Verifica header di sicurezza

Con ogni pagina il Suo server invia al browser informazioni aggiuntive invisibili. Alcune funzionano come piccoli interruttori di sicurezza: impongono la connessione cifrata, impediscono ad altri siti di incorporare il Suo e rendono più difficile il codice iniettato. La verifica mostra in pochi secondi quali interruttori sono attivi, assegna un voto e fornisce il blocco adatto per gli header semplici.

Come leggere il risultato

In alto vede un voto da A+ a F. Come su securityheaders.com si basa su sei header importanti, il voto lì può differire leggermente. Il semaforo sotto è ponderato in modo realistico: il rosso compare solo per lacune reali, ad esempio se il sito è raggiungibile senza cifratura. Gli interruttori aggiuntivi mancanti sono gialli o solo una nota.

OK
Questo punto è implementato correttamente.
Da verificare
Nessun errore grave, ma margini di miglioramento.
Problema
Ha probabilmente un effetto negativo e andrebbe corretto.
Info
A titolo informativo, senza valutazione.

01
HTTPS e reindirizzamento
Apriamo il Suo indirizzo anche con http://. Chi arriva così dovrebbe essere reindirizzato subito alla versione cifrata. Se il server fornisce la pagina senza cifratura, i dati inseriti nei moduli possono essere intercettati.
02
HSTS
Strict-Transport-Security dice al browser: d’ora in poi apri questo sito solo in forma cifrata. Di solito la durata è di un anno. Aggiunga includeSubDomains solo quando davvero tutti i sottodomini hanno HTTPS.
03
Content-Security-Policy
La CSP stabilisce da dove possono essere caricati script, font e altri contenuti. È la protezione più forte contro il codice iniettato, ma deve essere fatta su misura per il Suo sito. Valutiamo una CSP esistente e indichiamo i punti deboli evidenti. Volutamente non forniamo codice pronto.
04
Protezione dall’incorporamento e nosniff
X-Frame-Options o frame-ancestors impediscono ad altri siti di incorporare il Suo in modo invisibile e di indurre i visitatori a cliccare. X-Content-Type-Options: nosniff fa sì che il browser non tratti i file diversamente da come li dichiara il server.
05
Referrer-Policy e Permissions-Policy
La Referrer-Policy regola quanto dell’indirizzo visitato apprendono i siti esterni. La Permissions-Policy blocca fotocamera, microfono o posizione per la Sua pagina e i contenuti incorporati. Entrambe sono utili, ma la loro assenza non è un problema di sicurezza.
06
Versioni visibili e cookie
Se il server indica la propria versione, aiuta solo gli aggressori. Per i cookie impostati direttamente dal server verifichiamo gli attributi di protezione Secure, HttpOnly e SameSite. Diventa rosso se un cookie di accesso o di sessione viene inviato senza Secure.
07
Blocco per il Suo server
Se mancano header semplici, riceve un blocco pronto per il file .htaccess (Apache) e le stesse righe per nginx. Contiene solo ciò che manca da Lei e nessuna CSP. Lo verifichi su una copia del sito prima di pubblicarlo.
08
Un badge per il Suo sito
Con voto A o A+ e nessun punto rosso Le offriamo sotto il risultato un badge da inserire, chiaro o scuro e in tre dimensioni. Il codice è semplice HTML senza script, cookie o tracciamento. Il badge rimanda a questa verifica con il Suo dominio, con un clic la verifica viene ripetuta. Così mostra sempre lo stato attuale e non si può falsificare. Se inserirlo lo decide Lei.

Perché gli header di sicurezza proteggono il Suo sito

La maggior parte degli attacchi ai siti di piccole e medie imprese avviene in automatico: programmi cercano giorno e notte pagine con punti deboli noti. Gli header di sicurezza non chiudono una falla nel CMS, ma rendono molti attacchi molto più difficili, come l’intercettazione nelle reti Wi-Fi pubbliche, l’incorporamento in pagine truffaldine o l’esecuzione di codice iniettato.

La buona notizia: la maggior parte degli header si imposta con poche righe nella configurazione del server e non costa né tempo di caricamento né denaro. Più impegnativa è solo la Content-Security-Policy, perché deve conoscere ogni fonte integrata, dal banner dei cookie alla mappa.

Molti provider non impostano gli header da soli. Anche dopo un trasloco, un nuovo theme o un plugin di caching le impostazioni vanno spesso perse. Per questo verifichi di nuovo il sito dopo ogni modifica importante.

Ecco come appaiono buoni header di risposta

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-…'; object-src 'none'; frame-ancestors 'self'
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

La CSP qui sopra illustra solo la struttura. La Sua deve contenere tutti i servizi usati dal sito. Le altre righe le genera la verifica come blocco adatto al Suo risultato.

Domande frequenti sugli header di sicurezza

Perché non c’è codice pronto per la Content-Security-Policy?

Perché una CSP sbagliata può bloccare il Suo sito: moduli, video, mappe, servizi di pagamento o il banner dei cookie non si caricano più. Una buona CSP nasce per gradi, prima in modalità test (Report-Only), poi con le segnalazioni raccolte. Ce ne occupiamo volentieri per Lei.

Dove va il blocco in WordPress?

Nel file .htaccess nella cartella principale, sopra la riga «# BEGIN WordPress». Se il sito gira su nginx, le righe vanno nella configurazione del server. Con un hosting gestito c’è spesso un’impostazione apposita nel pannello del provider.

Il blocco può rompere qualcosa?

Raramente, ma è possibile. X-Frame-Options, ad esempio, impedisce che la pagina venga mostrata in una cornice esterna, come un page builder o un’anteprima. HSTS, una volta impostato, non si può revocare subito. Per questo verifichi prima su una copia del sito.

Perché il mio voto è diverso da quello di securityheaders.com?

Valutiamo gli stessi sei header con lo stesso principio, ma pesiamo alcuni dettagli in modo diverso, ad esempio una CSP con unsafe-inline. Inoltre verifichiamo il redirect su HTTPS, i cookie e le versioni visibili, che confluiscono nel semaforo, non nel voto.

Il sito risponde con 403. Che cosa significa?

Probabilmente un firewall o una protezione anti-bot ha respinto la nostra richiesta. Gli header potrebbero quindi provenire da quella pagina di protezione e non dal Suo sito, perciò li mostriamo senza semaforo. In questo caso li verifichi nel browser in strumenti per sviluppatori, rete.

Posso mostrare il risultato sul mio sito?

Sì, con voto A o A+ e nessun punto rosso. Sotto il risultato copia un breve codice HTML, ad esempio per il footer. Per questo non salviamo nulla. Il badge rimanda a questa pagina con il Suo dominio, con un clic viene eseguita una nuova verifica. Se manca ancora qualcosa, la verifica Le indica cosa. L’inserimento è facoltativo.

I dati inseriti vengono salvati?

Richiamiamo la Sua pagina una volta in forma cifrata e una volta non cifrata e leggiamo solo gli header della risposta. Salviamo in forma anonima l’indirizzo verificato e il risultato a fini statistici. Il Suo indirizzo IP non viene salvato. Maggiori informazioni nella nostra informativa sulla privacy.

Sicurezza che non si vede

Come agenzia web a Vienna ci occupiamo della parte tecnica del Suo sito: header di sicurezza, Content-Security-Policy, aggiornamenti e manutenzione, così gli attacchi non hanno alcuna possibilità.

Ci contatti