Kinsta per WordPress: recensione dell’hosting gestito, prezzi e sicurezza

Kinsta: hosting WordPress gestito su Google Cloud, dietro Cloudflare

Kinsta vende una sola cosa per WordPress: hosting gestito di fascia alta, su Google Cloud e dietro Cloudflare. Questo articolo descrive nel dettaglio le sue offerte e i prezzi, lo stack tecnico, ciò che Kinsta gestisce in materia di sicurezza, i vincoli (plugin vietati, niente .htaccess, niente e-mail) e il modo di installare e proteggere un sito.

Per collocare Kinsta rispetto agli altri, consulta il nostro confronto degli hosting WordPress. Trasparenza: non abbiamo un account presso Kinsta e non abbiamo misurato nulla di persona; tutto proviene dalla documentazione e dalle pagine ufficiali di Kinsta. Nessun link è di affiliazione.

Kinsta in breve

• Società: Kinsta Inc., azienda statunitense (condizioni d’uso soggette al diritto del Delaware), fondata nel 2013.
• Attività: l’hosting WordPress gestito. L’hosting di applicazioni, database e siti statici è passato all’inizio del 2026 sotto un marchio distinto, Sevalla.
• Data center: 30 località a scelta su Google Cloud Platform, tra cui Parigi dal 2022, Londra, Francoforte e Saint-Ghislain (Belgio) in Europa.
• Rete: tutto il traffico passa dall’integrazione con Cloudflare; l’indirizzo IP del sito è un indirizzo Cloudflare riservato ai clienti Kinsta.
• Dimensioni: Kinsta dichiara oltre 230.000 aziende clienti e le certificazioni SOC 2 Type II e ISO 27001.

Le offerte WordPress di Kinsta e i loro prezzi

Niente hosting condiviso di fascia base né VPS da amministrare: tutto è WordPress gestito, controllato dalla dashboard MyKinsta. Da ottobre 2025 ogni offerta esiste in due varianti allo stesso prezzo, fatturata in base alla banda (Single 20GB) o al numero di visite (Single 35k), dove una visita è un indirizzo IP unico nell’arco di 24 ore. Prezzi pubblici, promozioni escluse, tasse escluse, in dollari statunitensi; la fatturazione annuale regala due mesi, e il primo mese gratuito di alcune offerte è una promozione.

Offerta	Tipo	Prezzo di partenza	Siti	Spazio	Limiti principali
Single (da Single 20GB a Single 750k)	WordPress gestito, sito singolo	35 $ al mese tasse escluse (30 $ al mese con l’annuale, 350 $ all’anno)	1	Da 10 a 15 GB	20 GB di banda o 35.000 visite al mese, 125 GB di CDN, backup 14 giorni, niente multisito nel piano base
Da WP 2 a WP 40	WordPress gestito, più siti	70 $ al mese tasse escluse (59 $ con l’annuale)	Da 2 a 40	Da 20 a 60 GB	Da 40 a 500 GB di banda o da 70.000 a 750.000 visite, backup da 14 a 20 giorni
Agenzia	Gestito, portafoglio di siti	A partire da 340 $ al mese tasse escluse	Secondo contratto	Secondo contratto	Account manager
Enterprise	Gestito, siti critici	A partire da 500 $ al mese tasse escluse	Secondo contratto	Secondo contratto	Backup 30 giorni, account manager
Server virtuale dedicato	Opzione delle offerte WordPress	A partire da 300 $ al mese	I tuoi siti	Secondo la configurazione	Per siti esigenti e ad alto traffico

Le opzioni si pagano a parte: backup ogni 6 ore (20 $ per sito al mese) o ogni ora (100 $), backup esterni, cache Redis (100 $ per sito al mese), memoria PHP aggiuntiva (10 $ ogni 500 MB), aggiornamenti automatici dei plugin (da 3 $ per sito al mese). Oltre le quote il sito resta online, ma l’eccedenza viene fatturata. Kinsta non offre hosting e-mail.

Stack tecnico, strumenti e supporto

Ogni sito gira nel proprio container Linux (Nginx, PHP, MariaDB) su una macchina virtuale Google Cloud, con di default 12 processori e 8 GB di memoria per un sito online. Il database si trova nello stesso container: Kinsta precisa di non offrire un’alta disponibilità distribuita su più istanze.

Elemento	Su Kinsta
Server web	Nginx (nessun file .htaccess)
PHP	Dalla 7.4 alla 8.5 (8.5 da marzo 2026; 7.4 e 8.0 mantenute da Kinsta dopo la fine del loro ciclo di vita)
Database	MariaDB 11.4 o superiore
Protocolli	HTTP/2, TLS 1.3, CDN in HTTP/3
Cache	Cache delle pagine lato server, cache sull’edge (Edge Caching) presso Cloudflare, CDN, Redis come opzione
Concorrenza PHP	«Thread» PHP (ex PHP worker) e memoria regolabili in MyKinsta
Accesso	SFTP, SSH su tutte le offerte, WP-CLI, client Git, Composer; nessun accesso root
Staging	Uno gratuito per sito, fino a 5 «Premium» come opzione
Supporto	Chat 24 ore su 24, 7 giorni su 7, in 8 lingue; sito, documentazione e MyKinsta in francese

La cache è gestita da Kinsta a livello di server (scadenza di 24 ore di default), copiata nei data center di Cloudflare dall’Edge Caching e completata dal CDN per i file statici. Si svuota in MyKinsta (scheda Caching), dalla barra di amministrazione grazie al plugin «Kinsta MU» installato d’ufficio, oppure con wp kinsta cache purge. Le pagine del carrello e del checkout di WooCommerce sono escluse di default; per altre pagine dinamiche, come una pagina di login, è il supporto ad aggiungere la regola di esclusione.

Sicurezza su Kinsta

• Firewall e DDoS: un firewall applicativo (WAF) gestito, con regole aggiornate da Kinsta, e la protezione DDoS di Cloudflare sui livelli 3, 4 e 7. Solo le porte 80 e 443 sono aperte al traffico web.
• Forza bruta e XML-RPC: Kinsta rileva gli attacchi di forza bruta su /wp-login.php e ne blocca gli autori su tutta la sua infrastruttura; dei limiti di frequenza proteggono gli indirizzi di WordPress più presi di mira. L’accesso a xmlrpc.php è disattivato di default, il supporto lo riapre se un servizio come Zapier ne ha bisogno.
• Indirizzi e bot: lo strumento IP Deny blocca indirizzi o intervalli presso Cloudflare, prima del server. Da maggio 2026 una protezione dai bot (in beta) offre quattro livelli, una gestione dei bot di IA ed eccezioni.
• Isolamento: un container per sito, non condiviso nemmeno tra i tuoi siti.
• Malware: pulizia gratuita in caso di attacco riuscito («hack-fix guarantee»), salvo se usi un plugin piratato («nulled»); pulizia gratuita anche di un sito infetto al momento della migrazione.
• Backup: giornalieri, conservati 14 giorni sulle offerte più piccole (30 giorni su Enterprise), più 5 manuali e backup di sistema prima di ogni ripristino o pubblicazione dello staging. Sono conservati sulla stessa macchina del sito.
• HTTPS: certificati Cloudflare gratuiti, anche wildcard, rinnovati automaticamente.
• Account MyKinsta: autenticazione a due fattori obbligatoria (codice via e-mail o app), blocco temporaneo dopo ripetuti tentativi falliti da luglio 2025, single sign-on SAML.
• Aggiornamenti: quelli di plugin e temi possono essere automatizzati con confronto visivo e ripristino, come opzione a pagamento. Il resto è a tuo carico.

Incidenti: per quanto ne sappiamo, non abbiamo trovato alcuna fuga di dati dei clienti documentata pubblicamente. La pagina di stato ufficiale pubblica interruzioni localizzate, per esempio nel data center di Amsterdam a giugno 2026 e in quello di Londra a gennaio e giugno 2026.

Per approfondire: il nostro confronto dei firewall applicativi per WordPress e la nostra guida per rendere più sicuro PHP sull’hosting.

Punti di forza e punti deboli di Kinsta

Punti di forza	Punti deboli
Cloudflare integrato d’ufficio: WAF, DDoS, cache sull’edge, certificati	Prezzo elevato: 35 $ al mese tasse escluse per un solo sito, senza e-mail
Un container isolato per sito, data center a scelta (tra cui Parigi)	Niente .htaccess né accesso alla configurazione di Nginx: ogni regola passa dal supporto
Pulizia gratuita in caso di attacco	Plugin di cache, di backup e alcune ottimizzazioni vietati
Autenticazione a due fattori obbligatoria su MyKinsta	Backup sulla stessa macchina; copia esterna e frequenza maggiore a pagamento
Supporto 24 ore su 24 in 8 lingue, SSH, WP-CLI e staging inclusi	Quote di visite o di banda, con costi di eccedenza
PHP dalla 7.4 alla 8.5	Nessuna alta disponibilità; aggiornamenti automatici dei plugin a pagamento

Kinsta fa pagare caro ciò che toglie al proprietario del sito (gestione della cache, configurazione del server), ma il livello di rete e l’infrastruttura sono nettamente più curati di un hosting condiviso classico. A parità di budget, l’hosting WordPress di Hostinger offre molti più siti e l’e-mail, su un’infrastruttura condivisa.

Per chi è adatto?

• Adatto: negozio WooCommerce o sito il cui fatturato dipende dalla disponibilità, agenzia che gestisce siti di clienti con ambienti di staging e accessi per ruolo, azienda disposta ad affidare cache e rete al provider.
• Poco adatto: blog personale o piccolo sito vetrina con budget limitato, progetto che vuole l’e-mail inclusa, sviluppatore che vuole un accesso root o regole lato server in autonomia.

Per un hosting europeo con e-mail, confrontalo con le offerte WordPress di Infomaniak; per un provider statunitense più classico, vedi l’hosting WordPress di DreamHost e la sua offerta DreamPress.

Primi passi: installare e proteggere WordPress su Kinsta

1. Creare il sito in MyKinsta («Aggiungi sito»): installazione di WordPress, migrazione gratuita o clonazione. Scegli il data center più vicino ai tuoi visitatori (per esempio Parigi per un pubblico francese); uno spostamento successivo passa dal supporto.
2. Passare l’autenticazione a due fattori di MyKinsta su un’app (Impostazioni utente) anziché l’e-mail, e dare a ogni collaboratore un accesso personale.
3. Scegliere la versione di PHP: scheda Strumenti, «Impostazioni PHP». Preferisci una versione supportata dal progetto PHP e prova prima in staging.
4. HTTPS: aggiungi e verifica il tuo dominio, il certificato viene emesso automaticamente; controlla che l’indirizzo del sito in Impostazioni > Generali inizi con https.
5. Backup: quelli giornalieri sono automatici (scheda Backup, ripristino con un clic). Aggiungi una copia fuori da Kinsta (opzione esterna o plugin incrementale consentito), secondo la regola dei backup 3-2-1.
6. Staging prima di ogni aggiornamento importante: vedi la nostra guida all’ambiente di staging WordPress.
7. XML-RPC è già chiuso: chiedine la riapertura solo se un servizio lo richiede (vedi perché disattivare XML-RPC).
8. Autenticazione a due fattori in WordPress per gli amministratori: la nostra guida all’autenticazione a due fattori su WordPress confronta i metodi.
9. Aggiornamenti: attiva quelli di WordPress e, senza l’opzione di Kinsta, quelli dei plugin affidabili (vedi gli aggiornamenti automatici). Prima di installare un plugin di cache o di backup, consulta l’elenco dei plugin vietati: la loro installazione è bloccata.

WP Masquerade su Kinsta

Masquerade Security e WP Masquerade Pro non compaiono nell’elenco dei plugin vietati da Kinsta. Per i plugin di sicurezza, Kinsta non vieta la categoria ma avverte che la sua integrazione con Cloudflare può disturbare alcune funzioni, come il blocco degli indirizzi IP. Ecco i punti specifici di Kinsta, in base al funzionamento di WP Masquerade e secondo la documentazione di Kinsta.

• Nginx, quindi niente .htaccess: il file che il plugin crea nella sua cartella resta senza effetto. Perché le sue cartelle rispondano 404, chiedi al supporto di aggiungere questa riga alla configurazione di Nginx: location ~ ^/wp-content/plugins/cms-masquerade(-pro)?/(?!assets/) { return 404; }
• Alias degli indirizzi di Pro: scegli il tipo di server Nginx, il plugin genera il blocco esatto da inviare al supporto. Kinsta aggiunge le regole ma non converte il .htaccess: invia la versione Nginx, poi fai clic su «Verifica e attiva». Tutto il resto, compresa tutta la versione gratuita, funziona senza regole lato server.
• Cache: WP Masquerade non svuota la cache di Kinsta. Dopo aver attivato il mascheramento, svuota cache del server, cache sull’edge e CDN (MyKinsta o Kinsta MU), e chiedi al supporto di escludere il tuo nuovo indirizzo di login dalla cache del server e dall’Edge Caching prima di provarlo.
• Indirizzo reale dei visitatori: Cloudflare è sempre davanti al sito. Pro legge l’header CF-Connecting-IP solo se la connessione proviene dagli intervalli ufficiali di Cloudflare. La documentazione di Kinsta consultata non dice in che forma l’indirizzo del visitatore arrivi a PHP: guarda la diagnostica del plugin e chiedi al supporto; se il server lo ripristina già, imposta l’opzione su Disattivato. Il nostro articolo su Cloudflare davanti a WordPress spiega la questione.
• Doppioni: Kinsta chiude già XML-RPC (il blocco del plugin è un doppione senza conflitto) e protegge wp-login.php. Una volta spostato il login, wp-login.php risponde 404 e il nuovo indirizzo è coperto dalla limitazione dei login e dall’autenticazione a due fattori di Pro. Tieni una sola autenticazione a due fattori in WordPress.

La pagina sulla compatibilità di WP Masquerade con hosting e cache descrive questi casi, e le pagine pagina di login, indirizzi dei file e Cloudflare le relative impostazioni. Prova prima sull’ambiente di staging.

Cosa porta il plugin: una superficie di attacco visibile più piccola (WordPress nascosto, login spostato, cartelle dei plugin chiuse) e, con Pro, autenticazione a due fattori, limitazione dei login, header di sicurezza e avvisi. Cosa non fa: non è né un firewall, né un antivirus, né un backup, ruoli svolti qui da Cloudflare e da Kinsta.

La nostra opinione su Kinsta

Kinsta è un hosting WordPress di livello professionale: Cloudflare integrato, isolamento in container, pulizia garantita, autenticazione a due fattori obbligatoria e supporto continuo. Il prezzo, le quote, l’assenza di e-mail e la dipendenza dal supporto per ogni regola lato server lo riservano ai siti che generano entrate e alle agenzie; per un blog basta spesso un buon hosting condiviso. Trova Kinsta a confronto con gli altri nella nostra classifica degli hosting web per WordPress, e scegli tra i migliori plugin di sicurezza per WordPress quelli consentiti da Kinsta.

Arrivate da un altro hosting? La nostra guida per migrare un sito WordPress su un nuovo hosting descrive il passaggio senza interruzioni, dal TTL al piano di ritorno.

Fonti

• Kinsta Docs: Infrastructure (13 gennaio 2026) (link esterno, si apre in una nuova scheda)
• Kinsta Docs: WordPress Backups (21 gennaio 2026) (link esterno, si apre in una nuova scheda)
• Kinsta Docs: SSH (link esterno, si apre in una nuova scheda)

Altre fonti consultate: pagine ufficiali del provider di hosting.