PHP scaduto da sette anni, WordPress in vetrina, ASP.NET del 2002: il software che vendono ai concessionari italiani

MotorK Plc, ticker AMS:MTRK, è quotato sulla Borsa di Amsterdam dal dicembre 2021. Sede legale a Londra, Five Floor One New Change EC4M 9AF. Trentasei milioni di euro di Annual Recurring Revenue a settembre 2025, oltre quattrocento dipendenti, undici uffici in otto Paesi. La corporate communications scrive che MotorK è «leading SaaS provider to the automotive retail industry in the EMEA region».

Il sito che la sua piattaforma produce per un dealer milanese — carecar.it, una vetrina di supercar a Zibido San Giacomo — dichiara nel meta tag generator, leggibile da chiunque guardi il codice sorgente, una sola stringa: «Elementor 3.34.4». Elementor è il page builder visuale per WordPress.

Il codice HTML della homepage contiene centonovantuno occorrenze del termine wp-content (la cartella standard di WordPress) e centosettantadue del termine webspark, che è il tema interno multi-tenant di MotorK. Gli endpoint diagnostici standard di WordPress — /wp-json/, /wp-login.php, /wp-admin/, /?elementor-preview=1 — rispondono come ci si aspetta da una qualunque installazione WordPress + Elementor: rispettivamente codice 403, 302, 302, 200. Non c'è ambiguità.

Il punteggio tecnico complessivo di MotorK nella nostra scorecard è sessantatré punti su cento. La parte buona del punteggio (sicurezza HTTP, security headers OWASP completi inclusi Content-Security-Policy, X-XSS-Protection, Referrer-Policy) testimonia che dietro la piattaforma c'è un team che sa cosa fa. La parte cattiva è che l'architettura del prodotto venduto al dealer è un page builder visuale appoggiato a un CMS multi-tenant. Per chi ha investito in MotorK alla quotazione, e per chi sta valutando l'azione AMS:MTRK oggi, l'informazione è rilevante quanto qualunque altra metrica operativa.

Una società quotata sulla Borsa di Amsterdam, con trentasei milioni di euro di Annual Recurring Revenue, che vende ai concessionari italiani siti basati su WordPress + Elementor sembrava un'evidenza troppo grande per fermarsi a un solo cliente. Abbiamo verificato due punti aggiuntivi.

Punto uno: la demo ufficiale di MotorK. Il dominio getwebspark.com è di proprietà di MotorK. La sezione demo-it.getwebspark.com ospita la loro demo italiana ufficiale di WebSparK, intitolata letteralmente «IT WebSparK DEMO - Dealer Website». Il meta tag generator dichiara, parola per parola, la stessa stringa di carecar.it: «Elementor 3.34.4». La firma «Powered by MotorK» è presente nello stesso HTML.

Punto due: un cliente diverso.biautogroup.com è il sito del Gruppo Biasotti, dealer Mercedes-Benz/Smart, BMW/MINI e Volkswagen su Genova, Asti, Alessandria. Anche qui, generator: «Elementor 3.34.4». Identica versione, identica piattaforma. Il riscontro si era replicato in un cliente piccolo (Carecar a Zibido San Giacomo), in un cliente strutturato (Biasotti, multi-brand su quattro province) e nella demo di vendita ufficiale del fornitore.

Per chiudere, una conferma istituzionale. Nel maggio 2020 MotorK ha firmato un accordo con A.C.I.B. — Associazione Concessionari Italia BMW — per offrire WebSparK ai dealer BMW italiani; il press release del 15 maggio è sul sito ufficiale motork.io. Il prodotto venduto, ribadito sul sito ufficiale di MotorK e sul marketplace SoftwareOne, si chiama «WebSparK by MotorK, ready-to-use SaaS web platform tailored for car dealerships». Il «ready-to-use SaaS» del marketing è, sotto al cofano, WordPress con un page builder visuale. Non è caso isolato. È la piattaforma standard.

GestionaleAuto.com, fondata da Stefano Filippone a Bassano del Grappa nel 2004, è — come si presenta sul proprio sito istituzionale — il «punto di riferimento in Italia per oltre 2.500 operatori del settore automotive». Ricavi 2022 attorno ai due milioni di euro, crescita a doppia cifra. Acquisita da MotorK Plc nel giugno 2023, dopo un annuncio del 15 maggio dello stesso anno. Comunicato congiunto: «strategic and complementary addition». Strategia dichiarata: cross-selling della SparK Platform di MotorK sulla base clienti di GestionaleAuto. Fonti pubbliche: BusinessWire, press release ufficiale di MotorK, AIM Group, CB Insights.

Il sito che la piattaforma di GestionaleAuto produce per un dealer milanese — achillimotors.it, in via Giacomo Antonini 31 — risponde, alla richiesta curl -I, con l'header seguente, riportato testualmente: «Server: Apache/2.4.54 (IUS) OpenSSL/1.0.2k-fips PHP/5.6.40». Tre informazioni dichiarate dal sito stesso. La più rilevante delle tre è la terza.

PHP 5.6 è stato rilasciato ad agosto 2014. La fase di supporto attivo si è chiusa a gennaio 2017. La fase di sole patch di sicurezza si è chiusa il 31 dicembre 2018. Dal 1° gennaio 2019, la versione 5.6.x non riceve più alcun aggiornamento di sicurezza dal team ufficiale di PHP. Sono passati sette anni e quattro mesi. La fonte di queste date non è un'opinione: è la sezione Supported Versions del sito ufficiale php.net, accessibile a chiunque.

Il logo del concessionario, dentro al path delle immagini caricate, sta in /wp-content/uploads/sites/2535/2017/04/achilli.png. WordPress multi-site, sito numero 2535, immagine caricata ad aprile 2017. Nove anni fa. Il punteggio complessivo di GestionaleAuto nella scorecard è diciassette punti su cento — meta description vuota, zero security headers, zero dati strutturati Schema.org. Vent'anni di mercato non bastano a giustificare il numero diciassette. Eppure 2.500 dealer italiani pagano oggi un canone alla piattaforma per pubblicare il proprio business sul web tramite questa stessa infrastruttura.

Labycar si presenta come software per concessionari italiani, e nel mercato è un nome relativamente recente. Ma sotto al cofano del sito che la piattaforma produce — newcarshop.it — i tag script rivelano la signature inconfondibile: ScriptResource.axd. Quel file, con quella sintassi, può provenire solo da un'applicazione ASP.NET WebForms. WebForms è il framework che Microsoft ha rilasciato nel 2002, e ha smesso di sviluppare attivamente nel 2016 a favore di ASP.NET Core. Microsoft non lo ha mai dichiarato formalmente in fase di end-of-life, ma non riceve nuove feature dal release di ASP.NET Core. È tecnologia di ventiquattro anni fa, mantenuta in vita dalla retro-compatibilità di Windows Server.

Sopra a un framework di vent'anni fa, il sito di Labycar accumula errori che un controllo automatico di pochi secondi rileva: il title della homepage è vuoto, il viewport dichiara maximum-scale=1.0, user-scalable=0 — una violazione esplicita del criterio di accessibilità WCAG 2.5.5, perché impedisce all'utente di zoomare il contenuto su mobile, problema rilevante per utenti ipovedenti. La sitemap.xml esiste, restituisce codice 200, ma contiene zero URL. I file di scoperta per agent AI rispondono con codice 200 ma servono HTML al posto di TXT/JSON: il content-type di /llms.txt, su Labycar, è text/html. Non è un'implementazione, è il catch-all di routing del WebForms che rinvia tutto alla homepage.

Il punteggio di Labycar è ventuno punti su cento. Essere un nuovo player non è una scusa per partire da una tecnologia che ha compiuto vent'anni. Il mercato non separa il nuovo dal vecchio: separa chi ha fatto i compiti da chi non li ha fatti.

Sopra ai sessanta punti, due piattaforme: Carmove.io e DealerMax. La prima — campionata su achillimilano.it — è un nuovo player con uno stack credibile per il 2026: SPA con bundler Vite-class, edge CloudFront, reverse proxy Caddy, AWS Elastic Load Balancer. Il prodotto è versionato esplicitamente: meta version="2.9.5". Ma poi sparisce HSTS, sparisce X-Frame-Options, sparisce ogni security header. E i dati strutturati Schema.org non esistono nello shell HTML — la SPA li renderizzerebbe in JavaScript ma i crawler non-JS, cioè ancora gran parte del web crawling commerciale, vedono zero. Il punteggio è sessantuno punti su cento. La base è buona, manca un giro di rifinitura. Per un prodotto giovane è un punto di partenza onesto.

L'unico punteggio sopra la novantina è di DealerMax, novantasette su cento. Cloudflare edge globale, HSTS preload a due anni con flag preload attivo, security headers OWASP completi, JSON-LD con oltre trenta tipi Schema.org diversi (AutoDealer, OfferCatalog, FAQPage, Service, Person, Place, fino a SpeakableSpecification), sitemap con oltre duecentoquaranta URL strutturate. Su questa redazione c'è un conflitto di interesse esplicito da dichiarare, ed è dichiarato.

La distanza tecnica fra le piattaforme non è un dato accademico. Si traduce in tre conseguenze operative dirette per chi acquista un canone mensile, e in una conseguenza analitica per chi possiede azioni nel segmento.

La prima conseguenza è la sicurezza dei dati. Una piattaforma che gira su PHP 5.6.40 EOL gestisce, per il dealer, i moduli di richiesta informazioni dei clienti, il modulo di permuta, l'eventuale CRM lead. Quei moduli accettano dati personali. Ogni vulnerabilità di sicurezza scoperta nel runtime PHP dopo il dicembre 2018 — e ce ne sono state, anche critiche — non riceve patch ufficiale. La copertura dipende interamente dalla volontà del fornitore di backportare manualmente la patch o di mantenere a parte un fork di sicurezza documentato. Per il dealer questa è un'incognita non quantificata. Per la sua compliance al Regolamento UE 2016/679 (GDPR), articolo 32 sulla sicurezza del trattamento, è un problema legale documentabile.

La seconda conseguenza è la visibilità commerciale. Una piattaforma che produce siti senza dati strutturati Schema.org — GestionaleAuto: zero blocchi JSON-LD; Labycar: zero; Carmove.io: zero visibili al crawler non-JS — pubblica veicoli che i motori di ricerca leggono come testo libero, non come oggetti commerciali. La differenza in pratica è misurabile: con dati strutturati, il singolo annuncio veicolo può comparire nei risultati di Google con prezzo, chilometraggio, anno e immagine direttamente nello snippet. Senza, no. L'effetto sul click-through rate è documentato dalla letteratura SEO da quasi un decennio.

La terza conseguenza è la leggibilità dagli agent AI — il pezzo che la nostra scorecard ha esplicitamente messo fuori dal punteggio, perché valutare le piattaforme storiche su standard nati nel 2024 sarebbe scorretto. Ma il fatto che sia fuori dal punteggio non cancella il fatto: le ricerche dei consumer si stanno spostando, in modo crescente, dentro a ChatGPT, Claude, Gemini e Perplexity. I dealer le cui piattaforme non implementano llms.txt, ai-plugin.json, C2PA Content Credentials, MCP, allowlist LLM crawler nel robots.txt, sono progressivamente invisibili a quel canale di ricerca. Su cinque piattaforme valutate, una sola implementa correttamente: DealerMax. Una — Labycar — restituisce falsi positivi sui file AI per via di un catch-all di routing. Le altre tre non implementano.

La conseguenza analitica per gli investitori riguarda specificamente MotorK Plc. Il gruppo è quotato e pubblica trimestralmente i propri risultati. La sua tesi di crescita verso gli investitori si fonda sull'identità di «leading EMEA SaaS provider for automotive retail», con un Committed ARR che a settembre 2025 era di 36 milioni di euro. La nostra verifica documenta che la piattaforma vende ai dealer siti basati su WordPress + Elementor, configurati con un tema multi-tenant chiamato WebSpark. Tecnicamente questo non è illegittimo — WordPress è un CMS legittimo — ma non è quello che la narrazione di marketing del gruppo lascia intendere, e non è quello che giustifica una valutazione SaaS pure-play. Per chi possiede AMS:MTRK o sta valutando l'esposizione, la distinzione vale almeno una nota a margine del prospetto.

Questa redazione è pubblicata da DealerMax. DealerMax è una delle cinque piattaforme valutate. Su questa scorecard, DealerMax esce in cima. C'è un evidente conflitto di interesse, e va dichiarato.

Il modo in cui questa redazione lo gestisce è mettere ogni verifica nel pubblico dominio: ogni numero di questa inchiesta è ottenuto con un'unica chiamata curl, ogni punteggio è calcolato con pesi dichiarati su metriche standardizzate da enti indipendenti (Schema.org dal 2011, OWASP Secure Headers Project, WCAG 2.5.5, RFC 6797 HSTS, php.net). Le piattaforme citate possono replicare le stesse verifiche da sole in pochi minuti. Le piattaforme citate possono contestare i risultati pubblicando la propria verifica indipendente. Le piattaforme citate, infine, possono cambiare i fatti, aggiornando i propri stack tecnici. Non è un bias che la redazione possa nascondere, ma è un fatto che può essere reso operabile.

L'asse della scorecard non è nuovo contro vecchio. È chi ha fatto i compiti contro chi vive di rendita, su entrambi i lati. Un nuovo player può essere irreversibilmente bocciato (Labycar, 21 punti) se sceglie uno stack di vent'anni fa. Un colosso storico può essere affossato (MotorK, 63; GestionaleAuto, 17) se l'infrastruttura che vende ai dealer rimane ferma agli anni in cui è stata costruita. Il mercato del software per concessionari italiani non ha bisogno di più marketing sull'innovazione: ha bisogno che chi paga il canone sappia, dieci minuti prima della firma, cosa risponde il server quando gli chiedi chi è. Si fa con uno strumento da diciassette caratteri.