1 · Cache di JavaScript e immagini + HSTS. Da cPanel → Gestione file, apri il file .htaccess nella cartella principale del sito e incolla in fondo:

# Cache lunga per risorse statiche
<IfModule mod_expires.c>
ExpiresActive On
ExpiresByType application/javascript "access plus 1 month"
ExpiresByType text/javascript "access plus 1 month"
ExpiresByType text/css "access plus 1 month"
ExpiresByType image/webp "access plus 6 months"
ExpiresByType image/jpeg "access plus 6 months"
ExpiresByType image/png "access plus 6 months"
ExpiresByType image/svg+xml "access plus 6 months"
ExpiresByType font/woff2 "access plus 1 year"
</IfModule>
# Connessioni sempre sicure (HSTS)
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

2 · Tutto il traffico su HTTPS. Se una sola richiesta arriva ancora in http:// il sito risulta "a contenuto misto". In cima al file .htaccess, subito dopo RewriteEngine On:

RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Poi da WordPress → Impostazioni → Generali verifica che Indirizzo WordPress e Indirizzo sito inizino entrambi con https://. Il gestionale, dal canto suo, chiede già al browser di promuovere automaticamente a HTTPS ogni risorsa caricata in chiaro sulle sue pagine.

3 · Compressione GZIP (il guadagno maggiore su CSS e JavaScript: riduce i file del 70-80%). Sempre in .htaccess:

<IfModule mod_deflate.c>
AddOutputFilterByType DEFLATE text/html text/plain text/xml text/css
AddOutputFilterByType DEFLATE application/javascript text/javascript
AddOutputFilterByType DEFLATE application/json image/svg+xml
</IfModule>

4 · CDN. Per servire immagini, CSS e JavaScript da server vicini al visitatore: il modo più semplice è attivare Cloudflare (piano gratuito) puntando i DNS del dominio; in alternativa cPanel offre spesso una CDN integrata. Vantaggio aggiuntivo: cache globale e protezione dagli attacchi.

5 · Verifica i risultati con GTmetrix o PageSpeed Insights, scegliendo il test da dispositivo mobile. Sul fronte AMP: non serve più. Google ha rimosso il requisito AMP dal 2021 e oggi premia i Core Web Vitals, che questo gestionale rispetta già (le pagine sono leggere e senza scatti di layout).

6 · Record SPF per le email. Da cPanel → Zone Editor, aggiungi un record TXT sul dominio con valore: v=spf1 +a +mx include:_spf.feudo.it ~all (o quello suggerito da cPanel → Email Deliverability, che è la via più semplice).

7 · Richieste e script del tema. La maggior parte dei 38 file JavaScript viene dal tema e dagli altri plugin: da WordPress → Plugin disattiva quelli non usati sulla vetrina, e se usi Google Tag Manager valuta il caricamento ritardato. L'elemento più lento della pagina (LCP) è la barra del tema, non il gestionale.