenco scritto di licenze e componenti di terze parti, esportazione dei contenuti e del database a richiesta.
Segnali d'allarme. «Gestiamo tutto noi, non serve che abbiate gli accessi»; dominio registrato a nome dell'agenzia; codice o tema proprietario non cedibile; assenza di un documento che elenchi cosa vi spetta alla fine del rapporto.
2. Chi si occupa di privacy, cookie e informative, e come documenta il consenso?
Perché conta. Cookie e strumenti di tracciamento sono regolati dall'art. 122 del D.Lgs. 196/2003 e dalle Linee guida cookie del Garante del 10 giugno 2021; le informative dall'art. 13 del GDPR. Un banner decorativo che non blocca nulla prima del consenso non è un banner valido: ne parliamo in Cookie banner non valido: come riconoscerlo.
Una buona risposta. Il fornitore sa dire quali cookie e script il sito usa davvero, blocca quelli non tecnici fino al consenso, conserva una traccia delle scelte e vi indica chi redige le informative (che restano una responsabilità vostra, da far verificare). Può usare il generatore di privacy e cookie policy come base di partenza, purché poi si controlli il risultato.
Segnali d'allarme. «Il banner lo mettiamo noi, è un plugin»; nessuna lista dei servizi di terze parti; informative copiate da altri siti; risposte evasive sul consenso.
3. Il vostro sito, e quello dei clienti in portfolio, sono a norma?
Perché conta. Un fornitore che non cura il proprio sito difficilmente curerà il vostro. È la verifica più rapida e più rivelatrice. Passate l'indirizzo dell'agenzia e quello di due o tre clienti del portfolio nel Site Check: in pochi secondi emergono cookie, dati societari, SEO, prestazioni e CMS utilizzato.
Una buona risposta. Un sito pulito, con dati societari completi e cookie gestiti. Anche un fornitore onesto che ammette «sul nostro sito c'è una lacuna e la stiamo correggendo» merita ascolto.
Segnali d'allarme. Dati societari assenti (ricordiamo l'art. 2250 c.c. per le società di capitali), cookie di tracciamento caricati subito, pagine lentissime sul telefono.
Tecnologia, manutenzione e sicurezza
4. Quale tecnologia userete e perché? Chi fa gli aggiornamenti, e con che frequenza?
Perché conta. Un CMS e un sito su misura hanno costi, rischi e vincoli diversi (ne parliamo nell'articolo Sito su misura o CMS). La scelta giusta dipende dal vostro progetto, non dall'abitudine del fornitore.
Una buona risposta. Una motivazione legata alle vostre esigenze, con pro e contro dichiarati, e un calendario degli aggiornamenti (sistema, componenti, versione di PHP) con un responsabile indicato per nome.
Segnali d'allarme. «Facciamo tutto con lo stesso strumento»; nessuna risposta su chi aggiorna; componenti a pagamento da rinnovare ogni anno non menzionati nel preventivo.
5. Cosa comprende il canone di manutenzione? Con quali tempi di intervento? E backup e sicurezza?
Perché conta. «Manutenzione» può voler dire tutto o niente. L'art. 32 del GDPR richiede misure di sicurezza adeguate, e un sito fermo o compromesso è un danno concreto. Il costo nel tempo è spesso il vero confronto tra due offerte, come spieghiamo in Il costo reale di un sito WordPress dopo cinque anni.
Una buona risposta. Un elenco scritto di cosa è incluso, tempi di risposta e di risoluzione (SLA) per urgenze e richieste ordinarie, backup automatici con frequenza dichiarata e conservati fuori dal server principale, e soprattutto una prova di ripristino periodica: un backup mai provato è solo una speranza.
Segnali d'allarme. Canone senza dettaglio; nessun SLA; backup «sullo stesso server»; nessuna procedura se il sito viene compromesso (compresa la comunicazione di un'eventuale violazione di dati, artt. 33 e 34 GDPR).
Visibilità, prestazioni e accessibilità
6. Quali basi SEO sono incluse?
Perché conta. Un sito nuovo che perde il posizionamento del vecchio è un danno silenzioso. Il lavoro tecnico di base è parte della consegna, non un extra.
Una buona risposta. Struttura dei titoli corretta, tag title e description per pagina, sitemap, file robots, e in caso di rifacimento una mappa dei redirect 301 dai vecchi indirizzi ai nuovi.
Segnali d'allarme. «La SEO si fa dopo»; nessun piano di redirect; pagine senza titolo; indirizzi cambiati senza spiegazione.
7. Quali prestazioni garantite? Come testate su mobile?
Perché conta. La maggior parte dei visitatori arriva da telefono. Le metriche Core Web Vitals misurano velocità percepita, stabilità del layout e reattività: se ne parla in Sito veloce, più clienti.
Una buona risposta. Obiettivi misurabili concordati prima, test su dispositivi reali e su connessione lenta, immagini ottimizzate, pochi script esterni. Potete verificare voi stessi con il Site Check.
Segnali d'allarme. Solo screenshot del sito sul computer dell'agenzia; pagine pesanti piene di animazioni; nessun numero, solo aggettivi.
8. Il sito sarà accessibile?
Perché conta. L'European Accessibility Act (direttiva UE 2019/882, recepita con il D.Lgs. 82/2022) è applicabile dal 28 giugno 2025 per diversi servizi digitali, tra cui l'e-commerce rivolto ai consumatori. Anche dove non è obbligatorio, un sito leggibile da tutti è un sito che converte meglio.
Una buona risposta. Contrasti adeguati, navigazione da tastiera, testi alternativi per le immagini, form con etichette chiare, e una verifica documentata prima della consegna.
Segnali d'allarme. «L'accessibilità è un optional»; plugin «miracolosi» che promettono la conformità con un clic.
Intelligenza artificiale, referenze e contratto
9. Usate l'intelligenza artificiale? Chi verifica ciò che produce?
Perché conta. L'IA può accelerare testi e codice, ma può anche introdurre errori, contenuti non originali o riferimenti normativi inventati. Il tema è approfondito in Intelligenza artificiale e creazione di siti web: cosa verificare.
Una buona risposta. Dichiarazione trasparente di dove e come viene usata, revisione umana qualificata, nessun dato aziendale riservato inserito in strumenti non controllati, responsabilità finale in capo al fornitore.
Segnali d'allarme. «Fa tutto l'IA, per questo costa poco»; nessun controllo sui contenuti; testi identici ad altri siti.
10. Che referenze verificabili avete? E cosa dice il contratto su fine rapporto, penali e responsabilità?
Perché conta. Una referenza si controlla: telefonate, visita del sito, verifica dei risultati. Il contratto stabilisce cosa succede quando le cose non vanno. In caso di sanzione, il GDPR (art. 83) prevede importi che possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni del par. 4, e a 20 milioni o al 4% per quelle del par. 5: chi risponde, e in che misura, va scritto prima.
Una buona risposta. Referenze con nome e contatto disponibili, contratto con consegna di accessi e codice a fine rapporto, preavviso ragionevole, ruoli privacy chiari (se il fornitore tratta dati per vostro conto serve la nomina a responsabile del trattamento, art. 28 GDPR), clausole di responsabilità proporzionate.
Segnali d'allarme. Rinnovi taciti con penali sproporzionate, clausole che escludono ogni responsabilità, referenze solo «sotto riserva di riservatezza», pagamenti anticipati per intero.
Il riepilogo a semaforo
| Tema | Verde: risposta solida | Rosso: segnale d'allarme |
|---|---|---|
| Proprietà | Dominio e accessi intestati a voi | Dominio dell'agenzia, codice non cedibile |
| Privacy e cookie | Blocco preventivo e traccia del consenso | Banner solo estetico |
| Sito del fornitore | Pulito al Site Check | Dati mancanti, cookie subito attivi |
| Tecnologia | Scelta motivata, aggiornamenti pianificati | Stesso strumento per tutti |
| Manutenzione | Elenco scritto, SLA, ripristino provato | Canone generico, backup sullo stesso server |
| SEO | Redirect 301, sitemap, tag | «La SEO viene dopo» |
| Prestazioni | Obiettivi misurati su mobile | Solo aggettivi |
| Accessibilità | Verifica documentata | Plugin miracoloso |
| Intelligenza artificiale | Uso dichiarato, revisione umana | Nessun controllo |
| Contratto | Uscita chiara, referenze verificabili | Rinnovi taciti, nessuna responsabilità |
Checklist prima di firmare
- Ho chiesto per iscritto l'intestazione di dominio, hosting e codice.
- Ho passato il sito dell'agenzia e di due clienti nel Site Check.
- Ho il dettaglio scritto del canone di manutenzione e dello SLA.
- So quando è stato provato l'ultimo ripristino da backup.
- Ho visto il piano di redirect e le basi SEO incluse.
- Ho obiettivi di prestazioni misurabili anche su mobile.
- Ho chiesto come vengono gestiti accessibilità e uso dell'IA.
- Ho letto le clausole su fine rapporto, penali e responsabilità.
Cominciate dal sito del fornitore
Il consiglio più semplice è anche il più efficace: prima di leggere il preventivo, analizzate il sito dell'agenzia con il Site Check, poi usate il confronto tra due siti per mettere a fianco quello di un secondo candidato. Un'ora di verifiche costa poco rispetto a un contratto pluriennale. Se volete un parere indipendente sul preventivo che avete in mano, contattaci: ne parliamo senza impegno.
Le informazioni di questo articolo hanno finalità divulgativa e non costituiscono consulenza legale: riferimenti normativi e importi vanno verificati con un professionista in relazione al caso specifico.