Il primo segnale che la sicurezza di un sito è fallita spesso non è qualcosa che il proprietario nota. I visitatori incontrano avvisi, vengono reindirizzati a pagine sconosciute o scoprono che i loro dati sono stati compromessi, mentre in superficie il sito sembra funzionare normalmente. La sicurezza del sito è l’insieme delle misure che proteggono un sito da accessi non autorizzati, furto di dati, malware e interruzioni. Questo articolo spiega perché conta per qualsiasi sito, a prescindere da dimensioni e scopo, che aspetto hanno le minacce più comuni e quali protezioni di base ogni sito dovrebbe avere.
Gli attacchi automatici non valutano un sito prima di colpirlo. Scandagliano internet di continuo, cercando vulnerabilità note da sfruttare, a prescindere da dimensioni, settore o volume di traffico del sito. La differenza tra i siti che vengono compromessi e quelli che non lo sono raramente dipende da quanto un sito è in vista. Dipende quasi sempre dalle misure di sicurezza in atto.
Cosa può succedere a un sito non sicuro?
I problemi di sicurezza di un sito non sono sempre clamorosi. Spesso il proprietario non se ne accorge, mentre causano danni seri ai visitatori, alla reputazione e alle prestazioni nelle ricerche.
Furto di dati
- Se il tuo sito raccoglie informazioni dei visitatori, compresi invii di moduli di contatto, indirizzi email o dati di pagamento, un sito non sicuro mette a rischio quei dati
- Una violazione che espone i dati dei visitatori crea una responsabilità legale, soprattutto nelle regioni in cui le leggi sulla protezione dei dati richiedono una gestione sicura delle informazioni personali
- I visitatori che scoprono che i loro dati sono stati esposti tramite il tuo sito difficilmente torneranno
Iniezione di malware
- Gli aggressori che ottengono l’accesso a un sito possono inserire codice dannoso che gira in silenzio in background
- Questo codice può reindirizzare i visitatori a pagine fraudolente, mostrare annunci indesiderati, rubare le credenziali di accesso o usare il sito per attaccare altri
- Spesso il proprietario del sito non ha idea che stia succedendo, finché un visitatore lo segnala o uno strumento di scansione della sicurezza lo rileva
Defacement
- Alcuni attacchi sostituiscono i contenuti di un sito con il messaggio, le immagini o i link dell’aggressore
- Il defacement è visibile subito e danneggia credibilità e fiducia
- Per qualsiasi sito che conta sulla propria presenza online per attirare o trattenere visitatori, riprendersi da un defacement può richiedere molto tempo e impegno
Interruzioni del servizio
- Gli attacchi pensati per sommergere un server di traffico possono mettere un sito completamente offline
- Ogni ora in cui un sito è fermo è visibilità persa, contatti persi e ricavi persi
- Riprendersi da un attacco serio può richiedere giorni se non ci sono backup
Come influisce la sicurezza del sito sul posizionamento nelle ricerche?
I motori di ricerca controllano attivamente i problemi di sicurezza e li considerano nel posizionamento e nella visibilità nelle ricerche.
Avvisi di malware nei risultati di ricerca
- Quando un motore di ricerca rileva malware su un sito, aggiunge un’etichetta di avviso alla voce nei risultati di ricerca
- I visitatori che vedono un avviso prima di cliccare raramente procedono
- Il tasso di clic scende quasi a zero quando vengono mostrati avvisi di sicurezza, a prescindere da quanto bene si posiziona la pagina
Avvisi di sicurezza del browser
- I browser mostrano un avviso a schermo intero quando un visitatore prova ad accedere a un sito segnalato come pericoloso o a un sito senza HTTPS
- I visitatori devono scegliere attivamente di andare oltre questi avvisi, e la maggior parte non lo fa
- Un sito che fa comparire avvisi del browser perde il traffico di ogni visitatore che ne vede uno
HTTPS come segnale di posizionamento
- HTTPS, la versione sicura del protocollo HTTP, è un segnale di posizionamento confermato
- I siti che servono le pagine in HTTP invece che in HTTPS sono svantaggiati nel posizionamento rispetto a pagine equivalenti servite in modo sicuro
- I browser contrassegnano anche i siti HTTP come "Non sicuro" nella barra degli indirizzi, e questo riduce la fiducia dei visitatori ancora prima di qualsiasi interazione
Per una spiegazione completa di come funziona HTTPS e di cosa protegge, leggi l’articolo su cos’è HTTPS e come protegge il tuo sito.
Quali sono le minacce alla sicurezza del sito più comuni?
Attacchi a forza bruta
- Strumenti automatici provano migliaia di combinazioni di nome utente e password per accedere ai pannelli di amministrazione dei siti
- Password deboli e tentativi di accesso illimitati rendono semplici da eseguire gli attacchi a forza bruta
- L’autenticazione a due fattori e i limiti ai tentativi di accesso riducono molto questo rischio
SQL injection
- Gli aggressori inseriscono codice dannoso nei campi dei moduli o nei parametri degli URL per manipolare le query al database
- Una SQL injection riuscita può esporre o cancellare il contenuto del database, compresi i dati dei clienti
- Questa minaccia è particolarmente rilevante per i siti con campi di ricerca, moduli di accesso o moduli di contatto che interagiscono con un database
Cross-site scripting
- Script dannosi vengono inseriti in una pagina che altri visitatori poi caricano nei loro browser
- Questi script possono rubare i cookie di sessione, reindirizzare i visitatori o catturare ciò che viene scritto nei moduli
- Il cross-site scripting è una delle vulnerabilità più comuni nelle applicazioni web
Malware e ransomware
- Quando un aggressore ha accesso a un sito, può installare malware che gira in background, raccoglie dati o cifra i file
- Il ransomware blocca i proprietari fuori dai loro stessi siti e chiede un pagamento per ripristinare l’accesso
- I backup regolari sono la difesa principale contro il ransomware, perché ripristinare da un backup pulito toglie all’aggressore il suo potere di ricatto
Software non aggiornato
- Le vulnerabilità note del software, dei plugin e dei temi di un sito vengono rese pubbliche dopo il rilascio delle correzioni
- I siti che usano versioni non aggiornate sono vulnerabili agli attacchi che sfruttano queste vulnerabilità pubblicate
- Tenere il software aggiornato è una delle misure di sicurezza del sito più semplici a disposizione
Quali sono le misure di sicurezza di base che ogni sito dovrebbe avere?
HTTPS e un certificato SSL
- Ogni sito dovrebbe servire le pagine in HTTPS, che cifra i dati in transito tra il browser del visitatore e il server
- Un certificato SSL è ciò che abilita HTTPS. Senza, i dati vengono trasmessi in chiaro e possono essere intercettati
- I browser contrassegnano i siti senza HTTPS come "Non sicuro". È improbabile che i visitatori inviino moduli o facciano acquisti su un sito con quell’etichetta
Per una spiegazione completa di come funzionano i certificati SSL e di come ottenerne uno, leggi l’articolo su cos’è un certificato SSL e come funziona.
Autenticazione forte
- Gli account amministratore dovrebbero usare password forti e uniche e l’autenticazione a due fattori
- Limita i tentativi di accesso per bloccare gli strumenti automatici a forza bruta
- Rimuovi gli account amministratore non usati. Ogni account attivo con credenziali deboli è un possibile punto di ingresso
Backup regolari
- I backup permettono di riportare un sito a uno stato pulito dopo un attacco, senza pagare un riscatto né ricostruire tutto da capo
- I backup dovrebbero essere conservati separatamente dal sito. Un backup salvato sullo stesso server va perso se il server viene compromesso
- Prova i ripristini ogni tanto per confermare che i backup funzionino come previsto
Aggiornamenti del software
- Applica gli aggiornamenti alla piattaforma del sito, ai plugin, ai temi e a qualsiasi integrazione di terze parti appena sono disponibili
- Gli aggiornamenti includono spesso correzioni di sicurezza che chiudono le vulnerabilità scoperte dopo la versione precedente
Un web application firewall
- Un web application firewall sta tra il traffico in arrivo e il sito e filtra le richieste dannose note prima che raggiungano il server
- I firewall possono bloccare in automatico tentativi di SQL injection, cross-site scripting, traffico di bot e altri schemi di attacco comuni
Per una guida completa su come proteggere il tuo sito da accessi non autorizzati e da attacchi, leggi l’articolo su come proteggere il tuo sito dagli hacker. Per sapere come impostare backup regolari, leggi l’articolo su come fare il backup del tuo sito.
Come gestisce WEMASY la sicurezza del sito
Il creatore di siti di WEMASY include certificati SSL su ogni piano, quindi tutti i siti sono serviti in HTTPS per impostazione predefinita. Non serve nessuna configurazione o acquisto a parte. L’infrastruttura di hosting include la protezione con firewall e la mitigazione degli attacchi DDoS a livello di rete, riducendo l’esposizione agli attacchi automatici più comuni senza alcuna configurazione da parte del proprietario del sito.
Il software della piattaforma WEMASY è mantenuto e aggiornato dal team della piattaforma, quindi i proprietari dei siti non devono applicare le correzioni di sicurezza al sistema sottostante. I backup sono inclusi e gestiti in automatico, con opzioni di ripristino disponibili dalla dashboard.
Scopri cosa è incluso nel creatore di siti WEMASY, oppure guarda le opzioni dei piani nella pagina dei prezzi.
Domande frequenti
Perché la sicurezza del sito è importante?
La sicurezza del sito protegge insieme visitatori, dati del sito e visibilità nelle ricerche. Un sito non sicuro può essere usato per rubare i dati dei visitatori, diffondere malware a chi lo visita o essere messo del tutto offline. I motori di ricerca segnalano i siti non sicuri nei risultati e i browser avvisano i visitatori prima che entrino, e entrambe le cose riducono molto il traffico. Un incidente di sicurezza può danneggiare in modo permanente la fiducia e la visibilità che un sito ha costruito. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Tutti i siti hanno bisogno di sicurezza?
Sì. Gli attacchi automatici scandagliano internet di continuo alla ricerca di vulnerabilità e non scelgono i siti in base a dimensioni o traffico. Qualsiasi sito accessibile al pubblico è un possibile bersaglio. Le conseguenze di una violazione, come perdita di dati, avvisi di malware nei risultati di ricerca, interruzioni e responsabilità legale, sono le stesse a prescindere da dimensioni e scopo del sito.
La sicurezza del sito influisce sulla SEO?
Sì, direttamente. HTTPS è un segnale di posizionamento confermato, il che significa che i siti serviti in modo sicuro hanno un vantaggio di posizionamento rispetto ai siti HTTP. Inoltre, i siti segnalati per malware dai motori di ricerca ricevono etichette di avviso nei risultati che riducono il tasso di clic quasi a zero. Gli avvisi di sicurezza del browser bloccano i visitatori prima che raggiungano la pagina. Un incidente di sicurezza può far sparire un sito del tutto dai risultati di ricerca finché il problema non viene risolto e verificato.
Qual è la misura di sicurezza del sito più importante?
HTTPS tramite un certificato SSL è il livello minimo di base. Senza, i dati inviati con i moduli viaggiano in chiaro e i browser segnalano il sito come non sicuro. Oltre a questo, un’autenticazione forte per gli account amministratore e il software sempre aggiornato sono le due misure che prevengono la maggior parte degli attacchi comuni. I backup regolari sono la rete di sicurezza che limita i danni quando le altre misure falliscono.
Come faccio a sapere se il mio sito è stato violato?
I segnali comuni includono visitatori che segnalano reindirizzamenti inattesi verso altri siti, risultati di ricerca che mostrano pagine sconosciute o avvisi, il sito che si carica molto più lentamente del solito, contenuti comparsi che il proprietario non ha aggiunto, o l’impossibilità di accedere al pannello di amministrazione. Molti attacchi sono pensati per essere invisibili al proprietario del sito mentre colpiscono i visitatori, quindi controllare con regolarità i report delle scansioni di sicurezza e monitorare il rendimento nelle ricerche per cali insoliti sono abitudini importanti.
Che differenza c’è tra sicurezza del sito e sicurezza dell’hosting?
La sicurezza dell’hosting riguarda le protezioni applicate a livello di infrastruttura, compresi server, rete e data center. La sicurezza del sito riguarda le protezioni applicate a livello del sito, compresi il codice dell’applicazione, i sistemi di autenticazione e la configurazione. Contano entrambe. Un ambiente di hosting sicuro non protegge un sito con password deboli o software non aggiornato, e una forte sicurezza a livello di sito non può compensare un provider di hosting con cattive pratiche sull’infrastruttura.