Dal 30 ottobre 2026 un’azienda che continua a usare Facebook, Instagram, Messenger o WhatsApp per finalità commerciali accetta termini che autorizzano Meta a esplorare i siti associati ai suoi prodotti e servizi. Il perimetro non si ferma quindi ai post pubblicati sui social: può includere pagine, cataloghi, articoli e altri contenuti disponibili sui domini collegati all’attività.

Per una PMI il problema non si risolve aggiungendo due righe a robots.txt. Prima serve capire quali account vincolano l’azienda, quali domini risultano associati e quali contenuti non dovrebbero essere trattati come materiale liberamente riutilizzabile. Questa è una decisione di governance, poi una configurazione tecnica.

Cosa dicono davvero i nuovi termini Meta

I Commercial Terms di Meta aggiornati prevedono che Meta, o soggetti che agiscono per suo conto, possa usare software automatizzato per accedere, indicizzare, memorizzare, analizzare, raccogliere e scansionare domini, pagine e URL associati ai prodotti o servizi di un’attività. Il testo comprende anche la possibilità di creare credenziali di test e di recuperare periodicamente gli aggiornamenti.

La clausola successiva amplia lo scopo: i contenuti così raccolti possono essere usati per fornire, sviluppare, migliorare, ricercare e addestrare prodotti, servizi e funzionalità Meta. L’entrata in vigore indicata è il 30 ottobre 2026. Per chi non accetta, il testo non presenta un selettore granulare: invita a interrompere l’accesso o l’uso dei prodotti Meta per scopi aziendali o commerciali.

Qui è importante separare tre livelli:

  • Il testo contrattuale: concede permessi ampi sul crawling dei siti associati e sull’uso dei contenuti.
  • La posizione di Meta: l’azienda sostiene che l’aggiornamento consolidi regole già distribuite in più documenti, che non cambi il comportamento dei crawler e che i proprietari possano ancora esprimere preferenze tramite robots.txt.
  • L’interpretazione legale: i giuristi sentiti da Nieman Journalism Lab ritengono che la nuova formulazione possa offrire a Meta un argomento contrattuale più forte rispetto alle sole istruzioni tecniche di blocco.

Non è corretto dire che robots.txt diventa inutile. Non è corretto nemmeno presentarlo come un veto legale garantito. È un segnale tecnico che i crawler dichiarati possono rispettare; non sostituisce l’analisi dei termini accettati dall’azienda.

Il rischio operativo: “associato” è più ampio di “pubblicato”

Il passaggio critico non è la parola “AI”, ma “associato”. Un sito può entrare nel perimetro perché è collegato a una Pagina, compare in un profilo business, alimenta un catalogo o viene usato nelle campagne. La stessa organizzazione può avere più domini: sito corporate, e-commerce, area documentazione, help center, sottodomini per campagne e portali di assistenza.

Se nessuno mantiene una mappa di queste relazioni, il responsabile marketing può accettare condizioni che producono effetti su contenuti gestiti da IT, legale, prodotto o da un fornitore esterno. È il classico errore di ownership: chi fa clic dispone tecnicamente dell’account, ma non possiede necessariamente i diritti su tutto ciò che quell’account collega.

Per un sito WordPress, inoltre, “contenuto pubblico” non significa solo pagine e articoli visibili nel menu. Possono essere raggiungibili archivi autore, allegati media, feed, tassonomie, endpoint REST e pagine create da plugin. Bloccare un user-agent su una sola directory senza conoscere l’architettura lascia scoperto il resto oppure, al contrario, rompe anteprime social e indicizzazione utile.

Il rischio va quindi descritto con una matrice, non con un interruttore:

  • contenuto proprietario che l’azienda può rendere pubblico senza vincoli;
  • contenuto con licenze, fotografie stock o contributi di terzi;
  • materiale riservato protetto da login o accordi di confidenzialità;
  • dati personali o documenti che non avrebbero dovuto essere pubblici;
  • pagine commerciali per cui anteprime e distribuzione social hanno valore misurabile.

Le ultime due categorie non si trattano allo stesso modo. Un file riservato non va affidato a una direttiva volontaria per bot: va rimosso dall’area pubblica e protetto con autenticazione e autorizzazioni reali.

Audit in 60 minuti: account, domini e contenuti

La prima attività utile è un inventario breve, con un proprietario e una data. Non serve iniziare da un progetto di compliance di tre mesi. Serve rendere visibile il perimetro prima che qualcuno decida per inerzia.

  1. Elenca gli account business. Registra Pagine Facebook, account Instagram professionali, Business Portfolio, account pubblicitari, integrazioni Messenger e WhatsApp usate dall’organizzazione. Per ogni voce annota amministratori e scopo.
  2. Associa i domini. Copia gli URL presenti nei profili, nelle campagne, nei cataloghi, nei pulsanti e nelle integrazioni. Includi sottodomini e ambienti esterni gestiti da agenzie o SaaS.
  3. Classifica i contenuti. Per ogni dominio indica proprietario, CMS, livello di accesso, licenze principali e presenza di dati personali. Non serve censire ogni pagina: bastano tipi di contenuto e directory.
  4. Salva l’evidenza. Archivia la notifica ricevuta, la versione dei termini valutata e la data della decisione. Uno screenshot isolato è debole; aggiungi URL, responsabile e motivazione.
  5. Misura la dipendenza. Quante sessioni, lead o vendite arrivano davvero da Meta? Senza questo numero, “non possiamo rinunciare” e “chiudiamo tutto” sono entrambe opinioni.

Il risultato dovrebbe stare in una tabella condivisa. Le colonne minime sono: asset Meta, amministratore, dominio associato, proprietario del dominio, categorie di contenuto, dipendenza commerciale, policy crawler, decisione e prossima revisione.

Questa mappa è utile anche oltre il caso Meta. Riduce il lock-in nei servizi AI e nelle piattaforme, perché rende espliciti dipendenze, dati scambiati e piano alternativo.

WordPress: applicare una policy senza rompere il sito

Dopo l’inventario si può intervenire sul livello tecnico. La regola più importante è distinguere crawling per training, fetch delle anteprime social e indicizzazione per la scoperta. Bloccare tutto ciò che contiene “Meta” nel nome può eliminare funzioni utili senza dimostrare che i contenuti non vengano acquisiti con altri mezzi.

Su WordPress partirei da quattro controlli:

  1. Verificare il robots.txt servito. WordPress può generarlo virtualmente, ma CDN, plugin SEO o regole del server possono modificarlo. Va controllata la risposta pubblica, non solo il campo nel pannello.
  2. Separare i percorsi. Se documentazione, catalogo e blog hanno esigenze diverse, la policy deve riflettere quelle differenze. Le aree riservate devono richiedere login e restituire risposte coerenti anche senza JavaScript.
  3. Non bloccare alla cieca le anteprime. Prima di applicare una regola, creare una pagina di prova e verificare che titolo, immagine e descrizione continuino a comparire correttamente nelle condivisioni autorizzate.
  4. Controllare i log. Il nome dichiarato dallo user-agent è un indizio, non un’identità. I log del server o della CDN permettono di osservare frequenza, percorsi richiesti, codici di risposta e variazioni nel tempo.

Ho già descritto un approccio selettivo in Bot AI su WordPress: limita senza bloccare tutto. In questo caso aggiungerei un requisito: ogni modifica tecnica deve rimandare alla decisione aziendale che la giustifica. Una regola anonima inserita da un plugin diventa debito operativo e nessuno saprà più se può rimuoverla.

Non confondere inoltre visibilità con sicurezza. Disallow non impedisce a un utente di aprire un URL, non revoca copie già ottenute e non protegge un documento indicato per errore in una sitemap o in un link pubblico. Per materiale riservato servono controllo degli accessi, rimozione dalle cache e verifica delle copie distribuite.

Una decisione in tre scenari, non un sì o no

Per la maggior parte delle PMI la scelta realistica non è tra accettare tutto e cancellare ogni presenza social. Conviene valutare tre scenari con costi espliciti.

Scenario 1: continuità controllata

L’azienda mantiene gli account business, documenta l’accettazione, limita tecnicamente i crawler dove opportuno e monitora gli accessi. È adatto quando Meta genera risultati misurabili e i contenuti pubblici hanno un rischio contrattuale basso. Richiede comunque una revisione legale se il sito ospita materiale con diritti di terzi.

Scenario 2: separazione degli asset

Le campagne rimandano a un dominio o a un insieme di pagine progettate per la distribuzione, mentre archivi premium, documentazione proprietaria e aree clienti restano separati e protetti. Non è una scorciatoia per aggirare i termini: serve a ridurre l’ambiguità tecnica e a rendere coerenti finalità, accessi e licenze.

Scenario 3: riduzione della dipendenza

L’azienda riduce funzioni business o presenza sulla piattaforma e sposta acquisizione e relazione su canali propri. Prima di farlo deve verificare amministratori, pixel, cataloghi, login social, automazioni e campagne: spegnere una Pagina senza questa mappa può interrompere più processi di quelli visibili.

La mia posizione tecnica è netta: non prenderei una decisione definitiva basandomi solo sulla conformità dichiarata di un crawler. La combinazione corretta è contratto, architettura dei contenuti, controllo degli accessi e osservazione dei log. Se uno dei quattro manca, la policy è incompleta.

Cosa fare prima del 30 ottobre

Il piano minimo richiede un responsabile business e uno tecnico. Entro la prima giornata vanno salvati i termini, censiti account e domini e identificati i contenuti che includono licenze o dati sensibili. Entro la seconda vanno controllati robots.txt, accessi, cache e log. Solo a quel punto si decide se mantenere l’uso commerciale, separare gli asset o ridurre la dipendenza.

Per i contenuti di terzi, per i siti editoriali e per i casi in cui una clausola possa confliggere con accordi esistenti, serve una valutazione legale. Una guida tecnica può mostrare superfici e controlli; non può stabilire da sola la validità o la prevalenza di una clausola in una giurisdizione specifica.

La chiusura operativa è semplice: non affidare la governance a un file che i bot possono scegliere di rispettare. Usa robots.txt come segnale, autenticazione come barriera, log come prova e un registro decisionale per sapere chi ha accettato quale rischio.

Fonti

Approfondimenti