Come proteggere il proprio sito web da attacchi e guasti

Un sito web professionale si protegge con tre riflessi semplici: mantenere il software aggiornato, limitare gli accessi a ciò che è strettamente necessario, e disporre di un backup recente e testato. Questi tre punti coprono la stragrande maggioranza degli attacchi e dei guasti riscontrati sui siti delle piccole imprese. Il resto dipende dalla scelta di un hosting serio e da un monitoraggio minimo.

Perché un sito professionale resta un bersaglio, anche senza traffico massiccio

Un avvocato, un artigiano o uno studio di commercialisti pensa raramente di essere un bersaglio per un attaccante. È un errore di ragionamento. La maggior parte degli attacchi sui piccoli siti non prende di mira un'azienda in particolare: bot percorrono in continuazione milioni di indirizzi alla ricerca di falle note su WordPress, Joomla, PrestaShop o le loro estensioni. Un sito con un plugin non aggiornato da due anni viene individuato in poche ore, non in pochi mesi.

Le conseguenze superano ampiamente l'immagine scalfita. Un sito compromesso può essere usato per inviare spam, ospitare pagine di phishing, o reindirizzare discretamente parte del traffico verso un altro sito senza che il proprietario se ne accorga per settimane. Google finisce per inserire l'indirizzo in blacklist, il che fa crollare il posizionamento da un giorno all'altro e può richiedere diverse settimane per essere ripristinato.

Mantenere il software aggiornato, come priorità

La causa numero uno di violazione sui siti in gestione autonoma (WordPress in particolare) è un CMS, un tema o un plugin obsoleto. Le falle di sicurezza corrette in un aggiornamento diventano pubbliche fin dalla sua pubblicazione: è un'informazione preziosa per un attaccante, che sa allora esattamente cosa cercare sui siti che non hanno ancora applicato la correzione.

Tre regole semplici:

1. Aggiornare il core del CMS non appena esce una versione di sicurezza, senza aspettare.
2. Disinstallare i plugin e i temi non utilizzati piuttosto che lasciarli inattivi — un plugin disattivato ma presente resta una porta d'ingresso.
3. Limitare il numero di estensioni allo stretto necessario: ogni plugin aggiunto è una superficie di attacco in più.

Su un sito sviluppato su misura senza CMS diffuso, questo rischio è ridotto ma non nullo: anche le dipendenze software (librerie, framework) devono essere seguite e aggiornate regolarmente.

Controllare gli accessi e le password

Una password debole o riutilizzata sull'area di amministrazione resta una porta spalancata. Gli attacchi a forza bruta testano automaticamente migliaia di combinazioni, spesso con credenziali trapelate durante un'altra violazione senza alcun rapporto con il Suo sito.

Buone pratiche da applicare senza eccezioni:

• Una password unica e lunga (16 caratteri minimo) per ogni accesso: hosting, FTP, database, CMS.
• L'autenticazione a due fattori sull'area di amministrazione non appena disponibile.
• Un account amministratore nominativo per persona, mai un account generico condiviso tra più collaboratori.
• La rimozione immediata degli accessi di un ex fornitore o dipendente che non interviene più sul sito.

Mettere in sicurezza la connessione e il server

Il certificato SSL (il lucchetto nella barra degli indirizzi, l'URL in https) cifra gli scambi tra il visitatore e il server. È oggi un requisito, non un'opzione: senza di esso, i browser mostrano un avviso "non sicuro" che fa fuggire un visitatore in un secondo, e Google penalizza leggermente il posizionamento dei siti che ne sono privi. La quasi totalità degli hosting seri lo include gratuitamente (Let's Encrypt) ormai.

L'SSL protegge il trasporto dei dati, non il sito stesso. Un firewall applicativo web (WAF) filtra a monte le richieste malevole prima che raggiungano il server: tentativi di iniezione SQL, script automatizzati, scansioni di vulnerabilità. Su un hosting condiviso generico, questo livello di protezione è raramente incluso di default; vale la pena verificare cosa offre realmente l'hosting oltre al semplice certificato SSL.

Anticipare il guasto: disponibilità e backup

La sicurezza non si limita alla violazione. Un guasto del server, un errore di manipolazione, o un aggiornamento fallito possono rendere un sito inaccessibile senza che ci sia la minima intrusione. Due elementi limitano l'impatto:

Un punto spesso trascurato: un backup mai testato in ripristino non è una garanzia, è un'ipotesi. Verificare una volta al trimestre che un backup si ripristini correttamente fa risparmiare tempo prezioso il giorno in cui l'incidente si verifica davvero.

Sorvegliare senza passarci le giornate

Il monitoraggio non deve essere permanente per essere utile. Uno strumento di monitoraggio gratuito o poco costoso che verifica ogni cinque minuti che il sito risponda, abbinato a un avviso via email o SMS, basta a rilevare un guasto in pochi minuti piuttosto che scoprirlo da un cliente che non riesce più a consultare il sito. Alcuni hosting e fornitori includono questo monitoraggio nella loro offerta; altrimenti, esistono servizi indipendenti a basso costo.

Cosa ricordare

• La causa più frequente di violazione su un sito professionale è un software obsoleto, non un attacco mirato.
• Una password unica e lunga per ogni accesso, con autenticazione a due fattori, blocca la maggior parte dei tentativi automatizzati.
• L'SSL protegge il trasporto dei dati, non il sito stesso: è solo un tassello tra altri.
• Un backup mai testato in ripristino non offre alcuna garanzia reale.
• Un monitoraggio semplice, anche gratuito, permette di rilevare un guasto in pochi minuti piuttosto che scoprirlo da un cliente scontento.
• Un hosting in Europa con monitoraggio degli aggiornamenti resta la protezione più redditizia per un sito vetrina.

Domande frequenti

Un sito vetrina semplice può essere violato?

Sì. I bot che scansionano il web non prendono di mira la Sua notorietà ma falle note su CMS o plugin obsoleti. Un sito vetrina mal mantenuto è un bersaglio facile quanto un sito grande, spesso più facile perché meno sorvegliato.

Il certificato SSL basta a proteggere un sito?

No. L'SSL cifra gli scambi tra il visitatore e il server, impedisce l'intercettazione dei dati. Non protegge né dall'intrusione nel sito stesso, né da un guasto del server, né da una falla nel codice o in un plugin.

Quanto costa la messa in sicurezza di un sito professionale?

Un hosting condiviso serio con firewall e SSL inclusi costa 3-15€/mese. Un VPS con monitoraggio attivo sale a 20-100€/mese. Con VeryAppi, sicurezza e aggiornamenti sono inclusi nell'abbonamento a 99€/mese.

Cosa fare immediatamente se il mio sito viene violato?

Bloccate l'accesso pubblico se possibile, cambiate tutte le password (hosting, CMS, FTP, database), ripristinate un backup sano precedente all'infezione, poi identificate la falla prima di rimettere il sito online.

Se la gestione degli aggiornamenti e della sicurezza vi porta via tempo che non ha, un sito web gestito con manutenzione e sicurezza incluse evita di dover sorvegliare da soli ogni componente tecnico.