Sotto al cofano

Sono trent'anni che progetto sistemi di distribuzione, e venti che lo faccio nell'automotive. Quello che ho scoperto otto maggio scorso, in un'ora di lavoro al terminale, vale la pena di essere raccontato.

Negli ultimi mesi, in AZURE Srl, abbiamo sviluppato DealerMAX, una piattaforma SaaS B2B per concessionari italiani indipendenti. È stato un lavoro denso — fondazioni infrastrutturali, modulo per modulo, decine di rilasci. A fine ciclo, prima di buttarmi sul prossimo, mi sono fatto la domanda di sempre, quella che è anche un dovere quando costruisci qualcosa che vendi: dove il sistema deve migliorare? Cosa posso ancora imparare? Per colmare i buchi, cosa posso fare di meglio che guardare i big?

Non parlo di «guardare» come faresti tu davanti a un sito, da utente. Parlo di guardare sotto al cofano. Quando metti un'infrastruttura tecnologica sul mercato, la cortesia che ti devi è ipotizzare che chi è arrivato prima di te abbia capito qualcosa che tu non hai capito ancora. Forse il loro stack ha scelte architetturali che spiegano perché loro hanno migliaia di clienti e tu, che sei arrivato dopo, ne hai qualche decina.

Ho passato quel mattino prendendo appunti, scelta architetturale per scelta architetturale.

Quello che ho imparato l'ho messo per iscritto qui.

Lo strumento

Lo strumento che ho usato si chiama curl. Esiste dal 1996, è gratuito, è installato di default su ogni Mac e su ogni macchina Linux; su Windows si scarica in trenta secondi. Quando digiti curl -I seguito da un dominio, il programma chiede al server una cosa sola: dimmi solo le intestazioni della tua risposta, niente contenuto. Si presenta alla porta del sito e domanda chi è.

Fra le intestazioni che il server rimanda c'è una riga che si chiama Server. Quel valore lo sceglie chi configura il sito. È pubblico per definizione: il sito stesso lo dichiara a chiunque lo interroghi. Si scrive in zero secondi, si legge in zero secondi, e racconta quasi tutto quello che bisogna sapere su cosa gira sotto.

Cinque shell aperte, cinque comandi curl -I, cinque risposte: i principali impianti che servono i concessionari italiani indipendenti. Quattro generazioni tecnologiche diverse, lette dall'esterno in pochi minuti. Ho letto le risposte e sono ancora qui che ci penso.

L'impianto distribuito centralmente

Ho preso un sito del comparto e ho lanciato il comando. Quando il terminale ha restituito la risposta, ho aperto il sorgente HTML nel browser per leggere l'architettura.

Generator: "Elementor 3.34.4"

Elementor è il page builder visuale per WordPress: lo strumento drag-and-drop che compone pagine senza scrivere codice. Nel sorgente, la stringa wp-content — la cartella standard di ogni installazione WordPress — compariva centonovantuno volte: sotto gira un impianto WordPress con un tema distribuito centralmente.

Mi sono chiesto se fosse un caso isolato. Sono andato a confrontarlo con altri siti serviti dallo stesso impianto. Su un secondo dominio, il Generator riportava parola per parola la stessa stringa: Elementor 3.34.4, stessa identica versione. Su un terzo — un dealer strutturato, multi-brand, multi-provincia, quindi un profilo di cliente completamente diverso — di nuovo Elementor 3.34.4, e la stringa di configurazione del builder (features: additional_custom_breakpoints; settings: css_print_method-external, google_font-enabled, font_display-auto) era identica al carattere. Tre installazioni indipendenti non condividono la stessa identica configurazione del page builder, se non perché sono lo stesso prodotto distribuito centralmente.

Non era un cliente isolato: era l'impostazione di prodotto. Una piattaforma standard distribuita centralmente è una scelta legittima e diffusissima — semplicemente, è bene saperlo.

A scanso di equivoci sul metodo, ho ricontrollato gli stessi URL con uno strumento commerciale di technology detection, quello usato da agenzie e venture capital per qualifiche tecniche su milioni di siti. Lettura coerente con un impianto della generazione precedente: WordPress, PHP, MySQL, Nginx. Sullo stesso strumento, DealerMAX restituisce un'altra cosa: Nuxt.js, Vue.js, Cloudflare, HTTP/3 + QUIC, PWA. Due fonti indipendenti — il mio curl e lo strumento terzo — convergono sulla stessa lettura.

Il runtime a fine vita

Su un piano del tutto separato dall'archetipo precedente, un singolo sito-dealer del comparto risponde alla richiesta curl -I con questo header, riportato letteralmente (l'header non dichiara quale fornitore ci sia dietro):

Server: Apache/2.4.54 (IUS) OpenSSL/1.0.2k-fips PHP/5.6.40

Tre informazioni. La più rilevante è la terza. PHP 5.6 è stato rilasciato ad agosto 2014. Il supporto attivo si è chiuso a gennaio 2017; la fase di sole patch di sicurezza si è chiusa il 31 dicembre 2018. Dal 1° gennaio 2019 la versione 5.6.x non riceve più alcun aggiornamento di sicurezza dal team ufficiale di PHP. Sono passati oltre sette anni. La fonte non è un'opinione: è la sezione Supported Versions di php.net, accessibile a chiunque.

Il logo del concessionario, dentro al path delle immagini, sta in /wp-content/uploads/sites/2535/2017/04/…png: WordPress multi-site, sito numero 2535, immagine caricata ad aprile 2017. Su questo specifico sito la verifica trova meta description vuota, zero security header, zero dati strutturati Schema.org e quel runtime PHP a fine vita. È la fotografia di una singola installazione, non un giudizio su un fornitore: nei parchi installati storici capita che singoli siti restino indietro rispetto alle versioni più recenti dell'impianto.

Il framework del 2002

Su un piano tecnico distinto, un singolo sito-dealer del comparto espone nei tag script una signature riconoscibile: ScriptResource.axd. Quel file, con quella sintassi, è tipico di un'applicazione ASP.NET WebForms — il framework che Microsoft ha rilasciato nel 2002 e per cui, dal 2016, indirizza i nuovi sviluppi verso ASP.NET Core. Tecnologia matura, tuttora supportata dalla retro-compatibilità di Windows Server e ancora largamente diffusa nei gestionali tradizionali.

Sullo stesso sito un controllo di pochi secondi rileva alcuni dettagli rifinibili. Il title della homepage è vuoto. Il viewport dichiara maximum-scale=1.0, user-scalable=0: impostazione che il criterio di accessibilità WCAG 1.4.4 (Resize Text) sconsiglia, perché impedisce all'utente di zoomare il contenuto su mobile. La sitemap.xml esiste, restituisce codice 200, ma contiene zero URL. I file di scoperta per agent AI — /llms.txt, /ai-plugin.json — rispondono 200, ma servono HTML al posto di TXT/JSON: il content-type è text/html, l'effetto tipico di un catch-all di routing che rinvia tutto alla homepage. Dettagli che da fuori paiono presenti e che un giro di rifinitura sistema.

Lo stack moderno che i crawler non vedono

L'ultimo è uno stack credibile per il 2026: SPA con bundler Vite-class, edge CloudFront, reverse proxy Caddy, AWS Elastic Load Balancer. Su un singolo sito campione del comparto, il prodotto si versiona esplicitamente: meta version="2.9.5". Su quel campione mancano HSTS, X-Frame-Options e gli altri security header. E i dati strutturati Schema.org non sono presenti nello shell HTML: quando una SPA li renderizza in JavaScript, i crawler non-JS — cioè ancora gran parte del web crawling commerciale — vedono zero. Sono i tipici dettagli di rifinitura su cui un impianto moderno cresce in fretta: un punto di partenza onesto.

Cosa significa, per i dealer

Ognuno dei fornitori che ho descritto offre un prodotto serio e una scelta tecnologica legittima. WordPress è un CMS legittimo, ASP.NET WebForms è un framework legittimo, una SPA su AWS è uno stack moderno, PHP con backporting privato è un'infrastruttura tecnicamente operabile — con qualche attenzione in più sul piano della compliance. La questione non è la serietà dei fornitori, che do per scontata. La questione è la distanza fra il linguaggio di marketing comune a tutto il settore e l'infrastruttura concreta, e quanto il dealer è in condizione di leggerla da sé.

La distanza tecnica fra i fornitori non è un dato accademico. Si traduce in tre conseguenze operative dirette per il dealer che paga il canone.

La prima è la sicurezza dei dati. Una piattaforma che gira su PHP 5.6.40 EOL gestisce, per il dealer, i moduli di richiesta informazioni dei clienti, il modulo di permuta, l'eventuale CRM lead. Quei moduli accettano dati personali. Ogni vulnerabilità di sicurezza scoperta nel runtime PHP dopo dicembre 2018 — e ce ne sono state, anche critiche — non riceve patch ufficiale. La copertura dipende interamente dalla volontà del fornitore di backportare manualmente la patch. Per il dealer questa è un'incognita non quantificata. Per la sua compliance al GDPR articolo 32 — sicurezza del trattamento — è un problema legale documentabile.

La seconda è la visibilità commerciale. Sui campioni esaminati, tre delle cinque piattaforme producono siti senza dati strutturati Schema.org: due non espongono blocchi JSON-LD; una terza, su base SPA, li renderizza solo lato client, e i crawler non-JS — gran parte del web crawling commerciale — vedono zero. Pubblicano veicoli che i motori di ricerca leggono come testo libero, non come oggetti commerciali. Con dati strutturati, il singolo annuncio veicolo può comparire nei risultati di Google con prezzo, chilometraggio, anno e immagine direttamente nello snippet. Senza, no. L'effetto sul click-through rate è documentato dalla letteratura SEO da quasi un decennio.

La terza riguarda i protocolli emergenti per gli agent AI, e qui mi serve onestà. Su llms.txt, ai-plugin.json, MCP server e allowlist LLM nel robots.txt, l'adozione globale è ferma intorno al 10%, non esistono studi pubblicati che documentino lift commerciali per chi li implementa, e Google continua a privilegiare i segnali SEO tradizionali. È letteralmente una scommessa sul prossimo biennio: se la ricerca conversazionale dentro ChatGPT, Claude, Gemini e Perplexity continuerà a guadagnare quota, questi protocolli passeranno da curiosità a infrastruttura standard. Se non la guadagnerà, resteranno una nicchia. Penalizzare oggi una piattaforma per non averli sarebbe scorretto verso chi è arrivato prima della sperimentazione. È un'osservazione, non una pagella.

Su una sola dimensione AI, invece, la scadenza è già nel calendario: l'AI Act (Regolamento UE 2024/1689) applica dal 2 agosto 2026 gli obblighi di trasparenza dell'articolo 50 — la stessa data in cui i regolatori ottengono i poteri sanzionatori. Una sotto-parte ha avuto una proroga: l'accordo provvisorio sul Digital Omnibus del 7 maggio 2026, non ancora adottato formalmente, sposta al 2 dicembre 2026 l'obbligo di marcatura machine-readable dei contenuti sintetici — l'articolo 50(2), quello che riguarda direttamente testi e immagini AI-generated — limitatamente ai sistemi già sul mercato prima del 2 agosto. Il Regolamento è tecnologicamente neutro e non nomina alcuno standard; il Codice di Condotta della Commissione sulla trasparenza cita però esplicitamente il C2PA Content Credentials come esempio di marcatura conforme. Per un dealer: due date, entrambe nel 2026, direzione ormai fissata. Chi pubblica contenuti AI-generated senza una marcatura conforme arriverà scoperto; chi ha già la provenance firmata è coperto a prescindere da quale data lo riguardi. È un fatto, non un'opinione, e ha già un calendario.

E adesso

Sono tornato dal terminale a fine mattinata con una risposta molto diversa da quella che mi aspettavo.

L'idea era stata semplice: forse i big sanno qualcosa che io non vedo. Forse la nostra piattaforma, ancora giovane, ha buchi che chi è qui da vent'anni ha imparato a chiudere meglio. Forse i loro migliaia di clienti contro le mie qualche decina indicano che hanno capito qualcosa di fondamentale. Era una posizione di umiltà, e l'avevo presa sul serio.

Quello che ho trovato è più semplice e meno drammatico: scelte architetturali diverse dalle mie, ciascuna con la sua storia. Page builder visuali maturi, runtime e framework di generazioni precedenti, siti che un giro di rifinitura migliorerebbe. Niente di sbagliato in sé — è la fisiologia di un'industria con parchi installati lunghi, dove la distanza fra il linguaggio di marketing e l'infrastruttura concreta è oggi semplicemente più leggibile, perché basta un comando di una riga da terminale per misurarla. Da concorrente, la mia risposta non poteva essere puntare il dito: doveva essere fare scelte diverse e renderle altrettanto verificabili.

Della quinta piattaforma di questa rassegna non ho parlato. È quella che abbiamo costruito noi. Su matareseautomobili.it — il sito che DealerMAX produce per un proprio cliente, un dealer milanese — chi è arrivato fin qui può fare la stessa cosa che ho fatto sui quattro fornitori sopra: aprire un terminale, digitare curl -I https://matareseautomobili.it, leggere quello che il server restituisce.

Le scadenze dell'articolo 50 dell'AI Act sono nel 2026: la trasparenza dal 2 agosto, la marcatura machine-readable dei contenuti sintetici con una proroga al 2 dicembre per i sistemi già in commercio, decisa dall'accordo Omnibus di maggio. Sono date, non opinioni. Quello che curl restituirà sono le decisioni infrastrutturali con cui ho pensato di rispondere alla domanda iniziale: cosa fare di meglio che guardare i big. La risposta che ho trovato quel mattino non era far finta di non averli guardati. Era costruire qualcosa che, sotto al cofano, fosse quello che il marketing dei big dice di essere.