Quasi nessuno attacca il sito di una piccola impresa perché è proprio quello. Lo fanno programmi automatici, che ogni giorno provano migliaia di siti cercando le stesse falle: un’estensione vecchia, una password debole, una pagina d’accesso lasciata aperta. Sette controlli da fare in mezz’ora, e quasi tutti senza toccare il codice.
I sette controlli, da spuntare.
Spunta i controlli che il tuo sito passa già.
Se non sai rispondere a una voce, chiedi a chi ti gestisce il sito: deve saperlo dire in una frase.
1. Il lucchetto, e la strada che porta lì
L’indirizzo del sito deve cominciare con https: la «s» vuol dire che la connessione è cifrata, e che chi sta in mezzo, per esempio sul wifi di un bar, non legge quello che passa. Oggi i certificati che servono sono gratuiti, quindi non c’è motivo di farne a meno.
La prova da fare: scrivi l’indirizzo del tuo sito cominciando con «http», senza la «s». Devi essere portato da solo sulla versione con la «s». Se resti sulla versione senza, il sito si apre anche senza cifratura.
Attenzione però: il lucchetto dice che la connessione è protetta, non che il sito sia scritto bene, né che chi lo gestisce sia onesto. Anche le pagine truffa hanno il lucchetto.
2. Gli aggiornamenti
Su WordPress e sugli altri sistemi simili, la maggior parte delle falle non sta nel programma principale ma nelle estensioni. Il rapporto di Patchstack, un’azienda che si occupa proprio della sicurezza di WordPress, conta 11.334 nuove falle scoperte nel 2025 nell’ecosistema WordPress, il 42% in più dell’anno prima: il 91% nei plugin, il 9% nei temi, e solo 6 nel programma principale. Per quasi la metà, al momento in cui la falla è diventata pubblica, non c’era ancora una correzione.
Le regole sono tre: aggiornare appena esce una correzione di sicurezza, togliere le estensioni che non usi, perché anche spente possono essere un problema, e diffidare di quelle che non vengono aggiornate da mesi. Ne parliamo anche in WordPress o sito su misura?
3. La verifica in due passaggi, dove conta
La chiave più importante è quella dell’account dove è registrato il dominio, più ancora della password del sito. Chi entra lì può spostare il sito e la posta dove vuole. Subito dopo vengono l’account dell’hosting, la casella email principale e l’accesso al pannello del sito.
Su tutti questi va accesa la verifica in due passaggi: oltre alla password serve un codice che arriva sul telefono o che genera un’app. Anche se qualcuno ruba la password, senza il telefono non entra.
4. I backup, provati
Un backup serve il giorno in cui qualcosa si rompe: un aggiornamento sbagliato, una violazione, un errore. Tre domande da fare a chi gestisce il sito:
- Quando è stato fatto l’ultimo backup?
- Dove si trova? Deve stare fuori dal server del sito: se il server ha un problema, il backup non deve avere lo stesso problema.
- Quanto ci vuole a rimettere il sito com’era, e lo avete mai provato?
5. Le intestazioni di sicurezza
Ogni volta che il sito manda una pagina al browser, aggiunge delle istruzioni invisibili, le intestazioni. Alcune servono alla sicurezza: dicono al browser di usare sempre https, di non far caricare dentro la pagina codice arrivato da siti estranei, di non lasciare che il sito venga incorniciato dentro pagine di altri per ingannare chi clicca.
Per controllarle c’è un test gratuito di Mozilla, l’organizzazione di Firefox: si chiama HTTP Observatory, si scrive l’indirizzo del sito e in un minuto dà un voto, da A+ a F, con l’elenco di cosa manca. Molti siti fatti in fretta prendono F: non vuol dire che siano già stati violati, ma che rinunciano a protezioni che costano pochissimo.
6. La posta del dominio
Se il tuo dominio non ha i record SPF, DKIM e DMARC, chiunque può spedire email che sembrano arrivare da te: una fattura falsa ai tuoi clienti con un altro IBAN, una richiesta di pagamento urgente. Quei tre record, scritti nelle impostazioni del dominio, dicono ai servizi di posta quali server possono scrivere a nome tuo, e cosa fare con le email che arrivano da altri.
Si controllano con strumenti gratuiti che leggono i record del dominio; chi ti gestisce la posta te li sistema in poco tempo.
7. Chi ha le chiavi
Fai l’elenco: chi ha accesso al pannello del sito, all’hosting, al dominio, ai social. Capita spesso di trovare l’account di un collaboratore che non lavora più con te, o la password di dieci anni fa ancora attiva. Ognuno deve avere il suo accesso, con la verifica in due passaggi, e chi se ne va lo perde il giorno stesso.
Lo stesso vale per i moduli del sito: un modulo di contatto senza protezione riceve spam automatico, e a volte viene usato per mandarlo ad altri. Basta una verifica invisibile, che separa le persone dai programmi senza far risolvere indovinelli.
Se il sito è già stato violato
I segnali tipici: il sito porta su pagine strane, Google mostra l’avviso che il sito potrebbe essere stato compromesso, in Search Console compaiono pagine che non hai mai scritto, i clienti ti dicono di aver ricevuto email strane. Cosa fare, in quest’ordine:
- cambia le password di dominio, hosting, posta e pannello, e accendi la verifica in due passaggi;
- rimetti online un backup pulito, precedente alla violazione;
- aggiorna tutto quello che c’è da aggiornare, o togli quello che non serve;
- in Search Console apri il rapporto «Problemi di sicurezza» e, a sito pulito, chiedi a Google di ricontrollarlo.
Come lavoriamo noi
I siti che costruiamo non usano plugin: il codice lo scriviamo noi, e quello che non c’è non si può bucare. Li pubblichiamo sulla rete di Cloudflare, che li protegge anche dagli attacchi che cercano di sommergerli di richieste, con https e intestazioni di sicurezza. Nel canone di server e assistenza, 300 € + IVA all’anno, ci sono backup, aggiornamenti di sicurezza e monitoraggio.
Se vuoi un parere sul tuo sito attuale, mandaci l’indirizzo: i sette controlli li facciamo noi, e ti diciamo cosa sistemare, anche se il sito non l’abbiamo fatto noi.
Domande frequenti
Il mio sito è troppo piccolo per interessare a qualcuno?
Per una persona forse sì, per un programma automatico no. I programmi che cercano falle non scelgono i siti: li provano tutti. Un sito piccolo violato serve a mandare spam, a ospitare pagine truffa o a infettare chi lo visita.
Il lucchetto nella barra vuol dire che il sito è sicuro?
Vuol dire che la connessione fra il browser e il sito è cifrata, e che nessuno a metà strada legge quello che passa. Non dice niente su come è scritto il sito, né su chi lo gestisce.
Ogni quanto vanno fatti gli aggiornamenti?
Su WordPress, appena escono quelli di sicurezza, e comunque ogni settimana un controllo. Prima di aggiornare conviene avere un backup recente: ogni tanto un aggiornamento rompe qualcosa.
Chi deve fare i backup del sito?
Chi gestisce il sito e il server, ma tu devi sapere quando è stato fatto l’ultimo, dove si trova e come si ripristina. Un backup che nessuno ha mai provato a ripristinare può non funzionare proprio il giorno in cui serve.
Qualcuno può mandare email a nome mio?
Sì, se il tuo dominio non ha SPF, DKIM e DMARC: chiunque può spedire email che sembrano tue, per esempio fatture false ai tuoi clienti. Quei tre record dicono ai servizi di posta quali server possono scrivere a nome tuo.