La visibilità organica non si compra. Si costruisce, e anche quello costa

Che cosa significa davvero „gratuito"

Le virgolette sono obbligatorie. Una posizione nei risultati non si paga a Google e non si paga a OpenAI: non esiste un listino, non esiste un’asta, non esiste un bottone. In quel senso preciso è gratuita, ed è una differenza enorme rispetto alla pubblicità, dove ogni clic ha un prezzo e il flusso si ferma nel momento in cui si smette di pagare.

Poi c’è il resto. Qualcuno deve scrivere. Qualcuno deve misurare, e gli strumenti che misurano bene costano. L’hosting che tiene una pagina sotto il secondo costa più di quello che non ci riesce. Le ore per riparare ciò che è rotto costano. E soprattutto costa il tempo: l’organico non produce risultati nel trimestre in cui parte.

Quindi la traduzione onesta di „traffico gratuito" è: traffico che paghi una volta, in lavoro, invece che ogni volta, in clic. È un investimento con un rendimento lento e un capitale che resta. Non è un risparmio immediato, ed è per questo che chi lo vende come tale finisce per deludere.

Va detta anche l’altra metà, perché la conclusione facile sarebbe „allora taglio la pubblicità e faccio organico". Con un nostro cliente, nel giugno 2026, abbiamo fatto l’esatto contrario. La domanda per i suoi servizi era calata parecchio, e la nostra proposta è stata di raddoppiare il budget di Google Ads invece di tagliarlo. Ha accettato sulla fiducia — non potevamo garantirgli niente, e non l’abbiamo fatto. Quello che è successo: ha percepito quasi subito una domanda più intensa di servizi e di acquisti, il traffico è raddoppiato e le vendite quasi altrettanto. Dal mese prossimo il budget sale di un altro 33% rispetto a quello attuale.

La parte che interessa qui è però un’altra, ed è il motivo per cui questa storia apre un articolo sull’organico: nei due o tre mesi dall’aumento, le sue recensioni su Google Business Profile sono quasi raddoppiate, e anche i clic e il traffico organico sono cresciuti. Per la parte organica non abbiamo pagato nulla. È arrivata perché più persone sono arrivate da lui, hanno comprato, sono tornate e hanno scritto. Pagato e non pagato non sono due secchi separati.

Un caso, non una regola. Non stiamo dicendo che qualunque azienda raddoppi il budget raddoppi le vendite — non lo sappiamo e non lo sa nessuno. Stiamo dicendo che il taglio riflesso non è automaticamente la decisione giusta, e che in un mercato dove tagliano tutti l’asta si svuota per chi non taglia.

C’è un secondo motivo, più recente, per cui l’argomento è tornato di attualità, e non ha a che fare con i budget. I risultati di ricerca non sono più soltanto un elenco di link. Sono sempre più spesso una risposta scritta da un sistema che ha letto delle pagine e le ha riassunte. Se quel sistema non riesce a leggere la tua pagina, non esisti nella risposta — e non lo vedrai da nessuna parte, perché non c’è un pannello che te lo dica.

Questo articolo è costruito attorno a quella verifica. Abbiamo misurato quanti siti reali di piccole imprese vengono effettivamente letti, e il risultato è stato peggiore di quanto ci aspettassimo.

Che cosa sono SEO e GEO, e da quando

Le due sigle ormai viaggiano insieme e vengono confuse spesso, anche dentro i preventivi. Vale la pena separarle, perché chiedono cose diverse.

SEO — ottimizzazione per i motori di ricerca — è il lavoro di rendere un sito facile da trovare, da leggere e da posizionare per un motore di ricerca, in modo che compaia nella pagina dei risultati quando qualcuno cerca ciò che offri. Il termine ha quasi trent’anni e la paternità è contesa: Bruce Clay Inc. lavora al posizionamento dei siti dal gennaio 1996 e rivendica sul proprio sito il merito di aver usato per primo l’espressione, ma non siamo riusciti ad aprire un solo documento datato del 1996 o 1997 che la contenga davvero. Altri nomi nella stessa disputa sono John Audette, Bob Heyman e Danny Sullivan. Google è nata nell’agosto 1998, dopo l’assegno da 100.000 dollari firmato da Andy Bechtolsheim.

GEO — ottimizzazione per i motori generativi — è il lavoro di rendere un sito facile da leggere, da capire e da citare per un sistema che risponde invece di elencare link. La sua origine è molto più precisa di quella della SEO: il lavoro accademico „GEO: Generative Engine Optimization" è stato depositato su arXiv il 16 novembre 2023 da sei autori di IIT Delhi e Princeton, ed è stato accettato alla conferenza KDD 2024. Gli autori hanno costruito un insieme di 10.000 interrogazioni e dichiarano un aumento di visibilità „fino al 40%" — con la loro precisazione esplicita che si tratta di un massimo e non di una media, e che la misura è fatta su due metriche definite da loro, non sul traffico reale.

Perché GEO è diventata una preoccupazione soltanto ora: perché le risposte generate sono passate da esperimento a comportamento predefinito. Google ha mostrato le prime capacità generative nella ricerca il 10 maggio 2023, come esperimento facoltativo in Search Labs. Il 14 maggio 2024 AI Overviews ha iniziato a essere distribuito a tutti negli Stati Uniti. Il 28 ottobre 2024 si è esteso a oltre 100 paesi, e il 20 maggio 2025 a oltre 200 paesi e più di 40 lingue. In parallelo, OpenAI ha lanciato la ricerca in ChatGPT il 31 ottobre 2024, l’ha aperta a tutti gli utenti autenticati il 16 dicembre 2024 e ha tolto del tutto la barriera dell’account il 5 febbraio 2025.

Che cosa sia successo ai clic dopo è oggetto di disputa, e merita di essere presentato come disputa e non come verità stabilita. Il Pew Research Center ha pubblicato il 22 luglio 2025 uno studio su 68.879 ricerche di 900 adulti statunitensi nel marzo 2025: gli utenti hanno cliccato su un risultato classico nell’8% delle visite con un riassunto generato, contro il 15% di quelle senza. Sulle fonti citate dentro il riassunto si è cliccato nell’1% delle visite. Ahrefs, che vende strumenti SEO e quindi ha un interesse commerciale nel risultato, ha misurato nell’aprile 2025 un CTR inferiore del 34,5% sulla prima posizione dove compare un AI Overview, e ha ripetuto lo studio nel febbraio 2026 con −58%.

Dall’altra parte, Liz Reid, a capo di Google Search, ha scritto il 6 agosto 2025 che „total organic click volume from Google Search to websites has been relatively stable year-over-year". Google non pubblica nessuna cifra, nessun denominatore e nessuna metodologia a sostegno, pur accusando gli studi di terzi di metodologia difettosa. Le due posizioni non si contraddicono del tutto: Google parla in aggregato, su tutto il web, e ammette che alcuni siti perdono e altri guadagnano. Questo non dice nulla sul tuo.

Che cosa abbiamo misurato, e con quale regola

Per non scrivere l’ennesimo articolo di impressioni, abbiamo definito un insieme con una regola, lo abbiamo misurato e pubblichiamo il risultato qualunque direzione abbia preso. La regola, perché chiunque possa ripeterla:

L’insieme: tutte le unità presenti su OpenStreetMap nella contea di Cluj, in Romania (relazione amministrativa 91733), su sette categorie — ristoranti; caffè, bar e fast food; hotel e motel; baite, pensioni e ostelli; studi dentistici; studi e cliniche mediche; studi legali — che avevano compilato sulla mappa un indirizzo di sito. Istantanea dell’11 settembre 2026.

Ne sono uscite 1.782 unità mappate, di cui 347 con un sito proprio e 15 con soltanto una pagina social al posto del sito. Dopo la deduplicazione per dominio sono rimasti 314 domini unici. Di questi, 231 hanno risposto; 80 non hanno risposto nemmeno al secondo tentativo, e 3 si sono ripresi al ritest.

Perché un insieme romeno in un articolo italiano: perché è la misurazione che possiamo fare e pubblicare senza toccare i dati di nessun cliente, e perché quello che trasferisce non sono le percentuali ma il meccanismo. I moduli di sicurezza degli hosting condivisi arrivano con le stesse impostazioni predefinite in tutti i mercati, e non c’è niente di romeno nel modo in cui bloccano. Le percentuali, invece, restano di quell’insieme.

Che cosa l’insieme non dimostra, scritto prima dei numeri: il fatto che un’unità non abbia un sito compilato su OpenStreetMap non significa che l’azienda non abbia un sito. Significa che nessuno l’ha scritto sulla mappa. È un campione di convenienza, non rappresentativo, e la sua unica garanzia è che non abbiamo scelto noi chi ne fa parte.

Letto dall’alto in basso, il grafico dice una cosa che vediamo ben oltre quel campione: ciò che si risolve da solo, si è risolto. HTTPS lo mette l’hosting. Il meta del mobile arriva dal tema. Quasi tutti li hanno, senza che nessuno abbia deciso niente.

Manca ciò che va scritto a mano. I dati strutturati di attività locale — il blocco che dice a una macchina, in un testo che non deve indovinare, come ti chiami, dove sei, a che ora apri e che tipo di attività sei — li hanno 17 siti su 231. Google per questi richiede esattamente due campi obbligatori, nome e indirizzo, e chiede di usare il sottotipo più specifico disponibile: non „LocalBusiness" generico, ma „Restaurant", „Dentist", „LegalService". Sette su cento ce l’hanno.

Un titolo h1 — la cosa più semplice di tutto il documento, la frase che dice che cos’è questa pagina — manca da 78 siti su 231. Un terzo. La meta description manca da 81. Non sono sottigliezze da specialisti: sono i campi che qualunque tema moderno compila nel momento in cui qualcuno ne scrive il testo.

Prima porta: qualcuno riesce a leggerti?

Prima di qualunque parola chiave, di qualunque testo e di qualunque link c’è una domanda meccanica: quando un programma arriva a leggere la tua pagina, riceve la pagina o una porta chiusa?

Abbiamo chiesto la homepage di ogni sito quattro volte, dallo stesso server, nello stesso giorno, nella stessa ora. Le richieste erano identiche. L’unica cosa cambiata è stato il nome con cui ci presentavamo — la stringa di user-agent.

Un semplice `curl` viene rifiutato da 19 siti su 228. Un Googlebot falso, da 15. Un ClaudeBot, da 79. Un GPTBot, da 97.

La spiegazione ovvia è che quei siti abbiano una difesa generica anti-robot e respingano tutto ciò che non è un browser. È esattamente per questo che abbiamo aggiunto i testimoni. Se fosse così, gli stessi siti rifiuterebbero anche `curl` e il Googlebot falso. Dei 97 che bloccano GPTBot, solo 13 lo fanno. Altri 83 lasciano passare il Googlebot falso e fermano soltanto GPTBot. Non è una difesa generica. È un elenco.

E adesso la parte scomoda. Di quei 97, solo 11 hanno scritto qualcosa sui bot AI in `robots.txt`. Gli altri 86 bloccano senza che il proprietario abbia scritto una riga. Che cosa riceve GPTBot al posto della pagina: 58 volte un 403, 19 volte un 429, 5 volte un 410, 3 volte un 406, e 11 volte la connessione cade. Solo 11 dei 97 stanno dietro Cloudflare, quindi il blocco non si può attribuire a lui. Arriva dai moduli di sicurezza che l’hosting ordinario installa per impostazione predefinita.

L’asimmetria indica più un’eredità che una decisione: 28 siti bloccano GPTBot ma lasciano passare ClaudeBot, e 10 fanno esattamente il contrario. Una politica pensata produrrebbe elenchi simili. Questi sono elenchi diversi perché arrivano da impostazioni predefinite diverse, scritte in momenti diversi.

Ma GPTBot non è il bot che ti porta dentro le risposte di ChatGPT. GPTBot raccoglie pagine per l’addestramento dei modelli. La ricerca dentro ChatGPT passa da un altro nome, `OAI-SearchBot`, con un altro elenco e un’altra decisione dietro. Un sito può rifiutare l’uno e lasciar passare l’altro. Non l’avevamo misurato, così abbiamo fatto un secondo giro lo stesso giorno, sugli stessi siti.

La sovrapposizione dice più delle percentuali. 68 siti rifiutano entrambi i bot di OpenAI, sia l’addestramento sia la ricerca. 26 rifiutano solo l’addestramento e lasciano passare la ricerca. 3 fanno esattamente il contrario, il che non aiuta nessuno.

Quei 26 sono gli unici dell’intero insieme che sembrano una posizione presa da qualcuno: non addestrare il modello sui miei testi, ma citami. È anche ciò che consigliamo quando qualcuno ce lo chiede. Gli altri 68 non separano niente.

Il secondo giro ha verificato anche il primo. Sui 224 siti comuni alle due esecuzioni, GPTBot è stato rifiutato 94 volte in ciascuna, con lo stesso verdetto sul 93,8% di essi. Le differenze sono siti caduti o tornati su tra un’esecuzione e l’altra, non una cifra che si muove.

Che cos’è robots.txt e che cosa non è

È un file di testo alla radice del dominio con cui chiedi ai programmi di passaggio di non leggere certe parti. La parola importante è „chiedi". Non è un controllo di accesso, è una convenzione. Cloudflare lo dice direttamente dei propri segnali di contenuto: „content signals express preferences; they are not technical countermeasures against scraping".

Chi la rispetta, secondo la documentazione di ciascun operatore, all’11 settembre 2026:

La linea di rottura non passa tra le aziende, come ci si aspetterebbe. Passa tra i crawler automatici, che rispettano le regole, e le richieste avviate da una persona, dove tre operatori su tre scrivono nella propria documentazione che le regole possono non applicarsi. Perplexity è il più esplicito: „Since a user requested the fetch, this fetcher generally ignores robots.txt rules."

Due trappole che vediamo di continuo. La prima: Google-Extended e Applebot-Extended non sono robot. Sono soltanto nomi da usare in robots.txt per dire „non voglio essere usato per l’addestramento". Non compaiono nei log di accesso, perché non chiedono niente. Bloccare Google-Extended non riduce il crawling e non tocca l’indicizzazione in Search. La seconda: Applebot segue le istruzioni date a Googlebot se robots.txt non lo nomina. Un `Disallow` rivolto a Googlebot chiude senza volerlo anche Siri e Spotlight.

I sistemi di sicurezza che bloccano senza chiedertelo

Qui sta la spiegazione degli 86. L’hosting ordinario arriva con un modulo di protezione — un WAF — che applica un insieme di regole a ogni richiesta. L’insieme più diffuso, OWASP Core Rule Set, ha quattro livelli di aggressività e funziona per accumulo di punteggio: nessuna regola blocca da sola, ma quando il punteggio raggiunge la soglia consigliata di 5 in ingresso, la transazione viene rifiutata. La documentazione stessa ammette che „when working in strict blocking mode, false positives can cause legitimate user transactions to be blocked".

Aggiungi rate limiting, sfide JavaScript ed elenchi di user-agent aggiornati dal fornitore, e ottieni un sito che blocca crawler senza che nessuno in azienda abbia toccato niente. La conseguenza non riguarda solo i sistemi AI. Google documenta che riduce attivamente la propria frequenza di crawling quando riceve errori 5xx o segnali di limitazione come HTTP 429: „the limit goes down and Google crawls less". Un limitatore regolato male non ritarda una pagina: riduce il budget di crawling dell’intero sito.

In Search Console questo compare sotto uno stato dedicato — Blocked due to access forbidden (403) — definito da Google come il caso in cui „the user agent provided credentials, but was not granted access".

La decisione è tua, non del fornitore

Non stiamo dicendo che devi lasciare entrare i bot AI. È una decisione di business legittima in entrambi i sensi. Un editore che vive di pubblicità ha buone ragioni per rifiutare l’addestramento. Un ristorante che vuole essere consigliato quando qualcuno chiede a un assistente dove mangiare ha buone ragioni per accettare.

Il problema è un altro: quegli 86 non hanno deciso niente. Hanno ereditato un’impostazione. Cloudflare ha fatto la distinzione che conta, nella politica di segnali di contenuto pubblicata il 24 settembre 2025: `ai-train` copre l’addestramento dei modelli, `ai-input` copre l’uso del contenuto in tempo reale come fonte di una risposta. Sono due permessi separati, e puoi volerne uno senza l’altro — essere citato senza essere usato per l’addestramento.

Dal 15 settembre 2026 Cloudflare applica nuove impostazioni predefinite per i domini appena iscritti: i bot classificati Training e Agent sono bloccati per impostazione predefinita sulle pagine che mostrano annunci, mentre Search resta permesso. Quella condizione sugli annunci è essenziale e sparisce da quasi tutti i riassunti.

sitemap.xml: che cosa fa e che cosa non fa

Una sitemap è un elenco di indirizzi che consegni al motore perché non dipenda solo dai link. La specifica ufficiale limita un file a 50.000 indirizzi e 50 MB non compressi. Google conferma che aiuta i siti grandi o complessi, ma non garantisce che tutto ciò che contiene venga scansionato e indicizzato, e dice che un sito piccolo — attorno alle 500 pagine — ben collegato internamente può non averne bisogno.

La parte che si sbaglia più spesso è `lastmod`. Nella specifica è la data dell’ultima modifica della pagina. Molti sistemi ci scrivono la data di generazione della sitemap, per tutti gli indirizzi insieme. Google è esplicito: usa il valore „if it’s consistently and verifiably accurate", e ignora del tutto `priority` e `changefreq`. Un `lastmod` falso non solo non aiuta: fa sì che Google smetta di fidarsi di `lastmod` su tutto il sito.

llms.txt: che cos’è e che cosa non sappiamo

È stato proposto da Jeremy Howard il 3 settembre 2024: un file Markdown a `/llms.txt`, scritto per essere letto dai modelli linguistici. L’unica sezione obbligatoria è un titolo H1 con il nome del progetto. La specifica è stata rivista; la pagina ufficiale riporta come data di modifica il 10 agosto 2026. Resta una proposta aperta ai contributi della comunità, non uno standard ratificato.

Lo ha il 14,7% del nostro insieme — 34 siti su 231 — più di quanto ci aspettassimo, e quasi certamente generato da temi e plugin, non da decisioni.

Che cosa non sappiamo, ed è giusto dirlo: se qualcuno lo legga. La documentazione di OpenAI per i crawler non lo nomina affatto e rimanda esclusivamente a robots.txt. Anthropic pubblica i propri file llms.txt, ma pubblicare non dimostra consumo. Google ha la dichiarazione ufficiale più vicina, in una guida aggiornata il 10 luglio 2026: „You don’t need to create new machine readable files, AI text files, markup, or Markdown to appear in Google Search" — senza nominare llms.txt. Quindi: costa poco metterlo, non c’è prova di effetto.

Search Console: iscrizione ed errori che contano

Se non hai la proprietà verificata in Google Search Console, non puoi sapere niente di quanto segue, e qualunque rapporto sul tuo sito è un racconto. È gratuito e richiede pochi minuti.

• Discovered — currently not indexed: Google ha trovato l’indirizzo ma non l’ha ancora letto. Il motivo tipico documentato è che una scansione „was expected to overload the site". È un problema di capacità del server, non di qualità del testo.
• Crawled — currently not indexed: l’ha letta e non l’ha indicizzata. Google dice esplicitamente „no need to resubmit this URL for crawling", e non dà il motivo.
• URL is unknown to Google: letteralmente, Google non ha mai visto l’indirizzo. È un fallimento di scoperta — sitemap, link interni, accesso bloccato — non di indicizzazione.
• Indexed, though blocked by robots.txt: la trappola logica. robots.txt blocca la lettura, non l’indicizzazione. Una pagina bloccata lì non può essere letta, quindi un `noindex` scritto dentro non potrà mai essere visto.
• Page indexed without content: la pagina è nell’indice ma Google non ha potuto leggerne il contenuto. È lo stato che si ottiene quando a un crawler viene servita una sfida JavaScript al posto del testo.
• Soft 404: la pagina dice „non trovato" ma risponde con codice 200.

Si risolvono in sei modi diversi, ed è per questo che „ho errori in Search Console" non è una diagnosi. La parte di SEO e AI search del nostro lavoro comincia esattamente qui, dalla lettura degli stati.

Seconda porta: quanto aspetta un visitatore

Se la pagina si legge, la domanda successiva è quanto ci mette a comparire. Qui esiste una misurazione ufficiale, con soglie pubblicate, e una montagna di mitologia sopra.

Che cosa si misura davvero nel 2026

INP ha sostituito ufficialmente FID il 12 marzo 2024. Tutte e tre si valutano al 75° percentile dei caricamenti, separatamente su mobile e desktop — non alla media. Il che significa che un sito „buono" lascia comunque un quarto dei visitatori con un’esperienza peggiore del numero dichiarato.

Un avvertimento, perché è stagione: circolano molti articoli su nuove metriche Core Web Vitals introdotte nel 2026, su un „Visual Stability Index" o sulla soglia LCP scesa a 2,0 secondi. Abbiamo cercato nella documentazione Google e nelle note di rilascio del Chrome UX Report. Non esiste nessuna fonte primaria per nessuna di queste. Ciò che è cambiato davvero nel 2025–2026 sono dimensioni diagnostiche, non le metriche e non le soglie.

Perché PageSpeed dà un punteggio diverso a ogni esecuzione

PageSpeed Insights mostra due cose che si confondono di continuo. I dati sul campo arrivano dal Chrome UX Report, su una finestra di raccolta di 28 giorni, al 75° percentile — sono i tuoi visitatori reali. I dati di laboratorio sono un test eseguito sul momento, in un ambiente controllato.

Il test di laboratorio non gira su un telefono. Usa una limitazione simulata di tipo Slow 4G — 1,6 Mbps in download, 750 Kbps in upload, 150 ms di latenza — più un moltiplicatore costante di 4× sul processore. La documentazione di Lighthouse riconosce essa stessa una „inherent inaccuracy" della simulazione. Il punteggio mostrato è una media ponderata di cinque metriche, dominata da Total Blocking Time al 30%, LCP al 25% e CLS al 25%. Si noti che cosa manca: INP non entra nel punteggio di laboratorio, quindi il numero di PageSpeed non è la stessa cosa della valutazione Core Web Vitals usata nel posizionamento.

La finestra di 28 giorni spiega anche perché una riparazione fatta oggi non si vede completamente nei dati sul campo prima di circa quattro settimane.

Quanto vale la velocità in denaro

Test controllati. I più forti e i più rari. Vodafone ha eseguito un test A/B su una landing page in cui l’unica differenza era l’ottimizzazione per i Web Vitals: un miglioramento del 31% di LCP ha prodotto l’8% di vendite in più, più 15% sul tasso lead-to-visit. Rakuten 24 ha eseguito un mese con divisione 50/50 tra una pagina ottimizzata e l’originale: +53,37% di ricavo per visitatore, +33,13% di conversioni. Entrambi su una sola pagina e un solo marchio.

Grandi studi correlazionali. „Milliseconds Make Millions", commissionato da Google e realizzato con Deloitte Digital su 37 marchi e 30 milioni di sessioni mobili in 4 settimane, ha trovato nel retail che un miglioramento di 0,1 s si correla con +8,4% di conversioni e +9,2% di valore medio dell’ordine. Il rapporto stesso avverte che i risultati „may not fully reflect the Internet as a whole", che sono solo dati mobili e che su desktop il gruppo ha trovato parametri contraddittori. Sulla generazione di contatti — cioè esattamente il profilo di uno studio professionale — il risultato è stato misto: la progressione nel modulo è salita del 21,6%, ma il tasso di conversione su mobile è sceso di circa il 2%. Chi cita questo studio senza quel paragrafo sta vendendo, non informando.

Numeri vecchi che circolano come verità eterne. „Il 53% dei visitatori mobili abbandona una pagina che impiega più di 3 secondi" viene da dati Google Analytics aggregati di 3.700 siti mobili, del marzo 2016. Ha più di dieci anni e il campione era autoselezionato.

La nostra misurazione sui 231 siti è volutamente limitata: tempo fino all’HTML completo, da un server in Europa, senza browser e senza immagini. Non sono i Core Web Vitals e non si confronta con PageSpeed. È il pavimento — quello che fa il server prima che il browser inizi a lavorare. La mediana è 475 ms, tre quarti stanno sotto 1.105 ms, e uno su dieci ha bisogno di più di 2.345 ms.

Che cosa ripara Cloudflare, e che cosa no

Prima trappola: il CDN di Cloudflare non mette in cache l’HTML per impostazione predefinita. La documentazione è diretta: „The Cloudflare CDN does not cache HTML or JSON by default." Mette in cache un elenco fisso di estensioni statiche. Quindi „abbiamo messo Cloudflare" non significa che le tue pagine siano servite dalla cache.

Per WordPress il prodotto che lo fa è Automatic Platform Optimization: serve l’HTML dalla rete di bordo, con un TTL predefinito di 30 giorni, saltando la cache per gli utenti autenticati. Richiede obbligatoriamente il plugin ufficiale Cloudflare e costa 5 dollari al mese sul piano gratuito, incluso sui piani a pagamento.

Seconda trappola, seria: Cloudflare rifiuta per impostazione predefinita di mettere in cache una risposta con intestazione `Set-Cookie`. Anche con „Cache Everything" attivo, conserva il cookie e non salva la pagina — „a cache MISS will be returned every time". È il meccanismo che tiene carrello e checkout fuori dalla cache. Ma se qualcuno imposta un Edge Cache TTL esplicito tramite regole, Cloudflare rimuove `Set-Cookie` e mette in cache la pagina — esattamente lo scenario in cui un negozio finisce per servire il carrello di un cliente a un altro.

Che cosa è cambiato e viene ancora consigliato male: Auto Minify è stato ritirato il 5 agosto 2024, e l’interruttore di Brotli è stato deprecato il 15 agosto 2024 — la compressione è rimasta attiva, è sparito solo il bottone. Mirage è arrivato a fine vita nel gennaio 2026. Le guide che vi chiedono di spuntare Auto Minify sono scritte per un pannello che non esiste più.

Argo Smart Routing non mette in cache niente; sceglie un percorso di rete meno congestionato, e Cloudflare rivendica in media il 30% di prestazioni migliori — cifra di marketing, senza metodologia pubblicata. Polish comprime le immagini ma non le ridimensiona.

Hosting, per un negozio WooCommerce

WooCommerce è la piattaforma con la quota maggiore tra i siti di commercio rilevati — 44,4% su mobile — e insieme quella che supera peggio il test: il 35% dei negozi WooCommerce supera tutti e tre i Core Web Vitals su mobile, contro il 76% di Shopify e il 66% di Wix eCommerce. Scomposto, il problema è chiaro: LCP buono al 39%, mentre INP è buono all’88% e CLS all’85%. Non è l’interattività. È quanto ci mette la pagina a comparire.

WordPress nel complesso sta al 45% di siti con Core Web Vitals buoni su mobile, con punteggio Lighthouse mediano su mobile di 41 su 100.

• CPU dedicata contro condivisa. Su processore condiviso i cicli disponibili dipendono dai vicini: un vicino occupato ti lascia „fractions of hyper-threads instead of dedicated access to the underlying physical processors". La documentazione consiglia esplicitamente CPU dedicata dove „variable performance is intolerable".
• NVMe contro SATA contro disco rotante. Allo stesso fornitore cloud, un SSD di rete dà 30 IOPS di lettura per gibibyte contro 0,75 di un disco rotante — rapporto di 40 a 1. Un Local SSD su NVMe collegato fisicamente all’host arriva a 680.000 IOPS di lettura. Allo stesso produttore di SSD, un modello NVMe PCIe 4.0 fa 200.000 IOPS di scrittura casuale e 6.800 MB/s in lettura sequenziale, contro 30.000 IOPS e 550 MB/s dell’equivalente SATA.
• RAM. WooCommerce chiede, a settembre 2026, PHP 8.3 o più recente, MySQL 8.0 o MariaDB 10.6, e un limite di memoria WordPress di almeno 256 MB. Quella cifra è per processo PHP. Moltiplicata per i processi simultanei dà il fabbisogno reale della macchina — il collegamento che la documentazione non fa, ma che spiega perché un negozio cade proprio nel picco di traffico.

Redis e LiteSpeed: che cosa fanno, concretamente

In WordPress la cache degli oggetti è non persistente per impostazione predefinita: i dati vivono in memoria solo per la durata di una singola richiesta. La documentazione dice la conseguenza: „Without a persistent object cache, your web server must read those options from the database to handle every page view."

Redis, installato come backend persistente, conserva i risultati tra le richieste. Attenzione a che cosa non fa: è cache di oggetti e di query, non di pagine HTML. E c’è un dettaglio che morde i negozi: i transient di WordPress „should also never be assumed to be in the database". WooCommerce ci tiene risultati di calcolo — imposte, varianti, rapporti. Un Redis pieno che espelle chiavi produce ricalcoli silenziosi, non errori visibili.

LiteSpeed è un’altra cosa. Non è un plugin di cache scritto in PHP, è il motore di cache costruito dentro il server web — „LiteSpeed’s more efficient and highly customizable answer to Apache mod_cache and Varnish". La differenza pratica: una pagina in cache viene servita senza avviare PHP. Il produttore rivendica il dimezzamento del carico del server e un TTFB tre volte migliore rispetto ad Apache; sono cifre di marketing, senza metodologia pubblicata.

Il meccanismo che conta per un negozio: LiteSpeed separa la cache pubblica da quella privata, e la chiave della cache privata include i cookie di sessione. Se l’applicazione avvia una sessione PHP a ogni richiesta, ogni visitatore riceve la propria chiave e il tasso di accesso alla cache pubblica scende a zero, anche se la pagina sarebbe identica per tutti. ESI — Edge Side Includes — risolve spezzando la pagina in frammenti. ESI non esiste nella versione gratuita, OpenLiteSpeed.

Perché carrello e checkout non si mettono mai in cache

La documentazione WooCommerce è esplicita: le pagine Carrello, Il mio account e Checkout „need to stay dynamic since they display information specific to the current customer and their cart". I cookie da escludere sono nominati: `woocommerce_cart_hash`, `woocommerce_items_in_cart`, `wp_woocommerce_session_`, `woocommerce_recently_viewed`.

Il cerchio si chiude con la regola di Cloudflare su `Set-Cookie`: sono gli stessi cookie il motivo per cui quelle pagine restituiscono MISS. Non è un guasto. È l’unica cosa che ti impedisce di mostrare il carrello di una persona a un’altra.

E c’è anche un guadagno strutturale, non hardware: High-Performance Order Storage sposta gli ordini WooCommerce dalle tabelle generiche a tabelle dedicate con indici propri, „which results in fewer read/write operations and fewer busy tables".

Terza porta: qualcuno ti capisce?

La pagina si legge e compare in fretta. Arriva la parte che non è più meccanica: che cosa c’è scritto e come è organizzato.

Scrivere chiaro non è un vezzo estetico

Quando un sistema generativo compone una risposta, deve estrarre dalla tua pagina un’affermazione che possa riprodurre senza rovinarla. Una frase di quaranta parole con tre subordinate è difficile da estrarre correttamente. Una frase che dice una cosa sola, con il soggetto all’inizio, è facile.

Non è una tecnica SEO nuova. È scrivere bene, che si è trovato a diventare anche un vantaggio tecnico. Le regole pratiche che usiamo: un pensiero per frase; il termine tecnico spiegato nella stessa frase in cui compare la prima volta; la definizione citabile di 25–30 parole messa subito sotto il titolo che la promette; il numero con il suo denominatore accanto, non tre paragrafi più in là.

Google formula il principio nell’annuncio del „helpful content update" del 18 agosto 2022: „content created primarily for search engine traffic is strongly correlated with content that searchers find unsatisfying". Quell’aggiornamento ha introdotto un segnale a livello di intero sito, non di pagina.

Il 5 marzo 2024 Google ha annunciato tre nuove politiche antispam, tra cui l’abuso di contenuti su larga scala, e ha stimato che l’aggiornamento avrebbe ridotto del 40% i contenuti di bassa qualità e non originali nei risultati; il 26 aprile 2024 ha corretto a 45% realizzato. La cifra è una valutazione interna di Google, senza metodologia pubblicata.

Dati strutturati: come dici a una macchina che cosa sei

Per un’attività locale Google richiede obbligatoriamente solo nome e indirizzo, consiglia telefono, orari e coordinate, e chiede di usare il sottotipo più specifico disponibile: „Use the most specific LocalBusiness sub-type possible; for example, Restaurant, DaySpa, HealthClub, and so on."

Nel nostro insieme: 119 siti su 231 hanno un blocco di dati strutturati, ma solo 17 ne hanno uno di attività locale. Il tipo più frequente è `WebSite`, poi `SearchAction` e `WebPage` — esattamente ciò che genera il tema da solo, senza sapere niente dell’azienda.

Una trappola che si paga: Google dichiara non idonee alle stelle nei risultati le pagine in cui „the entity that’s being reviewed controls the reviews about itself". La regola copre anche i widget di recensioni di terzi incorporati nel proprio sito.

FAQ: utili alle persone, utili alle macchine, e un cambiamento dal maggio 2026

Una sezione di domande e risposte è, strutturalmente, il formato più facile da estrarre da una pagina: una domanda formulata come domanda, una risposta breve attaccata.

Che cosa è cambiato: i risultati avanzati di tipo FAQ non compaiono più in Google Search dal 7 maggio 2026, e il 15 giugno 2026 Google ne ha eliminato del tutto la documentazione. La deprecazione riguarda la fisarmonica mostrata nella pagina dei risultati — non vieta i contenuti di domande e risposte sulla pagina, e non li rende inutili.

Nel nostro insieme, lo schema FAQPage esiste su 5 siti su 231. Il 2,2%.

Immagini e video

Google documenta di usare il testo alternativo „along with computer vision algorithms and the contents of the page" per capire il soggetto di un’immagine. Consiglia nomi di file brevi e descrittivi — precisando onestamente che danno „very light clues", indizi molto deboli, il che contraddice l’abitudine di infilare parole chiave nei nomi dei file.

Per il video la condizione conta e viene spesso ignorata: „The indexed watch page must be performing well in Search before its video can be considered for indexing." Il video non salva una pagina debole; amplifica una che già funziona.

Non abbiamo trovato nessuna cifra pubblicata da Google sull’effetto quantitativo di immagini o video sul posizionamento. Esistono buone pratiche documentate, non effetti misurati.

Una cosa che Google dice chiaramente sull’AI

Nella documentazione sulle funzioni AI, Google scrive: „There are no additional requirements to appear in AI Overviews or AI Mode, nor other special optimizations necessary… There’s also no special schema.org structured data that you need to add." Si riferisce alle funzioni dentro Google Search, non dice niente su ChatGPT o Perplexity, e non contraddice la necessità delle buone pratiche classiche. Ma toglie la radice a un intero genere di offerta commerciale.

Quarta porta: qualcuno ti crede?

L’ultima porta è la più lenta e la più difficile da falsificare. Qui entra tutto ciò che dice di te qualcuno che non sei tu.

E-E-A-T, che cos’è esattamente e che cosa non è

E-E-A-T sta per Experience, Expertise, Authoritativeness, Trust ed è definito nelle Search Quality Rater Guidelines di Google — un documento di 182 pagine, versione datata 11 settembre 2025. Delle quattro, Google indica la fiducia come la più importante: „untrustworthy pages have low E-E-A-T no matter how Experienced, Expert, or Authoritative they may seem".

Ed ecco la frase da leggere prima di comprare „ottimizzazione per E-E-A-T": la documentazione pubblica di Google afferma testualmente che „While E-E-A-T itself isn’t a specific ranking factor, using a mix of factors that can identify content with good E-E-A-T is useful." Non è un bottone. Non è un punteggio. Le linee guida precisano anche che nessun voto dato da un valutatore umano può spostare una pagina nei risultati.

Che cosa resta di concreto: chi ha scritto il testo, come è stato fatto, perché esiste. Google chiama „Perché" la più importante delle tre domande. Per i temi che possono incidere in modo significativo su salute, stabilità finanziaria o sicurezza — la categoria Your Money or Your Life — „our systems give even more weight to content that aligns with strong E-E-A-T".

Google Business Profile

Per un’attività con indirizzo fisico il profilo sulla mappa è spesso più importante del sito. Google pubblica i tre fattori del posizionamento locale — pertinenza, distanza, notorietà — senza pubblicarne i pesi. E dice una cosa che vale la pena ricordare prima di qualunque conversazione commerciale: „There’s no way to request or pay for a better local ranking on Google."

Che cosa dipende da te: il nome reale, usato in modo coerente su insegna, sito e materiali — informazioni in più nel campo del nome possono portare alla sospensione del profilo. Un indirizzo preciso; le caselle postali in località remote non sono accettate. La categoria più specifica possibile — Google fa l’esempio: invece di „Salon", scegli „Nail salon" — e, esplicitamente, non una categoria per ogni servizio.

Sulle recensioni Google dice che „more reviews and positive ratings can help your business’s local ranking". „Possono aiutare", non „determinano", e senza nessuna soglia pubblicata.

Recensioni, e dove comincia la zona vietata

La politica di Google vieta esplicitamente le recensioni pagate „directly or in kind", e qualifica come contenuto falso e ingannevole l’offerta di beni o servizi gratuiti o scontati in cambio della pubblicazione, modifica o rimozione di una recensione. Il divieto vale in entrambe le direzioni — compreso il pagamento per rimuovere una recensione negativa. È vietato anche che un esercente chieda al personale un certo numero di recensioni o recensioni con un contenuto specifico.

La richiesta neutra, senza incentivo e senza imporre contenuti, resta permessa dalla stessa politica.

Le sanzioni sono reali: Google può bloccare le nuove recensioni, depubblicare quelle esistenti e mostrare pubblicamente sul profilo un avviso che sono state rimosse recensioni false.

Sulle piattaforme terze la dimensione del problema è pubblicata. Trustpilot ha eliminato 4,5 milioni di recensioni false nel 2024 — il 7,4% di tutte quelle inviate quell’anno — e il 90% è stato rimosso automaticamente. Tripadvisor ha ricevuto 31,1 milioni di recensioni nel 2024 e ne ha bloccate 2,7 milioni come fraudolente, eliminando anche 214.000 recensioni generate con l’intelligenza artificiale. La cifra che dovrebbe far riflettere chiunque lavori nell’ospitalità: su Tripadvisor il „review boosting" — recensioni positive pubblicate da proprietari, dipendenti o affiliati — è stato il 54% di tutta la frode rilevata. La forma più frequente di frode arriva dalle aziende, non dai concorrenti.

Link, nel 2026

Google definisce il link spam come la pratica di creare link „primarily for the purpose of manipulating search rankings". Il criterio è l’intenzione, non l’esistenza del link. La politica elenca esplicitamente come violazioni: scambiare denaro per link o per post che contengono link, scambiare beni o servizi per link, e inviare a qualcuno un prodotto in cambio di un articolo con link. Quest’ultimo punto cattura le collaborazioni con influencer e il baratto locale.

La via pulita è scritta nello stesso posto: non è una violazione avere questi link „as long as they are qualified with a `rel=nofollow` or `rel=sponsored` attribute value". Non nascondi la relazione, la marchi nel codice.

Quanto pesino i link oggi è una domanda a cui Google risponde con prudenza: li usa „as a signal when determining the relevancy of pages and to find new pages to crawl" — un segnale. Gary Illyes, del team Search, ha detto pubblicamente il 21 settembre 2023 che i link non sono più tra i primi tre fattori „and it hasn’t been for some time" — dichiarazione di tre anni fa, riportata dalla stampa di settore, non un comunicato ufficiale.

Directory, coerenza, marchio

Qui bisogna essere onesti su ciò che non è documentato. L’idea che la presenza coerente di nome, indirizzo e telefono nelle directory di terzi sia un fattore di posizionamento circola da dieci anni nel settore. Non abbiamo trovato nessuna documentazione Google che lo affermi. L’unico requisito di coerenza che Google scrive riguarda i materiali propri dell’azienda — insegna, sito, cancelleria — non le directory.

Questo non rende le directory inutili. Significa che l’argomento a loro favore è un altro: sono luoghi dove una persona può trovarti, e fonti che un sistema generativo può leggere.

Il marchio entra qui dalla porta di servizio, ed è la parte più difficile da vendere come servizio, perché non ha un bottone. Se le persone cercano il tuo nome, hai un segnale che nessuno può comprare.

Il processo, da zero alla crescita costante

Tutto quello che precede sono pezzi. L’ordine in cui li tocchi conta più di ciascuno preso a sé, perché alcuni non hanno alcun effetto finché non sono pronti quelli prima. Non ha senso scrivere trenta articoli per un sito che Google non riesce a leggere.

Prima dei passi, una dichiarazione che non è retorica: tutto quello che segue è lavoro alla luce del sole. Niente contro le regole di Google, nessuna scorciatoia, nessuna rete di siti costruiti per darsi link a vicenda, nessun testo generato in massa, nessuna recensione combinata, nessuna pagina servita in modo diverso a un robot rispetto a una persona. Non per delicatezza — perché tutte queste cose hanno una scadenza, e quando scadono perdi esattamente il capitale che hai pagato per costruire.

Passo 0 — La misurazione di partenza, datata

Prima di qualunque modifica: Search Console verificata, analytics installato, un’esportazione dello stato di oggi. Quante pagine sono indicizzate, quali interrogazioni portano impressioni, qual è la posizione media, quanto ci mette la pagina. Senza quella fotografia, tra un anno nessuno può dimostrare niente.

Qui si decide anche una cosa amministrativa che si rivela decisiva alla separazione: gli account sono tuoi. Search Console, analytics, tag manager, il profilo sulla mappa, il dominio, l’hosting — tutti sul tuo indirizzo email, con i collaboratori aggiunti come utenti. Se l’agenzia ne è proprietaria, il giorno in cui ognuno va per la sua strada perdi tutto lo storico.

Passo 1 — Livello di marca: chi sei e perché dovrebbe contare

Sembra una riunione creativa e non lo è. È un elenco di domande con risposte scritte, perché ciascuna diventa poi un testo su una pagina: che cosa vendi esattamente, a chi, che cosa ti rende diverso dal vicino in termini verificabili, che cosa non fai, chi sono le persone dietro e perché qualcuno dovrebbe fidarsi. Google struttura la valutazione dei contenuti su Chi, Come e Perché — e chiama „Perché" la più importante.

Passo 2 — Le fondamenta tecniche

1. Verifica che cosa risponde il sito a un robot, non a un browser. Se dà 403 o 429 a richieste legittime, è il modulo di sicurezza dell’hosting, non il sito.
2. Scrivi `robots.txt` come decisione, non come eredità. Separa l’addestramento dalla citazione in tempo reale.
3. Sitemap corretta, con `lastmod` reale. Se il tuo sistema mette ovunque la data di build, è meglio toglierla.
4. Verifica la proprietà in Search Console e leggi gli stati di indicizzazione. Risolvi prima „unknown" — è un problema di scoperta — poi il resto.
5. Velocità: misura due volte, con un testimone. Ripara quello che è sul server prima di toccare le immagini.
6. Dati strutturati di attività locale, con il sottotipo specifico. Due campi obbligatori.

Questo passo finisce. Non è „ottimizzazione continua", è una riparazione con un traguardo. Se qualcuno ti fattura mensilmente per „ottimizzazione tecnica" all’infinito, chiedi che cosa si ripara nel mese che stai pagando e come si verifica.

Passo 3 — La pianificazione: a quali domande vale la pena rispondere

Qui si decide un anno di lavoro. Il metodo, in ordine: che cosa ti cercano già le persone (da Search Console, se hai storico); che cosa chiedono i clienti al telefono, che quasi mai è ciò che c’è scritto sul sito; quali risposte sono deboli o mancano nelle pagine che oggi compaiono in alto.

Il risultato è un elenco di argomenti con una sola intenzione ciascuno. Un argomento, una pagina. Due pagine che rispondono alla stessa domanda si combattono e perdono entrambe — è il modo più frequente in cui un sito con molti contenuti ottiene pochi risultati.

Passo 4 — Le pagine di servizio prima del blog

Quest’ordine si inverte spesso, e a torto. Le pagine che descrivono ciò che vendi sono quelle che devono vincere le ricerche commerciali. Gli articoli lavorano per loro, non il contrario. Se il tuo articolo esce meglio della tua pagina di servizio sulla stessa ricerca, non hai un buon articolo: hai una pagina di servizio debole.

Passo 5 — Il piano editoriale, e perché la cadenza non è una virtù

L’abbiamo imparato sulla nostra pelle nell’estate del 2026. Pubblicavamo ogni giorno, in tre lingue, e a un certo punto abbiamo notato i risultati scivolare. La diagnosi è stata utile proprio perché non era tecnica: le stesse pagine venivano prese senza problemi da altri motori nello stesso periodo. Sul sito non si era rotto niente — avevamo semplicemente superato il ritmo che Google era disposto a ingerire. Abbiamo corretto, tagliando la cadenza a un articolo a settimana.

La conclusione pratica per chiunque: il ritmo che conta è quello che riesci a sostenere a qualità costante, non il più alto che riesci a produrre.

Passo 6 — Link, la parte lenta e pulita

Non esiste un metodo rapido e sicuro. Esistono metodi lenti e sicuri, e metodi rapidi che funzionano finché non funzionano più. Che cosa facciamo: contenuti che qualcuno ha motivo di citare, perché contengono una misurazione o un’informazione che altrove non c’è; collaborazioni reali con fornitori, clienti e associazioni, dove il link è una conseguenza della relazione e non il suo oggetto; presenza in directory pertinenti al settore.

Che cosa non facciamo, e perché: reti private di siti, perché è la definizione manuale di link spam; acquisto di link senza marcatura, perché è elencato esplicitamente come violazione; scambi reciproci su larga scala. Se ricevi un’offerta con „N link al mese a prezzo fisso", hai davanti esattamente la pratica che Google chiama per nome.

Passo 7 — Ottimizzazione costante, che significa altro da quello che si pensa

Dopo che le fondamenta sono pronte e i primi testi sono pubblicati, il lavoro mensile non è più „più pagine". È: leggere le nuove interrogazioni in Search Console e scrivere le risposte per quelle che compaiono; rafforzare le pagine che stanno tra la posizione 11 e la 30, dove lo sforzo minore rende di più; aggiornare i testi invecchiati; verificare che non si sia rotto niente dopo un aggiornamento del tema.

Questa parte non ha fine, perché non ce l’ha nemmeno la concorrenza. Ma è misurabile mese per mese, e quello è il test. Così è il nostro lavoro di SEO e AI search dopo che le riparazioni sono finite: un rapporto che dice che cosa è stato toccato, che cosa si è mosso e che cosa no.

Gli strumenti e la decisione che ciascuno informa

Un elenco di strumenti senza spiegazione è una brochure. Ognuno di quelli sotto ha un compito e una decisione che informa; se non usi la decisione, non ti serve lo strumento.

Una nota sul tag manager, perché viene messo per riflesso: ha un costo in velocità. Se tutto ciò che devi misurare è analytics, installarlo direttamente è più rapido. La decisione è „ho bisogno di cambiare spesso i codici senza pubblicare il sito?" — se la risposta è no, non ti serve.

Bing e la metà che nessuno misura

Quasi tutti guardano solo Google, ed è una scelta razionale: Google ha di gran lunga la quota maggiore delle ricerche. Ma da due anni Bing è diventato interessante per un motivo nuovo: è l’indice dietro Copilot. Chi è invisibile in Bing è invisibile anche lì. Di ChatGPT si scrive spesso che va anch’esso su Bing, e all’inizio era così. Nel frattempo OpenAI si è costruita un indice proprio, che riempie con `OAI-SearchBot`, il bot misurato sopra. Sono due porte separate, non una.

Qui possiamo usare i nostri dati, perché è il nostro sito e non si parla di soldi.

Il numero di pagine di cittago.com nell’indice Bing è salito da 675 il 6 aprile 2026 a 928 il 10 settembre 2026. I link nell’indice, da 1.718 a 3.312. La crescita non viene da una campagna e non viene da un budget: viene dalla pubblicazione e dall’invio automatico dei nuovi indirizzi al momento della pubblicazione.

Il contrasto con Google nella stessa finestra è quello che ci ha fatto cambiare cadenza. Stesse pagine, stesso giorno di pubblicazione: Bing le prendeva tutte, Google le lasciava in attesa. Quando due motori si comportano così diversamente con lo stesso contenuto, il contenuto non è il problema.

E la parte che ci ha sorpreso di più: le nostre posizioni in Bing sono molto migliori che in Google su interrogazioni commerciali. `digital advertising agency` — posizione 1. `sme advertising 2026 europe` — posizione 1. `agentie digitala` — posizione 6. Su Google, le stesse intenzioni commerciali ci trovano tra la posizione 28 e la 40.

Adesso la parte da dire, perché non costruiate un piano su un’illusione: la quota di Bing in Romania è piccola. Nessuna prima posizione la cambia, e nessuno ci costruisce sopra la propria crescita.

Quindi la conclusione giusta non è „spostate il budget su Bing". È questa: se Google ti tiene in attesa per mesi, Bing ti dice in pochi giorni se il problema è tuo o suo. È lo strumento diagnostico più economico che puoi avere, è gratuito, ed è anche la porta verso i sistemi generativi che non guardano Google. Vale la pena iscriversi, non vale un budget.

Un limite metodologico: la ricerca di volumi in Bing Webmaster Tools funziona per l’italiano ma non per il romeno, dove quasi tutti i termini restituiscono zero perché il volume è troppo basso.

Che cosa cambia da un settore all’altro

Il processo descritto sopra è lo stesso per tutti. Quello che cambia è dove si gioca la partita.

Ristoranti, caffè, bar

La partita si gioca più sulla mappa che sul sito. La categoria specifica del profilo conta, e Google ha un editor di menu dedicato alle attività di cibo e bevande, con la precisazione che le modifiche possono richiedere da 24 a 48 ore per comparire in Maps e in Search. Il menu del profilo è una superficie separata dai dati strutturati del sito — non abbiamo trovato documentazione Google per un risultato avanzato dedicato ai menu nella ricerca organica classica.

Sul sito: dati strutturati di tipo `Restaurant`, orari corretti, menu in testo — non in un’immagine o in un PDF, perché lì non lo legge nessuno. Nel nostro insieme, il 4,1% dei ristoranti aveva schema di attività locale, e il 42,5% bloccava GPTBot.

Hotel

La categoria con la situazione più complicata e, nella nostra misurazione, quella che blocca di più — 52,2%. Google offre agli hotel link di prenotazione gratuiti, descritti ufficialmente come „unpaid links, ranked according to their utility to users", a differenza degli annunci a pagamento. L’accesso richiede però un account Hotel Center e un’integrazione tecnica, quindi non è una superficie che un hotel piccolo occupa solo scrivendo bene sul sito.

Baite, pensioni, case vacanza

C’è una trappola concreta. I dati strutturati di tipo `VacationRental` sembrano fatti apposta, ma Google li limita ai siti che soddisfano criteri di idoneità e che hanno già un Technical Account Manager Google e accesso a Hotel Center. Non è un’opzione aperta a chiunque la implementi, a differenza di `LocalBusiness`. Quindi restate su `LocalBusiness` con il sottotipo giusto, più il profilo sulla mappa e le piattaforme di prenotazione.

Nel nostro insieme, baite e pensioni avevano la percentuale più bassa di schema locale — 3,2% — e bloccavano GPTBot nel 45,2% dei casi.

Studi dentistici e medici

Una precisazione necessaria: le regole deontologiche sulla comunicazione dei professionisti sanitari sono nazionali e cambiano da paese a paese. La nostra misurazione è romena e la parte normativa che conosciamo in dettaglio è quella romena, che non si trasferisce in Italia. Per l’Italia, la regola è verificare con il proprio ordine professionale prima di pubblicare — non con un’agenzia, e non con un articolo.

Quello che si trasferisce è la parte tecnica. Nella nostra misurazione gli studi dentistici sono usciti meglio di tutti sul piano tecnico — 83,3% con dati strutturati, 91,7% con sitemap, e la percentuale più bassa di blocco dei bot AI, 25%. Il campione è di dodici siti, quindi va letto come indicazione. Gli studi medici bloccavano GPTBot nel 44,8% dei casi.

Vale poi il punto sulla categoria Your Money or Your Life: per i temi che toccano la salute, Google dichiara di dare peso maggiore ai contenuti allineati a un E-E-A-T forte. Per questi settori, la qualità e la verificabilità del testo contano più che altrove.

Studi legali

Stessa avvertenza: le regole deontologiche della professione forense sono nazionali. In Romania, per esempio, una norma del 2021 vieta che il dominio di uno studio sia composto esclusivamente da termini generici riferiti ai servizi dell’avvocato — una regola che tocca direttamente la scelta del dominio. Non sappiamo se esista un equivalente italiano e non lo affermiamo: si verifica con l’ordine.

Quello che vale ovunque: un sito veloce, leggibile, con orari corretti e con risposte alle domande che le persone pongono davvero sta quasi interamente su terreno informativo. Il lavoro organico descritto in questo articolo non richiede promesse di risultato, che sono la parte regolata.

Che cosa puoi chiedere e che cosa nessuno può garantire

Chi ti garantisce un risultato è il primo da rifiutare. Non necessariamente perché è disonesto, ma perché nessuno controlla il posizionamento di qualcun altro. Una garanzia di posizione è una promessa fatta con il bene di un terzo. Google lo scrive da sé sulla parte locale: „There’s no way to request or pay for a better local ranking on Google."

Questo non ti lascia senza criteri. Ti lascia con criteri migliori, perché sono verificabili.

1. Casi studio reali, con recensioni dei clienti di quei casi studio. Non un muro di loghi. Un caso descritto, con che cosa è stato fatto, e una persona che lo conferma.
2. Anzianità. Non garantisce competenza, ma mostra che l’azienda ha attraversato più di un cambiamento di algoritmo.
3. Monitoraggio e rapporti onesti, a cadenza fissa. Un rapporto che contiene anche ciò che non ha funzionato vale più di uno che contiene solo crescite.
4. I risultati li vedi tu, direttamente in Search Console e analytics. Non in un PDF costruito da qualcun altro.
5. Ti spiegano gli strumenti quanto basta per verificare da solo, in tempo reale.
6. Gli account sono tuoi. Search Console, analytics, tag manager, profilo sulla mappa, dominio, hosting — sul tuo indirizzo, l’agenzia aggiunta come utente.
7. Una misurazione di partenza, datata, fatta prima della prima modifica. Chiedila per iscritto nella prima settimana.
8. Ti dicono quale metodo usano per i link. „Abbiamo una rete di siti" o „N link al mese a prezzo fisso" significa acquisto di link, cioè esattamente ciò che Google elenca come violazione.
9. Ti dicono chi scrive i testi. „Li generiamo con l’AI su larga scala" è un rischio di policy, non un’efficienza — l’abuso di contenuti su larga scala è politica antispam dal 5 marzo 2024.
10. Un registro delle modifiche. Che cosa è cambiato, quando, perché.
11. Ti dicono che cosa resta tuo se te ne vai. Testi, struttura e dati strutturati restano, se sono stati costruiti sul tuo sito. Non restano, se erano su un sottodominio dell’agenzia.
12. Ti danno un intervallo realistico e ti dicono che cosa si vede per primo.

Che cosa guardare, concretamente, in Search Console e analytics

Da analytics, che cosa conta in più: la sorgente del traffico — cresce l’organico o solo il totale? — la frequenza di rimbalzo, e il tempo medio sulla pagina, in crescita o in calo. Un traffico che cresce con la frequenza di rimbalzo che cresce in parallelo significa che stai attirando le persone sbagliate.

E il punto più utile di tutta la sezione: un’agenzia che ti mostra per prima la „posizione 1" su una parola che nessuno cerca ha saltato i primi quattro segnali. Le impressioni e le interrogazioni nuove compaiono per prime e sono le più difficili da truccare. Le posizioni compaiono per ultime e sono le più facili da scegliere a piacere.

Che cosa non è un segnale: il numero di „parole chiave ottimizzate" · punteggi di strumenti di terzi presentati come promessa · „garantiamo la top 3" · rapporti con posizioni senza impressioni e clic accanto · crescite di traffico senza suddivisione per sorgente.

Se vuoi vedere come funziona da noi, la pagina di SEO e AI search dice che cosa facciamo e che cosa non facciamo.

Tre soglie, per sapere da dove si parte

Non tutti sono nello stesso punto, e non a tutti serve tutto quello che precede. Tre situazioni, e che cosa fare in ciascuna.

Se il tuo sito risponde a un robot con 403 o 429, o se Search Console mostra pagine come „URL is unknown to Google": sei prima della linea di partenza. Niente di quello che scrivi conta ancora. Sono poche ore di lavoro con chi ti gestisce l’hosting, ed è l’intervento più economico di tutto l’articolo.

Se il sito si legge ma non ha un h1, non ha descrizione, non ha dati strutturati di attività locale: sei sulla linea di partenza con le ruote smontate. Sono uno o due giorni di lavoro, con effetto misurabile in poche settimane, e non richiedono un budget mensile. Un terzo dei siti che abbiamo misurato è qui.

Se la parte tecnica è a posto e compari già tra la posizione 11 e la 30 su interrogazioni che contano: sei in gara, e da qui in avanti è lavoro lungo — contenuti, autorevolezza, pazienza. È qui che ha senso pagare qualcuno, ed è qui che si applica l’elenco di garanzie sopra.

La misurazione di questo articolo è dell’11 settembre 2026 ed è una fotografia, non un film. Ne riparliamo tra 3–6 mesi 😉

Domande con risposte che riteniamo utili

Ultimo aggiornamento: 11 settembre 2026. La misurazione è stata eseguita lo stesso giorno, su un insieme definito da una regola su OpenStreetMap (contea di Cluj, Romania, relazione 91733, sette categorie, unità con sito compilato sulla mappa): 1.782 unità mappate, 314 domini unici, 231 che hanno risposto, 228 nel test di user-agent. Le cifre su cittago.com vengono da Google Search Console e Bing Webmaster Tools, lette lo stesso giorno tramite API, e riguardano esclusivamente indicizzazione e posizioni. Tutte le altre cifre vengono dalla documentazione dei fornitori o da fonti ufficiali, ciascuna aperta e citata l’11 settembre 2026. Nessuna cifra di questo articolo viene da un account pubblicitario.

Fonti: Google · Common crawlers · OpenAI · Overview of OpenAI Crawlers · Anthropic · crawlers and robots.txt · Perplexity · PerplexityBot · Meta · Web Crawlers · Cloudflare · Content Signals Policy · Cloudflare · AI traffic options, 1 July 2026 · OWASP CRS · Anomaly Scoring · Google · Page Indexing report · Google · URL Inspection Tool · sitemaps.org · protocol · llmstxt.org · the llms.txt specification · Google · guide to generative features · Google · AI Features and Your Website · web.dev · Core Web Vitals · web.dev · INP becomes a Core Web Vital · Google · About PageSpeed Insights · Chrome · Lighthouse performance scoring · Google, Deloitte Digital · Milliseconds Make Millions · web.dev · Vodafone case study · web.dev · Rakuten 24 case study · HTTP Archive · Web Almanac 2025, Ecommerce · HTTP Archive · Web Almanac 2025, CMS · Cloudflare · default cache behavior · Cloudflare · Automatic Platform Optimization · Cloudflare · API deprecations · WooCommerce · configuring caching plugins · WooCommerce · server requirements · LiteSpeed · LSCache documentation · WordPress · WP_Object_Cache · Google Cloud · disk performance · Google · improve your local ranking · Google · guidelines for representing your business · Google · user generated content policy · Google · Search Quality Rater Guidelines, 11 September 2025 · Google · creating helpful content · Google · spam policies · Google · LocalBusiness structured data · Google · review snippet structured data · Google · Search documentation changelog · Trustpilot · Trust Report 2025 · Tripadvisor · 2025 Transparency Report · arXiv · GEO: Generative Engine Optimization · Answer.AI · the llms.txt proposal · Google · first generative capabilities in Search, 10 May 2023 · Google · AI Overviews rollout, 14 May 2024 · OpenAI · Introducing ChatGPT search · Pew Research Center · clicks and AI summaries · Ahrefs · AI Overviews and CTR, February 2026 · Google · Liz Reid’s response, 6 August 2025 · Google · helpful content update, 18 August 2022 · Google · March 2024 core update and new spam policies · Google · crawl budget guide