Come rendere sicuro un sito web, secondo noi

Sicuro che il tuo sito web sia sicuro? Ma sicuro davvero, come vuole la normativa. 

Perché, in realtà, il tema della sicurezza di un sito è una nota dolente nel nostro Paese. Basti pensare che, fino a pochi anni fa, solo il 47% dei siti web della Pubblica Amministrazione si poteva considerare sicuro.

E se è così nel pubblico, figuriamoci nel privato.

Ma non siamo qui per tirarti le orecchie. Siamo qui per darti una mano. Insomma, per spiegarti come rendere sicuro il tuo sito web e proteggere i tuoi dati, e i dati di chi lo visita.

E no, non è roba solo per le grandi aziende.

Fidati.

La sicurezza di un sito è questione di strategia

I non-addetti ai lavori spesso ritengono che per la sicurezza di un sito basti un intervento una tantum. Perciò partiamo da qui. Partiamo smontando il primo falso mito.

La sicurezza è una strategia. Continua, aggiornata, ragionata. Il metodo del «ci penso quando succede qualcosa» non funziona con un sito, specie se con quel sito ci lavori.

Insomma: se hai un piccolo spazio – un blog per esempio – personale, forse allora sì che puoi prenderlo alla leggera. In quel caso, pure un plugin potrebbe bastare (ma non dirlo al nostro team che si occupa di sicurezza, per favore; non dirlo che lo abbiamo detto!).

Ma se con il tuo sito ci lavori, perché magari è un ecommerce su cui hai pure investito parecchio budget, la questione della sicurezza non può essere presa sottogamba.

Quindi se finora hai gestito il sito da solo o ti sei affidato a qualcuno che non ti ha mai spiegato nulla, probabilmente ti stai muovendo ‘senza protezioni’.

E allora ricorda questo: rendere sicuro un sito web vuol dire prendere decisioni prima che succeda qualcosa, non dopo. Significa sapere cosa hai installato, perché, e chi ci mette le mani. 

Già questo – di per sé – è un ottimo punto di partenza.

Privacy by design, un sito sicuro dalle fondamenta

C’è un principio che arriva direttamente dal GDPR e che molti ignorano allegramente: si chiama privacy by design. Il regolamento GDPR ne parla all’art. 25, il cui titolo è proprio: “Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita”.

Vuol dire – in parole semplicissime – che la protezione dei dati non si aggiunge alla fine, come un ripensamento. Si progetta dall’inizio, dentro l’architettura del sito. Prima che il sito vada online. Prima che il primo utente compili il primo form.

Servirà, allora, che tu ti faccia domande scomode.

Tipo:

1. Quali dati sto raccogliendo?
2. E se li sto raccogliendo, mi servono davvero?
3. È necessario che io li conservi per tutto questo tempo?
4. Quanti utenti possono accedervi?
5. È un numero sufficiente o troppo alto?

Si tratta, insomma, di decidere a monte la tipologia di dati da raccogliere – tenendo a mente, giustamente, che devi raccogliere soltanto il minimo indispensabile, conservarlo nel modo più sicuro possibile e cancellarlo quando non serve più.

Persino permessi e accessi vanno regolati, come dice l’art. 25, «per impostazione predefinita» già quando progetti il sito web. Ognuno deve poter vedere solo quello che deve vedere.

È così che si garantisce la sicurezza di un sito.

O almeno una piccola parte.

La crittografia dei dati rende il sito un fortino

Quando un utente compila un form sul tuo sito (che sia per contattarti, per comprare qualcosa, per iscriversi alla newsletter) quei dati viaggiano. E se viaggiano in chiaro, chiunque può intercettarli.

Il certificato SSL e il protocollo HTTPS servono esattamente a questo: a cifrare la comunicazione tra il browser dell’utente e il tuo server. In questo modo i dati diventano illeggibili per chiunque non ne sia il destinatario.

Oggi un sito in HTTPS è il minimo sindacale. Google lo considera addirittura un fattore di ranking – tanto che si controlla anche questo, in un audit SEO. Avrai notato, per esempio, che il browser ti avvisa quando entri su un sito che non adotta questo protocollo.

Ecco un sito in HTTP (senza S!) è una scivolata che non puoi permetterti. Poi, è chiaro: manco a dirlo: da solo non è sufficiente. La crittografia protegge i dati mentre viaggiano.

Per tutto quello che succede dopo (chi accede al tuo database, come sono conservati i backup, chi può scaricare i file dal server) servono altre misure. Parleremo anche di questo.

Web Application Firewall contro gli attacchi DoS

Ogni giorno, migliaia di bot girano per il web cercando siti vulnerabili. Non cercano il tuo sito in particolare, giustamente. Cercano però chiunque abbia una porta aperta. E quando la trovano, entrano.

Gli attacchi più comuni hanno nomi tecnici (SQL injection, cross-site scripting, brute force) ma funzionano tutti sulla stessa logica, ovvero cercano un punto debole e lo sfruttano. Gli attacchi DoS e DDoS fanno invece una cosa diversa: sommergono il sito di richieste fino a mandarlo offline.

Un Web Application Firewall (WAF) intercetta tutto questo prima che arrivi a destinazione. Quindi analizza ogni richiesta, riconosce i pattern sospetti e blocca quello che non dovrebbe passare. 

Di fatto parliamo di un filtro – o «muro tagliafuoco», che è la traduzione letterale di Firewall. Se il WAF è configurato correttamente riduce di molto il rischio di andare offline.

Ma attenzione! Solo se è configurato correttamente. Perché un WAF lasciato ai valori predefiniti fa poco. Considera: ogni sito ha plugin diversi, funzioni diverse, traffico diverso.

Il Web Application Firewall deve essere configurato, quindi, secondo regole specifiche che funzionano per il tuo sito, e per nessun altro.

L’autenticazione a due fattori che previene le intrusioni

Quante persone hanno accesso al pannello di amministrazione del tuo sito? Quante usano ancora password banali, uguali a quelle di altri account?

Una password rubata (es. per un data breach, per phishing, o anche per distrazione) è tutto quello che serve per perdere il controllo del proprio sito. E recuperarlo non è mai una pratica rapida né indolore.

L’autenticazione a due fattori (2FA) aggiunge così un secondo livello di verifica. In questo modo, anche se qualcuno ha la tua password o la password di un tuo socio, non potrà comunque entrare senza il secondo codice.

È una misura semplice, gratuita o quasi, e incredibilmente efficace. Quindi, in sintesi: attivala! Per tutti gli utenti con accesso al backend, senza eccezioni. E mentre ci sei, rivedi chi ha accesso e a cosa: spesso si trovano account dimenticati, ex collaboratori ancora abilitati, permessi più alti del necessario.

Un sito web sicuro è un vantaggio competitivo

Fidati di noi quando ti diciamo che la sicurezza di un sito è anche una questione di reputazione. Perciò è scontato: rendere sicuro un sito web non è optional. E se non l’hai ancora fatto, dovresti iniziare a pensarci da subito.

Pensaci:

• un sito violato perde il trust degli utenti
• Google lo penalizza o lo mette in blacklist
• i clienti che scoprono di non essere al sicuro non tornano

Sono o non sono scenari da evitare? L’affidabilità, nel digitale e non solo, si traduce sempre in conversioni. Insomma, in vendite – o prenotazioni, o commissioni, etc.

Se hai dubbi sul tuo sito, ti consigliamo l’analisi gratuita di No Digital Brain. Un test eseguito dal nostro team interno che ti dice se il tuo sito è sicuro, certo, ma anche cosa si può fare per migliorarne le prestazioni.

Riceverai un report dettagliato entro 48 ore direttamente nella tua email, e avrai consigli e suggerimenti che ti saranno molto utili nel caso tu volessi risolvere le criticità in autonomia.