Come installare Joomla su Debian 12 passo dopo passo

Joomla su Debian 12: scelta dello stack e punti che fanno fallire l’installazione

Su Debian 12 Joomla gira senza problemi, ma l’errore tipico non è il CMS: è il contorno. Se Apache o Nginx non passano bene a PHP-FPM, se il database non ha charset coerente, se i permessi dei file sono troppo permissivi o se il virtual host non espone la directory giusta, l’installazione si blocca prima ancora di arrivare al pannello. Conviene quindi impostare subito una base pulita: sistema aggiornato, database dedicato, PHP con estensioni corrette, HTTPS attivo e una struttura file che non costringa a compromessi in seguito.

Qui prendo come riferimento Debian 12 con Apache, MariaDB e PHP-FPM, perché è il percorso più lineare per la maggior parte dei casi. Se usi Nginx, la logica resta identica: cambia il web server, non il criterio. L’obiettivo è arrivare a un Joomla installato in modo ripetibile, con un setup che regga aggiornamenti e manutenzione ordinaria senza interventi creativi ogni volta che qualcosa cambia.

1. Aggiornare il sistema e preparare i pacchetti

Prima di toccare il CMS, porta Debian allo stato corrente e installa i componenti necessari. Su un host nuovo o appena ripristinato, questo evita di inseguire problemi che in realtà sono dipendenze mancanti o versioni incoerenti.

Il set minimo per Joomla su Debian 12 con Apache è questo:

sudo apt update
sudo apt upgrade -y
sudo apt install -y apache2 mariadb-server php-fpm php-mysql php-xml php-mbstring php-curl php-zip php-gd php-intl php-cli php-opcache unzip curl

Se preferisci Nginx, sostituisci Apache con Nginx e mantieni PHP-FPM. Joomla non dipende dal web server, ma dalla capacità di eseguire PHP in modo corretto e di parlare con il database senza attriti.

Verifica subito quali versioni hai installato, perché su Debian 12 PHP 8.2 è la base attesa e questa informazione torna utile quando leggi i log o confronti i requisiti di estensioni e compatibilità.

php -v
apache2 -v
mariadb --version

2. Creare database e utente dedicati

Joomla non va installato su un database condiviso con altri progetti se puoi evitarlo. La separazione ti semplifica backup, restore e troubleshooting. Usa un database dedicato e un utente con privilegi limitati al solo schema del CMS.

Accedi a MariaDB e crea schema, utente e permessi. Sostituisci i valori con i tuoi, ma evita password deboli o riutilizzate: il database non deve diventare il punto d’ingresso più facile da indovinare.

sudo mariadb

CREATE DATABASE joomla_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'joomla_user'@'localhost' IDENTIFIED BY 'password_molto_forte';
GRANT ALL PRIVILEGES ON joomla_db.* TO 'joomla_user'@'localhost';
FLUSH PRIVILEGES;
EXIT;

La scelta di utf8mb4 non è un vezzo. Evita problemi con emoji, caratteri estesi e contenuti moderni che prima o poi compaiono anche in siti apparentemente semplici. Se il database nasce già con collation diversa, poi ti ritrovi a rincorrere conversioni e warning poco eleganti.

3. Scaricare Joomla e posizionarlo correttamente

Per un’installazione pulita conviene scaricare l’archivio ufficiale e scompattarlo nella document root del virtual host. Evita di lavorare dentro directory temporanee o percorsi ambigui: la struttura finale deve essere chiara, leggibile e coerente con il server web.

Per esempio, su Apache puoi usare una root dedicata come /var/www/joomla. Prima crea la directory, poi scarica l’archivio. Controlla sempre il nome del file pubblicato nella release che stai usando, perché cambia nel tempo e non conviene affidarsi a un path rigido inventato a memoria.

sudo mkdir -p /var/www/joomla
cd /tmp
curl -LO https://downloads.joomla.org/cms/joomla5/5-3-0/Joomla_5-3-0-Stable-Full_Package.zip
sudo unzip Joomla_5-3-0-Stable-Full_Package.zip -d /var/www/joomla

Se il file reale della release è diverso, sostituisci il nome con quello effettivo preso dalla pagina ufficiale. Il punto non è il numero di versione in sé, ma il metodo: scaricare, verificare, scompattare nel posto giusto e non lasciare l’installazione in un’area non servita dal web server.

Dopo l’estrazione, sistema i permessi di base. Joomla deve poter scrivere solo dove serve, non ovunque. Il proprietario tipico è l’utente del web server, ma il criterio corretto è concedere scrittura mirata e non generalizzata.

sudo chown -R www-data:www-data /var/www/joomla
sudo find /var/www/joomla -type d -exec chmod 755 {} \;
sudo find /var/www/joomla -type f -exec chmod 644 {} \;

Se vuoi essere più rigoroso, puoi limitare le directory scrivibili solo a quelle richieste dal CMS dopo il setup, ma in fase iniziale questa impostazione è già una base solida e comprensibile.

4. Configurare Apache con virtual host dedicato

Un errore frequente è appoggiare Joomla sulla root di default di Apache. Funziona, ma poi ogni attività di manutenzione diventa più fragile. Meglio un virtual host separato, con document root esplicita e log dedicati, così i problemi si isolano subito.

Crea un file come /etc/apache2/sites-available/joomla.conf:

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/joomla

    <Directory /var/www/joomla>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog ${APACHE_LOG_DIR}/joomla_error.log
    CustomLog ${APACHE_LOG_DIR}/joomla_access.log combined
</VirtualHost>

Abilita sito e moduli necessari. Joomla usa rewrite in modo esteso, quindi mod_rewrite non è opzionale se vuoi URL pulite e comportamento corretto delle route.

sudo a2enmod rewrite
sudo a2ensite joomla.conf
sudo apache2ctl configtest
sudo systemctl reload apache2

Se apache2ctl configtest segnala Syntax OK, sei nel binario giusto. Se fallisce, non andare avanti a tentativi: correggi prima il virtual host. I log da guardare sono /var/log/apache2/joomla_error.log e il journal di systemd, perché di solito il motivo del blocco emerge lì in pochi secondi.

5. Abilitare PHP-FPM in modo coerente

Con Debian 12 è sensato usare PHP-FPM invece del modulo Apache classico. Riduce l’accoppiamento con il web server e rende più leggibili prestazioni e limiti del runtime. L’importante è che Apache punti al socket corretto.

Controlla il pool attivo e il socket disponibile:

systemctl status php8.2-fpm
ls -l /run/php/

Su Apache, abilita la configurazione proxy per FPM se non è già presente. La modalità esatta dipende dalla tua configurazione, ma il principio non cambia: le richieste PHP devono arrivare a FPM, non essere servite come file statici.

Un controllo rapido è creare un file temporaneo di test, poi rimuoverlo subito dopo. Non lasciarlo esposto in produzione.

echo '<?php phpinfo(); ?>' | sudo tee /var/www/joomla/info.php

Apri http://example.com/info.php, verifica che PHP venga eseguito e cancella il file appena finito. Se vedi il sorgente o un download del file, il passaggio tra web server e FPM non è corretto.

sudo rm -f /var/www/joomla/info.php

6. Aggiungere HTTPS prima del primo accesso al pannello

Installare Joomla in chiaro e poi “mettere il certificato dopo” è una cattiva abitudine. Anche durante il setup iniziale, il traffico amministrativo deve essere protetto. Su Debian 12 il percorso più semplice è Let’s Encrypt con Certbot, se il dominio è già pubblicato e raggiungibile dall’esterno.

Installa il client e richiedi il certificato per il virtual host già configurato:

sudo apt install -y certbot python3-certbot-apache
sudo certbot --apache -d example.com -d www.example.com

Se usi Nginx, il plugin cambia, ma la logica è uguale. La parte importante è che il certificato copra davvero i nomi che userai nel browser, altrimenti il wizard di Joomla ti va avanti, ma il sito rimane con avvisi di sicurezza e redirect non puliti.

Dopo l’emissione, verifica il rinnovo automatico:

sudo systemctl status certbot.timer
sudo certbot renew --dry-run

7. Completare l’installazione via browser

A questo punto apri il dominio in browser e segui il wizard. Qui l’obiettivo non è “cliccare fino alla fine”, ma verificare che i campi iniziali riflettano davvero la tua infrastruttura: sito accessibile via HTTPS, database raggiungibile, credenziali corrette e directory scrivibili solo dove serve.

Nel form di configurazione del database inserisci questi elementi:

• Tipo database: MariaDB/MySQL
• Hostname: localhost
• Nome database: joomla_db
• Utente: joomla_user
• Password: quella definita in precedenza
• Prefisso tabelle: lascia quello generato o impostane uno coerente con la tua naming policy

Se il wizard segnala estensioni mancanti, torna a PHP e installa solo ciò che manca davvero. Non riempire il server di pacchetti “per sicurezza”: meglio leggere il requisito preciso e chiudere il gap con un pacchetto mirato. In pratica, il pannello ti dice subito se manca intl, mbstring o un’altra estensione critica.

Completa il setup amministrativo con una password lunga e un account non banale. L’account admin non deve chiamarsi admin se puoi evitarlo, perché riduce la superficie di tentativi automatizzati. Anche il backend di Joomla è una superficie esposta, quindi conviene ridurre gli indizi gratuiti.

8. Sistemare il file di configurazione e chiudere il setup

Terminata l’installazione, Joomla crea il file di configurazione principale nella root del sito. In molte installazioni il file è configuration.php. Verifica che esista e che non sia modificabile dal mondo intero. Se il wizard ti chiede di rimuovere la cartella di installazione, fallo subito: lasciarla online è un errore evitabile.

Controlla anche il proprietario dei file e la possibilità di scrittura. Un assetto ragionevole, dopo il setup, è questo:

ls -l /var/www/joomla/configuration.php
sudo chown -R www-data:www-data /var/www/joomla

Se vuoi irrigidire il modello operativo, puoi passare a una gestione con gruppo amministrativo e scrittura più controllata, ma non farlo prima di aver verificato che il sito funzioni, altrimenti trasformi una correzione di hardening in un problema di disponibilità.

9. Verifiche funzionali che conviene fare subito

Una volta online, non fermarti alla homepage. Il comportamento corretto va verificato su più livelli: front-end, backend, upload, rewrite e sessioni. Se uno di questi punti è instabile, il problema non si manifesta per forza nel primo minuto, ma emerge quando il sito viene usato davvero.

1. Apri la home in HTTPS e verifica che il certificato sia valido e che non ci siano redirect loop.
2. Accedi al pannello amministrativo e controlla che il login funzioni senza errori PHP.
3. Crea una pagina di test e verifica che gli URL SEO-friendly rispondano correttamente.
4. Carica un’immagine piccola e controlla che la libreria media la gestisca senza warning.
5. Apri i log del web server per confermare assenza di errori ripetuti.

Per i log, su Apache i file sono in /var/log/apache2/; su PHP-FPM puoi guardare il journal di systemd o, se configurato, il log del pool. Se qualcosa non torna, il log giusto ti dice quasi sempre se stai parlando di permessi, rewrite, socket PHP o database.

10. Hardening minimo da non saltare

Joomla non va lasciato con la configurazione più comoda per l’operatore e meno sicura per il servizio. Il minimo sindacale è limitare l’esposizione, aggiornare regolarmente e non lasciare strumenti di test o directory inutili online.

• Rimuovi file di test come info.php o archivi residui.
• Verifica che il backend amministrativo sia accessibile solo da IP fidati, se il contesto lo consente.
• Mantieni aggiornati Joomla, estensioni, PHP e sistema operativo.
• Usa backup automatizzati di file e database, con restore provato almeno una volta.
• Controlla periodicamente i permessi di scrittura sulle directory sensibili.

Se vuoi un controllo rapido della salute del sito, monitora almeno tre segnali: risposta HTTP del front-end, presenza di errori nel log applicativo e stato del database. Quando uno di questi tre degrada, Joomla non si rompe per caso: prima mostra lentezza, poi warning, poi errore netto.

11. Backup e rollback: il punto che salva davvero il lavoro

Prima di fare modifiche importanti in produzione, salva sempre sia i file sia il database. Non serve un piano complesso per cominciare: basta che il ripristino sia eseguibile e documentato. Il backup senza restore testato è solo una speranza organizzata.

sudo tar -czf /root/joomla-files-backup.tar.gz /var/www/joomla
sudo mariadb-dump joomla_db > /root/joomla-db-backup.sql

In caso di rollback, ripristina prima i file, poi il database, poi riconferma i permessi e il virtual host. Se hai cambiato solo configurazioni web o PHP, annota il diff e mantieni una copia del file originale. La regola pratica è semplice: ogni modifica deve avere un’uscita, altrimenti non è un change controllato ma un salto nel buio.

Con questa sequenza Joomla su Debian 12 resta una procedura pulita: installazione del sistema, database dedicato, web server configurato, PHP-FPM verificato, HTTPS attivo e controlli finali. Il risultato non è solo un sito che parte, ma un’installazione che puoi mantenere senza doverla smontare al primo aggiornamento.