Hosting per agenzie: guida completa al white label

Cosa significa davvero “hosting white label”

Per un'agenzia, white label vuol dire che il cliente finale vede solo te: il tuo nome in fattura, il tuo supporto, spesso il tuo marchio nel pannello e nei nameserver. Il fornitore dell'infrastruttura esiste, ma lavora per te e non parla con i tuoi clienti.

Due precisazioni oneste prima di andare avanti. La prima: white label non significa invisibile. Un cliente curioso può risalire al fornitore dal WHOIS dell'indirizzo IP (i registri regionali come il RIPE NCC pubblicano a chi sono registrate le reti), dal reverse DNS o dalle intestazioni di un'email. Il white label protegge la relazione commerciale, non un segreto tecnico. La seconda: rivendere hosting non ti toglie responsabilità. Per il cliente il fornitore sei tu, e se il sito non risponde il telefono che squilla è il tuo.

Detto questo, per molte agenzie il modello ha senso: tieni sito, manutenzione e hosting dentro un unico rapporto, eviti il cliente che compra lo spazio più economico e poi ti chiede di “sistemare”, e trasformi un costo vivo in un ricavo ricorrente.

I tre modelli: reseller WHM, multi-account gestito, cloud dedicato

Sotto l'etichetta “hosting per agenzie” si vendono cose molto diverse. La differenza che conta è una sola: chi mette le mani su cosa.

Reseller WHM/cPanel

Ricevi un account WHM con cui crei un account cPanel separato per ogni cliente, con pacchetti e quote che decidi tu entro i limiti assegnati dal fornitore. Secondo la documentazione cPanel i reseller possono usare nameserver propri (per esempio ns1.tuaagenzia.it), mentre i singoli account cPanel no; il fornitore può inoltre abilitare la personalizzazione dell'interfaccia cPanel (logo, favicon, colore del menu, link di documentazione e aiuto), che però non si estende a WHM. Il server resta del fornitore: sistema operativo, versioni PHP disponibili e backup a livello server sono affar suo.

Hosting multi-account gestito

Il fornitore crea e amministra un account separato per ogni tuo cliente; tu hai accessi e deleghe e apri ticket a nome dell'agenzia. Non gestisci WHM e non configuri pacchetti: chiedi e ottieni. È la scelta sensata quando in agenzia nessuno vuole fare il sistemista, in cambio di un po' di autonomia in meno sulle operazioni di routine.

Cloud dedicato (VPS o server con pannello)

Una macchina tutta tua, su cui installi un pannello e crei gli account. Massima libertà su versioni, cache, cron e configurazioni, ma patch, monitoraggio, backup e licenze diventano un tuo problema. Sulle licenze vale una nota: cPanel oggi è venduto a fasce in base al numero di account (contano anche gli account reseller), con un costo per account oltre la fascia più alta. Il conto cresce insieme al portafoglio clienti e va messo a budget fin dall'inizio.

Come proteggere la relazione con i clienti finali

Il timore classico è: “se il fornitore vede i miei clienti, prima o poi se li prende”. Il rimedio non è la fiducia ma il contratto, accompagnato da qualche scelta operativa.

• Non sollecitazione: il fornitore si impegna per iscritto a non proporre servizi ai tuoi clienti finali, né direttamente né tramite terzi, per tutta la durata del rapporto e per un periodo definito dopo la fine.
• Contatti diretti: se un tuo cliente scrive al fornitore, la richiesta viene girata a te e non lavorata. Deve essere scritto, non lasciato alla buona educazione.
• Riservatezza: domini, indirizzi email e contatti che il fornitore vede per ragioni tecniche non si usano per nient'altro.
• Fatturazione a due livelli: il fornitore fattura solo l'agenzia, l'agenzia fattura i propri clienti ai prezzi che decide.
• Uscita ordinata: formati e tempi di esportazione di file, database e caselle email se il rapporto finisce.

C'è poi una regola che sembra andare nella direzione opposta e invece protegge anche te: registra i domini a nome del cliente. ICANN ricorda che il registrante fornisce i dati pubblicati nel WHOIS e si assume la responsabilità della registrazione e dell'uso del nome; per i domini nazionali come il .it valgono anche le regole del registro. Un dominio intestato all'agenzia è la causa più comune di separazioni litigiose, e un cliente che sa di poter andare via senza ostaggi tende a restare più a lungo.

GDPR: titolare, responsabile e sub-responsabile

Quando rivendi hosting, i dati personali presenti nei siti dei clienti (moduli di contatto, ordini, utenti registrati) attraversano una catena. Il cliente è di norma il titolare; l'agenzia, che gestisce il servizio per suo conto, è responsabile del trattamento; il fornitore dell'infrastruttura è un sub-responsabile. Le Linee guida EDPB 07/2020 portano proprio l'esempio di un servizio di hosting che conserva dati per conto di un'azienda: è un responsabile, e serve un accordo ai sensi dell'art. 28 GDPR.

• Art. 28(2): non puoi coinvolgere un altro responsabile senza autorizzazione scritta, specifica o generale, del titolare. Con l'autorizzazione generale devi informare il cliente delle aggiunte o sostituzioni, così che possa opporsi.
• Art. 28(4): al sub-responsabile vanno imposti, nella sostanza, gli stessi obblighi che hai tu verso il cliente, e tu ne rispondi davanti al titolare.
• Art. 28(3)(g): alla fine del servizio i dati vanno cancellati o restituiti, a scelta del titolare.

In pratica: chiedi al fornitore il suo DPA e l'elenco dei sub-responsabili con le region in cui stanno i dati, e riporta tutto nel tuo accordo con il cliente. Il GDPR non impone che i dati restino in Italia; impone di sapere dove sono e su quale base vengono eventualmente trasferiti fuori dallo Spazio economico europeo.

Margini e costi di supporto: il conto che di solito non si fa

Il margine sul canone è facile da calcolare e quasi sempre fuorviante. Il costo vero dell'hosting rivenduto è il tempo: email che finiscono in spam, certificati da rinnovare, versioni PHP da aggiornare, il cliente che “non vede più il sito” perché ha toccato i DNS da solo.

Margine mensile per cliente =
    prezzo al cliente
  - quota del piano (costo del piano / clienti attivi)
  - domini, licenze e servizi accessori
  - ore di supporto x costo orario interno
  - accantonamento per insoluti e imprevisti

La voce che decide è quasi sempre quella delle ore. La posta è l'esempio tipico: da febbraio 2024 Google chiede a chi invia verso account Gmail personali SPF o DKIM, record PTR validi e connessioni TLS; a chi supera 5.000 messaggi al giorno sia SPF sia DKIM, più DMARC, allineamento del dominio mittente e disiscrizione con un clic per i messaggi promozionali. Un cliente con DNS impostati male apre ticket finché qualcuno non li sistema, e quel qualcuno sei tu.

• Vendi l'hosting dentro un canone di manutenzione con perimetro scritto (aggiornamenti, backup, ripristini, ore incluse), non come voce isolata da confrontare con le offerte trovate online.
• Dove puoi, fattura su base annuale e anticipata: meno insoluti e meno lavoro amministrativo.
• Standardizza: stessi pacchetti, stessa configurazione DNS e posta, stessa procedura di consegna per tutti.
• Misura: per qualche mese registra le ore di supporto per cliente. I tuoi numeri cambiano il listino più di qualsiasi benchmark.

Checklist per scegliere il fornitore

1. Limiti per account dichiarati per iscritto: CPU, RAM, I/O, inode, processi. Se non sono scritti, li scoprirai durante un picco.
2. Overselling: in WHM il fornitore può consentire quote complessive superiori allo spazio reale. Chiedi se lo fa e come lo gestisce.
3. Backup: frequenza, conservazione, dove sono archiviati, ripristino per singolo account e prove di ripristino periodiche.
4. Nameserver personalizzati e personalizzazione del pannello: inclusi o no, e chi li abilita.
5. Non sollecitazione e gestione dei contatti diretti nero su bianco nel contratto.
6. DPA art. 28, elenco dei sub-responsabili e region dei dati.
7. Supporto B2B: canali, orari dichiarati, tempi di prima risposta, escalation e lingua.
8. Versioni PHP disponibili e politica sulle versioni a fine supporto.
9. Pagina di stato con lo storico degli incidenti e SLA con crediti definiti, letto per intero.
10. Uscita: esportazione completa, nessun vincolo sui domini, aiuto alla migrazione verso altri.
11. Fatturazione: valuta, periodicità e documenti. Se il fornitore è estero, fai verificare al commercialista il trattamento IVA.

Errori comuni (e come evitarli)

• Un solo account cPanel per tutti i clienti: il plugin vulnerabile o il picco di traffico di uno coinvolge gli altri, e non puoi consegnare un sito senza consegnare tutto.
• Domini intestati all'agenzia: comodo oggi, conflitto domani.
• Promettere al cliente una disponibilità superiore a quella che il fornitore riconosce a te: il tuo SLA verso il cliente deve stare dentro quello che ricevi.
• Rivendere senza DPA, né a monte né a valle.
• Scegliere il reseller WHM per risparmiare e poi non avere nessuno in agenzia che sappia usarlo.
• Nessun registro delle scadenze: un dominio scaduto è il modo più rapido per perdere un cliente.
• Gestire la posta per inerzia: SPF, DKIM e DMARC configurati a metà generano ticket per mesi.

Da dove partire

Se hai pochi clienti e nessuno che voglia occuparsi di server, parti dal multi-account gestito. Se in agenzia c'è chi conosce cPanel, il reseller WHM ti dà autonomia a costi prevedibili. Il cloud dedicato ha senso quando hai esigenze tecniche precise e qualcuno che lo segua davvero. In tutti e tre i casi contratto, processi e misurazione del supporto contano più della scheda tecnica.

Se vuoi un parere sul tuo caso, possiamo guardare insieme il portafoglio clienti e dirti quale modello ha senso, con la non sollecitazione scritta nel contratto, anche quando la risposta è che non ti serve nessuno dei nostri servizi.