Sicurezza del sito web: proteggere la propria presenza online

Lunedì mattina, otto e un quarto. Il titolare di una carpenteria apre il proprio sito per copiare un link da girare a un cliente e al posto della homepage trova una pagina nera, una bandiera che non riconosce e una scritta in una lingua che non sa leggere. Il preventivo può aspettare. La sicurezza del sito web, invece, ha appena smesso di essere un argomento astratto: è diventata la prima voce dell’agenda, nel modo peggiore possibile.

La variante da incubo è quella in cui non si apre il sito ma il gestionale, e sullo schermo compare una richiesta di riscatto: i file dell’azienda sono cifrati, per riaverli si paga. Chi pensa che queste cose capitino solo alle multinazionali ha capito il problema al contrario. Le grandi aziende hanno reparti interi che fanno solo questo mestiere. Le piccole, spesso, hanno un sito installato anni fa e mai più toccato.

Nessun hacker ti ha scelto, ed è una pessima notizia

Il malinteso più diffuso suona così: “chi vuoi che se la prenda con noi?”. Nessuno, appunto. La stragrande maggioranza degli attacchi ai siti di piccole imprese non ha un autore che sceglie il bersaglio: ha un programma che scandaglia la rete giorno e notte, prova migliaia di indirizzi al minuto e si ferma dove trova una porta che cede. Chiunque abbia messo online un sito e guardato i registri di accesso lo sa: i tentativi automatici di intrusione cominciano nel giro di ore, non di mesi.

Per il bot che bussa alla tua porta, il sito della carpenteria e quello della banca hanno lo stesso identico valore: sono un tentativo. La differenza è che la banca ha porte blindate e la carpenteria, spesso, ha lasciato la chiave sotto lo zerbino. Essere piccoli non rende invisibili. Rende, semmai, il bersaglio più facile di una lista compilata da una macchina.

Le basi che non si negoziano

La buona notizia è che per fermare gli attacchi automatici non serve un reparto di sicurezza: serve disciplina su cinque punti, sempre gli stessi.

Gli aggiornamenti. Un sito è fatto di software, e il software invecchia: ogni falla scoperta e corretta dagli sviluppatori diventa, per chi non aggiorna, una porta aperta e documentata pubblicamente. I programmi che scandagliano la rete cercano esattamente questo — versioni vecchie con vulnerabilità note. È anche uno dei motivi per cui la scelta del CMS per il sito aziendale va fatta guardando la manutenzione, non solo il prezzo di partenza: una piattaforma diffusa e ben mantenuta si aggiorna; una soluzione abbandonata dal suo sviluppatore no.

I backup, ma testati. Quasi tutti dichiarano di avere una copia di sicurezza. Pochissimi hanno mai provato a ripristinarla. Un backup mai testato non è un backup: è una speranza. La verifica giusta è una domanda sola — se il sito sparisse stanotte, domani mattina qualcuno saprebbe rimetterlo in piedi, da una copia recente, custodita altrove rispetto al sito stesso? Se la risposta contiene un’esitazione, la risposta è no.

Il protocollo HTTPS. Il lucchetto nella barra del browser cifra il dialogo tra il visitatore e il sito. Senza, ogni dato che passa — un modulo di contatto, una password, un pagamento — viaggia leggibile. I browser ormai marchiano come “non sicuri” i siti che ne sono privi, e i motori di ricerca li penalizzano: qui la sicurezza e la reputazione coincidono al centesimo.

Password e doppio fattore. Le parole d’ordine deboli o riciclate restano il modo più comune di perdere il controllo di un sito. La contromisura è nota e gratuita: password lunghe, uniche, custodite in un gestore, e l’autenticazione a due fattori ovunque sia disponibile. Il secondo fattore trasforma una password rubata da chiave di casa in chiave inutile.

I permessi minimi. Ogni persona che accede al sito dovrebbe poter fare solo ciò che le serve. Il collaboratore che carica le foto non ha bisogno dei poteri di amministratore; l’agenzia che ha fatto un lavoro tre anni fa non ha bisogno di un account ancora attivo. Ogni permesso in più è una porta in più, e le porte dimenticate sono quelle da cui si entra.

L’anello debole risponde alle email

Tutto quanto sopra, però, ha un limite scomodo: la tecnica protegge dalla tecnica, non dalle persone. Le analisi annuali sulle violazioni di dati attribuiscono da anni la maggioranza degli incidenti al fattore umano — un clic su un allegato, una password digitata su un sito contraffatto, un bonifico autorizzato al finto fornitore. Il phishing non forza la serratura: convince qualcuno ad aprire la porta, con una email che imita il corriere, la banca o il collega.

Per questo la sicurezza di un sito aziendale si gioca anche lontano dal sito: nelle caselle di posta di chi ci lavora. Una regola d’ufficio semplice — nessuna credenziale si comunica via email, nessun link nelle email “urgenti” si clicca senza verificare il mittente — vale più di molti dispositivi costosi. E vale doppio per chi vende online: chi gestisce un negozio online custodisce dati e pagamenti dei clienti, e la fiducia, in quel mestiere, è letteralmente il fatturato.

Le domande da fare a chi gestisce il tuo sito

Il titolare di una piccola impresa non deve diventare un tecnico. Deve fare le domande giuste a chi il sito lo gestisce — l’agenzia, il consulente, il “cugino bravo col computer” — e pretendere risposte precise. Sono cinque: chi si occupa degli aggiornamenti, e con quale frequenza? Ogni quanto viene fatto il backup, dove viene conservato e quando è stato provato l’ultimo ripristino? Il sito è interamente in HTTPS? Chi ha accesso al pannello, e gli accessi di chi non collabora più sono stati revocati? Se domattina il sito fosse compromesso, qual è il piano e chi chiamo?

Chi risponde con precisione sta già facendo il proprio lavoro. Chi risponde “tranquillo, è tutto a posto” senza un dettaglio è esattamente il motivo per cui questa lista esiste.

Il conto della prevenzione e quello del disastro

Resta l’obiezione di sempre: costa. Vero, e conviene guardare i due preventivi uno accanto all’altro. La prevenzione costa qualche ora di manutenzione al mese e strumenti in buona parte gratuiti. Il ripristino dopo un attacco costa l’intervento d’urgenza di uno specialista, i giorni o le settimane di sito fermo, gli ordini persi, le eventuali comunicazioni obbligatorie agli interessati se sono stati esposti dati personali — con le sanzioni previste dalle norme europee sulla protezione dei dati a fare da sfondo.

E poi c’è la voce che nessun preventivo riporta: la reputazione. Il cliente che trova il tuo sito deturpato, o riceve spam dal tuo dominio, non pensa “sfortuna”. Pensa “trascuratezza”. E la trascuratezza, nella testa di chi compra, non resta confinata al sito: si estende ai prodotti, al servizio, a tutto.

Domande frequenti

Il mio sito è piccolo: interessa davvero a qualcuno?

Sì, perché gli attacchi non scelgono: scandagliano. Un sito violato vale sempre qualcosa — per inviare spam, ospitare truffe, rubare dati o chiedere un riscatto — indipendentemente dalla dimensione dell’azienda che c’è dietro.

Ogni quanto va fatto il backup di un sito?

Dipende da quanto spesso cambia: per un sito vetrina può bastare una copia settimanale, per un e-commerce serve almeno una al giorno. Il punto decisivo non è la frequenza ma la prova: un ripristino va testato periodicamente, prima che serva davvero.

L’HTTPS basta a rendere sicuro un sito?

No. Il lucchetto protegge i dati in transito tra visitatore e sito, ma non dice nulla sullo stato del sito stesso: un sito compromesso può tranquillamente avere l’HTTPS attivo. È una condizione necessaria, non sufficiente.

Cosa fare se il sito è già stato violato?

Isolare il sito, cambiare tutte le credenziali da un dispositivo pulito, ripristinare da un backup precedente alla violazione e far individuare a un tecnico la falla d’ingresso, altrimenti l’intrusione si ripete. Se sono coinvolti dati personali, valutare con un consulente gli obblighi di notifica.

Quel lunedì mattina, per la carpenteria, è finito con tre giorni di sito spento e una fattura d’urgenza. La versione alternativa della stessa storia dura trenta secondi: un ripristino dal backup della notte prima, un caffè, e alle otto e mezza si torna ai preventivi. La differenza tra le due non è la fortuna. È tutto quello che era stato fatto — o non fatto — nei mesi in cui non succedeva niente.

Tenere in ordine e al sicuro la presenza online delle imprese è parte del lavoro quotidiano di Publilia.