Sicurezza sito web: cosa controllare e cosa chiedere all'hosting

Il tuo sito si apre, i contatti arrivano, nessuno si è mai lamentato. Il problema è che, in fatto di sicurezza sito web, i guai non si vedono finché non succede qualcosa. E quando succede, spesso non te ne accorgi tu: se ne accorge un cliente, o Google.

In questo articolo trovi cosa controllare, cosa chiedere a chi ti fornisce l'hosting e le abitudini che evitano la maggior parte dei problemi. Senza allarmismi: nessun sito è sicuro al 100%, ma la differenza tra un sito curato e uno lasciato a sé stesso è enorme.

Perché un sito che funziona può non essere sicuro

La maggior parte degli attacchi non è mirata. Non c'è qualcuno che ce l'ha con la tua azienda: ci sono programmi automatici che girano giorno e notte su migliaia di siti, cercando sempre gli stessi punti deboli. Un plugin non aggiornato, una password debole, un file dimenticato sul server.

Per questo «il mio sito è troppo piccolo per interessare a qualcuno» non regge. Al programma non interessa chi sei: gli interessa che il sito sia vulnerabile.

Quando qualcosa va storto, di solito succede una di queste cose:

• compaiono pagine di spam (farmaci, casinò, prodotti contraffatti) che Google vede e tu no;
• chi arriva da smartphone viene rimandato verso siti truffa, mentre da computer sembra tutto normale;
• il browser mostra un avviso rosso prima di aprire il sito;
• le email del tuo dominio iniziano a finire nello spam, o qualcuno le usa per mandare truffe a nome tuo;
• i dati lasciati nel modulo contatti finiscono dove non dovrebbero.

Nell'ultimo caso non è solo un problema tecnico. Se sono coinvolti dati personali, il GDPR chiede di valutare la violazione e, se c'è un rischio per le persone, di notificarla al Garante entro 72 ore da quando te ne accorgi.

Cinque domande per capire a che punto sei

Prima di qualsiasi strumento, prova a rispondere:

1. Sai quando è stato fatto l'ultimo backup del sito, dove si trova e se qualcuno ha mai provato a ripristinarlo?
2. Sai chi ha ancora le password del sito, dell'hosting e del dominio? Anche l'ex fornitore, il collaboratore di tre anni fa, il nipote che ti aveva dato una mano?
3. Quando sono stati aggiornati l'ultima volta il sito, il tema e i plugin?
4. Se domani il sito venisse compromesso, chi se ne accorgerebbe per primo?
5. Le email del tuo dominio sono protette contro chi prova a spedirle a nome tuo?

Se a una di queste hai risposto «non lo so», non vuol dire che il sito abbia un problema. Vuol dire che non lo sai. Ed è proprio quello il punto da sistemare.

Cosa controllare da solo in dieci minuti

Alcune verifiche non richiedono competenze tecniche:

• Il lucchetto. Apri il sito scrivendo l'indirizzo con http:// davanti: deve passare da solo alla versione https://. Se resta su http, i dati dei moduli viaggiano in chiaro.
• Gli aggiornamenti. Se il sito ha un pannello (WordPress, PrestaShop, Joomla), guarda se ci sono aggiornamenti in sospeso. Mesi di arretrato sono un segnale.
• Gli utenti amministratori. Nell'elenco utenti, chi non conosci o chi non lavora più con te va rimosso. Un utente che si chiama admin va rinominato o sostituito.
• Plugin e temi spenti. Quelli installati ma disattivati non servono e possono comunque essere sfruttati: vanno eliminati.
• Cosa vede Google. Cerca su Google site:tuodominio.it. Pagine in lingue strane o su argomenti che non c'entrano niente con te sono un campanello d'allarme.
• Search Console. Se hai Google Search Console collegata, la sezione Sicurezza e azioni manuali ti dice se Google ha trovato problemi.

Cosa deve garantire un buon hosting

L'hosting è il terreno su cui poggia il sito. Un hosting economico non è per forza insicuro e uno costoso non ti protegge se il sito non viene aggiornato. Ma ci sono cose che un fornitore serio deve offrire:

• versioni di PHP supportate, con la possibilità di aggiornarle tu dal pannello;
• isolamento tra gli account: su un hosting condiviso, un sito bucato accanto al tuo non deve poter arrivare ai tuoi file;
• firewall applicativo (WAF, un filtro che blocca le richieste sospette prima che arrivino al sito) e blocco dei tentativi di accesso ripetuti;
• backup automatici su un server diverso, conservati per più giorni e ripristinabili anche da te;
• certificato SSL gratuito con rinnovo automatico;
• doppia autenticazione sul pannello di controllo;
• accesso ai file con SFTP, non con il vecchio FTP che manda le password in chiaro;
• un'assistenza che risponde quando serve, non dopo tre giorni.

Se vuoi sapere quali servizi uso io per domini e hosting, li trovi tra gli strumenti consigliati.

Le abitudini che evitano la maggior parte dei guai

La tecnologia conta, ma la maggior parte dei problemi nasce da abitudini:

• Password diverse per ogni servizio, salvate in un gestore di password, e doppia autenticazione ovunque si possa attivare.
• Aggiornamenti regolari, sempre con un backup fatto prima.
• Un utente per persona, con i soli permessi che le servono. Quando qualcuno smette di lavorare con te, il suo accesso si chiude lo stesso giorno.
• Meno plugin possibile. Ogni plugin è codice scritto da qualcun altro. Quelli non aggiornati da più di un anno vanno sostituiti.
• Header di sicurezza. Sono istruzioni che il server manda al browser, per esempio «non caricare questo sito dentro un altro sito». Si impostano una volta e lavorano sempre.
• Email del dominio protette con SPF, DKIM e DMARC: tre impostazioni del dominio che dicono al mondo chi può spedire a nome tuo.
• Qualcuno che controlla. Un monitoraggio che ti avvisa se il sito va offline e la Search Console collegata ti fanno sapere dei problemi prima dei tuoi clienti.

Il backup: l'unica cosa che ti salva quando il resto non è bastato

Un backup che nessuno ha mai provato a ripristinare è una speranza, non un backup. La regola più semplice: almeno tre copie, su due supporti diversi, una delle quali fuori dal server del sito. E ogni tanto una prova di ripristino, per sapere che funziona davvero e quanto tempo serve.

Per un sito vetrina basta un backup dopo ogni modifica più uno periodico. Per un e-commerce serve almeno un backup al giorno, perché ogni giorno ci sono ordini nuovi.

Se il sito è stato bucato

Se ti accorgi che qualcosa non va, l'ordine delle cose conta:

1. Non cancellare tutto di fretta: servono tracce per capire da dove sono entrati.
2. Cambia tutte le password: hosting, pannello del sito, database, FTP, email.
3. Ripristina un backup pulito, precedente all'attacco.
4. Aggiorna tutto e chiudi la porta da cui sono entrati, altrimenti rientrano.
5. Se Google ha segnalato il sito, chiedi una revisione dalla Search Console.
6. Se sono coinvolti dati personali, valuta con il tuo consulente privacy se va fatta la notifica al Garante.

Controlla il tuo sito in 30 secondi

Ho preparato un controllo gratuito della sicurezza del sito. Inserisci l'indirizzo e vedi subito alcuni punti base: il lucchetto, il certificato, gli header di sicurezza, cosa il sito racconta di sé a chiunque lo visiti e la protezione delle email del dominio.

Il controllo legge solo quello che il sito mostra pubblicamente, come farebbe un visitatore: non prova a entrare e non tocca niente. Se vuoi il report completo, con tutti i controlli e cosa significano, te lo mando per email.

E se nel report c'è qualcosa che non torna, puoi prenotare una call di 30 minuti per capire insieme se e come si può sistemare. A volte basta una modifica di dieci minuti che puoi fare anche da solo: in quel caso te lo dico.