Come capire se un sito è sicuro

Un sito dall'aspetto pulito e professionale può comunque essere del tutto insicuro da usare. Sapere come controllare se un sito è sicuro prima di inserire qualsiasi dato non è complicato, ma richiede di sapere dove guardare, perché i segnali più evidenti non sono sempre quelli che contano.

I segnali che dicono se un sito è sicuro si vedono nel browser e sulla pagina stessa. In questo articolo vedi cosa controllare, cosa significa ogni segnale e cosa fare quando qualcosa non torna.

Gli stessi controlli valgono sia che tu sia un visitatore che deve decidere se fidarsi di un sito, sia che tu sia il proprietario di un sito e voglia capire cosa vedono i visitatori quando arrivano sul tuo. I siti sicuri e quelli non sicuri lasciano le stesse impronte. Sapere cosa cercare toglie ogni dubbio. Per capire perché la sicurezza conta per ogni sito, non solo per quelli grandi, leggi l'articolo su perché la sicurezza del sito è importante.

Come controllare se un sito è sicuro

Guarda prima la barra degli indirizzi

La barra degli indirizzi del browser è il posto più rapido da cui partire. Due cose ti dicono molto prima ancora di leggere una parola della pagina.

• L'indirizzo dovrebbe iniziare con HTTPS, non con HTTP. La S sta per Secure, sicuro. Significa che la connessione tra il tuo browser e il sito è cifrata, quindi qualsiasi informazione che invii viene resa illeggibile prima di viaggiare. Un sito con un indirizzo che inizia con il semplice HTTP non usa un certificato di sicurezza, e tutto ciò che invii tramite un modulo parte senza protezione
• Un lucchetto compare accanto all'indirizzo sui siti con un certificato di sicurezza valido installato. Niente lucchetto significa niente certificato, quindi niente connessione cifrata. Cliccando sul lucchetto si vedono i dettagli del certificato, tra cui chi l'ha emesso e quando scade

HTTPS e il lucchetto sono il minimo. Un sito che non li ha fallisce subito il primo controllo. Per una spiegazione completa di cos'è un certificato di sicurezza e cosa fa, leggi l'articolo su cos'è un certificato di sicurezza del sito e perché ti serve.

Leggi con attenzione l'URL

Il lucchetto HTTPS dice solo che la connessione è cifrata. Non dice che il sito è affidabile. Un sito truffa può avere un certificato di sicurezza valido proprio come uno vero. Per questo leggere il vero nome di dominio è importante.

• Guarda il nome di dominio completo nella barra degli indirizzi, non solo il titolo della pagina. Un sito fatto per sembrare una banca o un servizio noto spesso usa un dominio che a prima vista sembra simile ma è leggermente diverso. Caratteri in più, trattini o estensioni insolite sono tutti da notare
• Controlla che il dominio corrisponda al sito che volevi visitare. Se hai cliccato un link in un'email o da un altro sito, verifica che l'indirizzo nella barra corrisponda a dove volevi andare
• Lunghe stringhe di caratteri sconosciuti nell'indirizzo, o domini che non riconosci fin dall'inizio dell'URL, vanno trattati con cautela

Controlla cosa ti dice il browser

I browser segnalano direttamente i siti non sicuri. Questi avvisi vanno presi sul serio.

• Un'etichetta "Non sicuro" nella barra degli indirizzi compare sui siti serviti senza HTTPS. Alcuni browser la mostrano su tutte le pagine HTTP. Altri la segnalano solo sulle pagine con moduli o campi di accesso, dove inserire dati è il rischio più chiaro
• Un avviso a pagina intera, spesso rosso o arancione, con frasi come "La connessione non è privata" o "Questo sito potrebbe non essere sicuro", compare quando il browser rileva un problema più serio. Può voler dire che il certificato di sicurezza è scaduto, che non corrisponde al dominio o che il sito è stato segnalato per contenuti dannosi. Questi avvisi esistono per fermarti, ed è bene ascoltarli
• Se compare un avviso a pagina intera, non andare avanti a meno che tu non abbia un motivo preciso per fidarti del sito e capisca cosa significa l'avviso

Guarda il sito stesso

Una volta sulla pagina, alcune cose ti dicono di più su se il sito è ciò che sembra.

• Una pagina di contatti funzionante, con un vero indirizzo, numero di telefono o email, è un segnale positivo. I siti creati solo per raccogliere dati spesso le saltano o usano testo segnaposto generico
• Pagine di informativa sulla privacy e di termini di servizio che contengono davvero del testo, non solo un titolo con niente sotto, suggeriscono un sito fatto per funzionare come si deve
• Errori di ortografia, immagini rotte o problemi di impaginazione che sembrano un lavoro non finito possono essere segni di un sito costruito in fretta. Non sono una garanzia che qualcosa non vada, ma insieme ad altri segnali si sommano
• Richieste di informazioni che sembrano fuori luogo, come un sito che chiede un codice fiscale o dati bancari senza un motivo evidente, vanno trattate come un campanello d'allarme, a prescindere da come appare il resto del sito

Come usare uno strumento di verifica della sicurezza di un sito

Uno strumento di verifica della sicurezza di un sito controlla un URL confrontandolo con elenchi noti di siti dannosi o segnalati e restituisce una valutazione di sicurezza. Questi strumenti sono utili per un rapido secondo parere, soprattutto sui siti che non hai mai visitato.

Cosa guardano gli strumenti di verifica

• Gli elenchi di siti dannosi noti, gestiti dai produttori di browser e da organizzazioni di sicurezza. I siti confermati come pagine di phishing, distributori di malware o truffe compaiono in questi elenchi e vengono segnalati subito
• Età e reputazione del dominio. I domini registrati da poco che sono già stati segnalati per problemi, o i domini che mostrano schemi associati ad attività dannose, possono essere segnalati anche se non sono ancora stati aggiunti a un elenco specifico
• Se il sito ha un certificato di sicurezza valido e se HTTPS è configurato bene
• Se qualche visitatore precedente ha segnalato il sito

Cosa non possono dirti gli strumenti di verifica

Un risultato pulito da uno strumento di verifica non è una garanzia che il sito sia affidabile. Significa che il sito non è stato segnalato negli elenchi con cui lo strumento fa il confronto.

• Un sito truffa nuovo di zecca supera la verifica se non è ancora stato segnalato. I siti dannosi spesso restano avanti rispetto agli elenchi per giorni o settimane prima di essere aggiunti
• Gli strumenti di verifica non valutano la qualità o l'onestà dei contenuti del sito. Un sito può superare ogni controllo automatico ed essere comunque fatto per ingannare i visitatori
• Usa uno strumento di verifica come un elemento insieme agli altri controlli, non come l'unico

Cosa rende un sito davvero sicuro da usare

HTTPS è il punto di partenza, non il traguardo

Un sito con HTTPS e un lucchetto valido ha superato i requisiti tecnici di base per una connessione sicura. Vale la pena confermarlo, ma è l'inizio del controllo, non la fine.

HTTPS protegge i dati che viaggiano tra il browser e il server. Non dice nulla su cosa il sito faccia con quei dati una volta arrivati. Un sito può avere un certificato valido e raccogliere comunque informazioni per scopi che il visitatore non accetterebbe se li conoscesse. Per la spiegazione completa di come funziona HTTPS e di cosa protegge davvero, leggi l'articolo su cos'è HTTPS e come protegge il tuo sito.

Segnali di fiducia sulla pagina

Oltre ai controlli tecnici, i siti fatti per funzionare come si deve lo mostrano nel modo in cui gestiscono le cose di base.

• Informazioni chiare su chi gestisce il sito e su come contattarlo
• Politiche che spiegano quali dati vengono raccolti e come vengono usati
• Un processo di pagamento, se c'è, che usa un metodo di pagamento riconosciuto e mostra cosa stai pagando prima di confermare la transazione
• Nessuna tattica di pressione: conti alla rovescia, avvisi che il tuo account verrà bloccato se non agisci subito o che il tuo dispositivo è stato infettato sono strumenti comuni per spingere i visitatori a decidere senza pensare

Cosa dimostrano e cosa non dimostrano i certificati SSL

Un certificato SSL di base, quello che dà a un sito il lucchetto e HTTPS, dimostra una sola cosa: che chi lo ha installato controlla il dominio. Non verifica che l'azienda dietro il sito sia legittima, che il sito sia stato esaminato in modo indipendente o che le persone che lo gestiscono siano chi dicono di essere.

I certificati di livello più alto vanno oltre. Un certificato con convalida dell'organizzazione o con convalida estesa richiede che l'autorità di certificazione verifichi l'identità legale dell'azienda. I siti che usano questi certificati sono stati controllati oltre la sola proprietà del dominio. Per la maggior parte dei siti di tutti i giorni questo livello di verifica non è richiesto, ma sulle piattaforme finanziarie o governative vale la pena conoscere la differenza. Per la spiegazione completa dei tipi di certificato e di cosa dimostra ciascuno, leggi l'articolo su cos'è un certificato SSL e come funziona.

Cosa fare quando un sito non sembra sicuro

• Non inserire dati personali, credenziali di accesso o dati di pagamento su un sito di cui non sei sicuro. Le informazioni non si possono riprendere una volta inviate
• Chiudi la scheda e vai direttamente al sito che volevi raggiungere digitando tu l'indirizzo, invece di seguire un link che potrebbe averti mandato in un posto inatteso
• Se hai già inviato dati su un sito che si è rivelato non sicuro, cambia subito la password collegata a quell'indirizzo email. Se erano coinvolti dati di pagamento, contatta la tua banca
• Segnala il sito se il browser o lo strumento di verifica te ne dà la possibilità. Questo aiuta a farlo aggiungere più in fretta agli elenchi di avviso, e protegge gli altri visitatori
• Se gestisci un tuo sito e vuoi capire cosa vedono i tuoi visitatori quando controllano la tua sicurezza, verifica se HTTPS è attivo, se il certificato è valido e non scaduto e se qualcosa sulla pagina potrebbe sembrare un campanello d'allarme a chi non conosce già il sito

Come WEMASY gestisce i segnali di sicurezza del sito

Ogni sito creato con WEMASY funziona in HTTPS per impostazione predefinita. I certificati SSL sono inclusi in tutti i piani e applicati in automatico quando si collega un sito o un dominio personalizzato. Non serve alcuna impostazione e non c'è alcun rinnovo da gestire. I visitatori che controllano la barra degli indirizzi vedranno HTTPS e il lucchetto fin dal primo giorno.

I reindirizzamenti da HTTP a HTTPS sono attivi a livello di piattaforma, quindi i visitatori arrivano sempre alla versione sicura del sito, in qualunque modo la raggiungano. Gli avvisi di contenuto misto, che compaiono quando una pagina si carica in HTTPS ma alcuni elementi no, non sono un problema perché tutte le risorse servite dalla piattaforma usano HTTPS ovunque.

Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.

Domande frequenti