1. Il lucchetto c’è, ma è configurato bene?
Il lucchetto nel browser dice solo che la connessione è cifrata. Conta anche come è configurata: versioni vecchie del protocollo, certificati in scadenza o pagine che tornano in http lasciano spazi aperti. Il test gratuito di SSL Labs (ssllabs.com/ssltest) assegna un voto da A+ a F: sotto la A c’è qualcosa da sistemare.
Controlla anche che il sito si apra in https sia con sia senza “www”, e che l’indirizzo in http rimandi sempre alla versione sicura.
2. Gli header di sicurezza
Sono istruzioni che il server invia al browser per limitare i danni in caso di attacco: HSTS obbliga a usare sempre https, Content-Security-Policy blocca script non autorizzati, X-Frame-Options impedisce che il sito venga incorporato in pagine truffa. Su securityheaders.com basta inserire l’indirizzo per vedere quali mancano.
3. CMS, plugin e temi aggiornati
Su WordPress e simili, la causa più comune di siti violati è un plugin non aggiornato con una vulnerabilità nota. Entra nel pannello e controlla:
- che WordPress, i plugin e il tema siano all’ultima versione;
- che non ci siano plugin disattivati e dimenticati: vanno eliminati, non solo spenti;
- che il tema non sia una copia “craccata”, spesso contiene codice malevolo.
4. La pagina di accesso
Il login dell’area amministrativa è il bersaglio preferito dei tentativi automatici di indovinare la password. Servono password lunghe e uniche, la verifica in due passaggi (2FA) e un limite ai tentativi. Se chiunque può provare all’infinito dalla pagina /wp-login.php, è un punto debole.
5. I backup esistono davvero?
Chiedi a chi gestisce il sito tre cose: ogni quanto si fanno i backup, dove sono salvati (devono stare fuori dal server del sito) e quando è stata l’ultima prova di ripristino. Un backup mai provato è solo una speranza.
6. Moduli di contatto e dati
Il modulo contatti riceve spam? Manca una protezione anti-bot. Sai dove finiscono i messaggi e chi può leggerli? Quei dati sono dei tuoi clienti e il GDPR ti chiede di proteggerli: informativa privacy chiara e solo i dati davvero necessari.
7. File dimenticati online
Copie di backup in .zip, esportazioni del database in .sql, vecchie pagine di prova: a volte restano pubbliche per anni. Cerca su Google site:iltuosito.it e scorri i risultati: se compaiono pagine che non riconosci o file scaricabili che non dovrebbero esserci, vanno rimossi.
Quando serve un test vero
Questi controlli guardano la superficie, e già così fanno emergere molti problemi. Un penetration test va più a fondo: verifica accessi, permessi e dati come farebbe un attaccante, sempre con un’autorizzazione scritta che definisce cosa controllare. Il risultato è un report con le priorità e le correzioni da fare.