Cosa si perde con un sito violato
Un sito violato costa su tre fronti insieme: i dati delle persone che si sono fidate a lasciarteli, il sito stesso e la faccia che ci hai messo. Google se ne accorge in fretta, mette l'avviso davanti alle tue pagine, e le posizioni scendono mentre tu sei ancora al telefono con l'assistenza dell'hosting.
Punti chiave
- Con un sito violato perdi tre cose insieme: i dati degli utenti, il sito, la fiducia di chi ci arriva.
- HTTPS con certificato SSL è un fattore di ranking Google e un segnale di fiducia per gli utenti.
- Le minacce più frequenti (SQL injection, XSS, brute force, malware, DDoS) hanno contromisure precise.
- WordPress, usato da oltre il 43% dei siti, va difeso con aggiornamenti, 2FA e plugin di sicurezza.
- Il backup è l'ultima rete: regola 3-2-1, automatico, e provato almeno una volta a ripristinarlo davvero.
L'etichetta «sito non sicuro» Google la mette in automatico e senza chiamarti prima: da lì in poi traffico e posizioni in SEO scendono da sole. Il conto vero però arriva dopo. Le campagne che stai pagando portano le persone su una pagina segnalata, i contatti raccolti finiscono in mano a qualcun altro, e l'autorevolezza costruita in anni la rimetti in piedi spiegando l'accaduto a uno a uno.
«Su un sito piccolo nessuno perde tempo ad attaccarti a mano: ti trova uno script che gira su mezzo internet e prova le stesse cinque porte su tutti.»
HTTPS e Certificato SSL
Il protocollo HTTPS (HyperText Transfer Protocol Secure) cripta la comunicazione tra il browser dell'utente e il server. È garantito da un certificato SSL/TLS che autentica l'identità del sito.
Dal 2014 Google considera l'HTTPS un fattore di ranking. I browser moderni segnalano come "Non sicuro" qualsiasi sito che non utilizza HTTPS, impattando negativamente sulla fiducia degli utenti e sui Core Web Vitals.
- DV (Domain Validation): verifica solo la proprietà del dominio. Gratuito con Let's Encrypt
- OV (Organization Validation): verifica anche l'organizzazione. Consigliato per aziende
- EV (Extended Validation): verifica estesa con barra verde. Per e-commerce e banche
Minacce comuni
Le minacce che arrivano davvero addosso a un sito piccolo, in ordine di frequenza:
| Minaccia | Descrizione | Protezione |
|---|---|---|
| SQL Injection | Inserimento di codice malevolo nei form | Query parametrizzate, WAF |
| XSS (Cross-Site Scripting) | Esecuzione di script nel browser degli utenti | Sanitizzazione input, CSP headers |
| Brute Force | Tentativi massivi di indovinare password | Limitazione tentativi, 2FA |
| Malware | Codice malevolo iniettato nel sito | Scansioni regolari, file integrity |
| DDoS | Sovraccarico del server con richieste | CDN, rate limiting, Cloudflare |
Protezione per WordPress
WordPress gira su oltre il 40% dei siti del mondo, e proprio per questo è il bersaglio più battuto: chi attacca scrive lo script una volta e lo lancia su tutti. Le misure che metto sempre, in questo ordine:
- Aggiornamenti regolari: WordPress core, temi e plugin devono essere sempre aggiornati
- Plugin di sicurezza: Wordfence, Sucuri o iThemes Security per firewall e scansioni
- Cambia URL di login: sposta /wp-admin a un URL personalizzato
- Autenticazione a due fattori (2FA): per tutti gli account admin
- Permessi file corretti: 644 per i file, 755 per le cartelle
- Disabilita XML-RPC: se non utilizzi app mobile per WordPress
- Limita i tentativi di login: blocco automatico dopo N tentativi falliti
Backup e disaster recovery
Il backup è l'ultima rete. Anche con il sito tenuto in ordine restano l'aggiornamento andato storto, il plugin che si porta via il database, il ransomware, o la cancellazione sbagliata alle undici di sera. Con una copia recente e ripristinabile ci perdi mezz'ora; senza, ci perdi anni di contenuti e i dati dei clienti.
Segui la regola 3-2-1:
- 3 copie dei dati (originale + 2 backup)
- 2 supporti diversi (server + cloud esterno)
- 1 copia off-site (in una location separata)
Automatizza i backup con strumenti come UpdraftPlus, BlogVault o i backup automatici del tuo hosting. Testa regolarmente il ripristino per assicurarti che i backup funzionino.
Checklist di sicurezza
Questa è la lista che scorro una volta al mese, dieci minuti in tutto:
- Certificato SSL attivo e non scaduto
- WordPress, temi e plugin aggiornati
- Backup automatici funzionanti (testati)
- Password forti + 2FA per tutti gli admin
- Plugin e temi inutilizzati rimossi
- Scansione malware settimanale
- Headers di sicurezza configurati (CSP, X-Frame-Options, HSTS)
- Monitoraggio uptime attivo
- Log di accesso controllati regolarmente
- Piano di risposta agli incidenti documentato
Vuoi imparare ad applicarlo davvero?
Scopri i corsi e la formazione di Federico Boggia su AI, dati e digitale.
