1HTTPS ovunque

Apri il sito scrivendo http:// invece di https://: deve passare da solo alla versione sicura. Controlla che il certificato sia valido e chi lo rinnova prima della scadenza. Un sito che invia anche l'header HSTS dice ai browser di non usare mai la versione non sicura.

2Header di sicurezza

Poche intestazioni della risposta bloccano intere categorie di attacchi: Content-Security-Policy, X-Content-Type-Options, la protezione contro l'inserimento in altri siti (frame-ancestors o X-Frame-Options) e Referrer-Policy. Gli scanner online gratuiti mostrano in pochi secondi quali mancano.

3Software aggiornato

La maggior parte degli attacchi ai siti aziendali sfrutta vulnerabilità note di CMS, plugin e temi mai aggiornati. Aggiorna con regolarità ed elimina ciò che non usi più: un plugin inutilizzato resta comunque una porta aperta.

4Accessi amministrativi

  • Password robuste e diverse per ogni amministratore, con autenticazione a più fattori.
  • Account personali, non condivisi; togli l'accesso a chi non collabora più con te.
  • Limita i tentativi di accesso e verifica chi ha i permessi di amministratore.

5Backup che hai davvero ripristinato

Backup automatici, conservati fuori dal server, e almeno una prova di ripristino. Un backup mai ripristinato è solo una speranza.

Quando chiedere aiuto

Se il sito tratta dati personali, ha moduli, aree riservate o un e-commerce, questi controlli non bastano: una verifica strutturata trova problemi che dall'esterno non si vedono.