Il sito web è il biglietto da visita dell’azienda. Ma è anche, molto spesso, il sistema più esposto e meno curato: online 24 ore su 24, raggiungibile da chiunque nel mondo, realizzato magari anni fa e da allora toccato solo per cambiare qualche testo.
Un sito compromesso può diffondere malware ai visitatori, inviare spam a nome dell’azienda, ospitare pagine di phishing, perdere i dati dei moduli di contatto o semplicemente sparire da Google. Ecco sette controlli che consiglio di fare, anche senza essere tecnici.
1. È aggiornato?
La maggior parte dei siti compromessi viene attaccata attraverso vulnerabilità note in software non aggiornati: il CMS (WordPress, Joomla e simili), i plugin, i temi. Chiedete quando è stato fatto l’ultimo aggiornamento e chi se ne occupa. Se la risposta è “non lo so”, è il primo problema da risolvere.
2. Ci sono plugin o componenti inutilizzati?
Ogni plugin installato è codice in più che può contenere errori, anche se disattivato. Quelli che non servono vanno rimossi, non solo spenti. E quelli abbandonati dagli sviluppatori, che non ricevono aggiornamenti da anni, vanno sostituiti.
3. Chi ha accesso all’amministrazione?
Spesso negli anni si accumulano utenti amministratori: l’agenzia di cinque anni fa, il collaboratore che non c’è più, lo stagista. Fate pulizia: ogni persona il suo account, solo i permessi necessari, password robuste e uniche e, dove possibile, autenticazione a due fattori.
4. Il certificato HTTPS è valido su tutto il sito?
Il lucchetto nel browser indica che la connessione è cifrata. Verificate che compaia su tutte le pagine, compresi i moduli di contatto e le aree riservate, e che il certificato si rinnovi automaticamente.
5. I backup esistono e funzionano?
Il sito viene salvato regolarmente, con file e database, in un posto diverso dal server stesso? Qualcuno ha mai provato a ripristinarlo? Se il sito venisse compromesso o cancellato, un backup recente e verificato è la differenza tra un problema di un’ora e uno di settimane.
6. I moduli sono protetti?
I moduli di contatto e di registrazione sono tra i bersagli preferiti di spam e attacchi automatici. Servono una protezione anti-bot, la validazione dei dati inseriti e attenzione a dove finiscono le informazioni raccolte, anche ai fini del GDPR.
7. Qualcuno se ne accorgerebbe?
Se domani il sito venisse modificato o andasse offline, quanto tempo passerebbe prima che qualcuno se ne accorga? Esistono servizi di monitoraggio, anche gratuiti, che avvisano quando il sito non risponde o quando cambiano file importanti. E conviene controllare periodicamente gli strumenti per i webmaster dei motori di ricerca, che segnalano se il sito viene considerato pericoloso.
Il controllo più importante: c’è un responsabile?
Dietro quasi ogni sito compromesso c’è la stessa storia: nessuno se ne occupava davvero. Il sito è stato consegnato, pagato, e poi dimenticato. La sicurezza di un sito non è un’attività una tantum, è manutenzione ordinaria, come la revisione dell’auto.
Se dopo questi sette punti avete più dubbi che certezze, non è una cattiva notizia: vuol dire che sapete da dove cominciare.
Vuoi un controllo di sicurezza sul sito della tua azienda? Scrivimi.
