Sicurezza web di base: HTTPS, backup e password

La sicurezza di base di un sito costa meno di quanto pensi: il certificato HTTPS oggi è gratuito, i backup automatici sono inclusi nella mia manutenzione da USD 30 a 60 al mese, e una gestione decente delle password costa zero, solo disciplina. Eppure la maggior parte dei siti di piccole imprese italiane sbaglia almeno uno di questi tre punti. E con il GDPR di mezzo, un sito bucato non è solo un fastidio tecnico: è un problema legale.

HTTPS: il lucchetto non è un optional

HTTPS cifra il traffico tra il visitatore e il sito: senza, tutto ciò che l’utente scrive (nome, email, password) viaggia leggibile. Oggi non ci sono scuse: i certificati sono gratuiti e si rinnovano da soli se il sito è configurato bene. I browser marcano “non sicuro” i siti senza HTTPS, e Google li penalizza.

Il controllo da fare ora: apri il tuo sito e guarda se c’è il lucchetto nella barra. Poi prova con la versione con e senza www: se una delle due non reindirizza all’altra in modo sicuro, la configurazione è a metà. Sono dieci minuti di lavoro per chi sa dove mettere le mani.

Backup: la domanda non è se, ma quando

Prima o poi qualcosa va storto: un aggiornamento che rompe, un errore umano, un attacco. Il backup è la differenza tra “ripristiniamo in un’ora” e “abbiamo perso tutto”. Le tre regole che applico: automatico (il backup manuale è quello che non si fa mai), fuori dal sito (una copia sullo stesso server muore col server), e provato (un ripristino mai testato è una scommessa).

Se il sito raccoglie ordini o dati clienti, la frequenza va tarata sul ritmo del business: perdere un giorno di ordini ha un costo calcolabile, e da lì si decide.

Password e accessi: dove entrano davvero

La maggior parte delle violazioni non è un hacker geniale: è una password debole o riusata, o l’accesso dell’ex collaboratore mai revocato. Le regole minime: password lunghe e uniche generate da un gestore di password, autenticazione a due fattori sugli accessi che contano (hosting, dominio, email), e la lista di chi ha accesso a cosa, rivista quando qualcuno se ne va.

C’è anche un principio architetturale che uso nei sistemi: ogni utente vede solo ciò che gli serve. Un accesso di troppo che non serve a nessuno è solo superficie di attacco in più.

Se il sito tratta dati personali, la sicurezza è un obbligo di legge, non una buona pratica: il GDPR richiede misure adeguate, e in caso di violazione con rischio per gli utenti, la notifica al Garante entro 72 ore. Per una piccola impresa la copertura ragionevole è esattamente quella descritta qui: HTTPS, backup, accessi ordinati, aggiornamenti puntuali. Ne ho scritto di più in GDPR e il tuo sito.

Tutto questo è incluso nei siti che consegno, e la manutenzione mensile lo tiene vivo nel tempo: i prezzi sono nella sezione prezzi.

Domande frequenti

Il mio sito è piccolo: chi vuoi che lo attacchi?

Gli attacchi sono automatici, non personali: programmi che scandagliano milioni di siti cercando falle note. Il sito piccolo non è invisibile, è solo meno difeso.

Ogni quanto vanno fatti i backup?

Per una vetrina, settimanale basta; per un sito con ordini o prenotazioni, giornaliero o più. Nella manutenzione la frequenza si tara sul tuo caso.

Cosa faccio se il sito è già stato compromesso?

Non si rattoppa: si ripristina da un backup pulito, si cambiano tutte le credenziali e si chiude la falla d’ingresso. Se tratti dati personali, va valutata anche la notifica al Garante.

L’autenticazione a due fattori serve davvero?

Sì, è la singola misura più efficace che esista: anche con la password rubata, senza il secondo fattore non si entra. Va attivata almeno su email, hosting e dominio.

Se non sai quando è stato fatto l’ultimo backup del tuo sito, la risposta probabilmente è mai. Scrivimi su WhatsApp: controllo i tre punti e in 48 ore hai diagnosi, prezzo e tempi per iscritto.