Il sito funziona. Ma è sicuro? Cosa controllare prima di pubblicarlo

La homepage si apre, il menu funziona e il modulo sembra inviare messaggi. Il sito è pronto? Dal punto di vista della sicurezza informatica, una prova visiva non basta. Un sito fai-da-te può essere ben realizzato, ma template e strumenti AI non sostituiscono i controlli tecnici. La domanda utile non è chi abbia scritto il codice: è chi abbia verificato come tratta dati e accessi, come viene pubblicato e come sarà mantenuto dopo il lancio.

I problemi che una bella pagina non mostra

Nella OWASP Top 10:2025, gli errori di configurazione comprendono permessi eccessivi, account predefiniti, messaggi di errore troppo dettagliati e funzioni di prova lasciate disponibili. Non sono difetti esclusivi del fai-da-te, né la classifica certifica la vulnerabilità di ogni sito. Mostrano però perché una verifica debba comprendere server, servizi e configurazione di produzione, oltre alle pagine visibili.

Il rischio dipende anche dal progetto. Un sito statico non ha le stesse funzioni di un negozio con pagamenti o di un portale con area riservata. L'hosting gestito può occuparsi di alcuni aggiornamenti, ma non corregge automaticamente ogni scelta dell'integratore. Occorre capire la responsabilità dei fornitori e quella di chi configura moduli, servizi esterni e accessi amministrativi, evitando sia allarmismi sia fiducia senza verifiche.

Password nascoste male e moduli controllati soltanto nel browser

Una chiave privata inserita nel JavaScript inviato ai visitatori non diventa segreta perché la pagina non la mostra. La guida OWASP sui segreti raccomanda una gestione dedicata di password e token, con accessi limitati e possibilità di revoca. Bisogna distinguere le chiavi pubbliche previste dal servizio dalle credenziali riservate: queste ultime non devono finire nel codice pubblico, nei repository o nei log esposti.

Anche un modulo ben impaginato può avere controlli insufficienti. OWASP ricorda che la validazione nel browser è aggirabile: servono verifiche lato server. La validazione dei dati non sostituisce il controllo dei permessi, le query parametrizzate quando si usa SQL o la corretta codifica dell'output per il contesto in cui viene mostrato. Se sono previsti allegati, entrano in gioco ulteriori controlli sui file e sulla loro conservazione.

Il deploy non è semplicemente trascinare una cartella

Il deploy è il passaggio dalla versione preparata al sito operativo. Prima di eseguirlo occorre sapere quali siano i file pubblici, quali configurazioni debbano restare private e come separare ambiente di prova e produzione. Copiare tutto può esporre documenti, backup o dati di test non destinati ai visitatori. Un trasferimento protetto è necessario per tutelare la connessione, ma non rende sicuro un file che non doveva essere pubblicato.

La guida OWASP alla sicurezza dei processi CI/CD richiama permessi minimi, protezione delle credenziali e controllo delle dipendenze. Anche una pubblicazione manuale beneficia di una procedura chiara: verificare i file, avere una copia precedente e controllare moduli e accessi dopo il rilascio. Il ritorno alla versione precedente aiuta a gestire un aggiornamento difettoso, mentre un backup con ripristino provato serve al recupero: nessuno dei due elimina da solo una compromissione.

Che cosa chiedere prima di andare online

• Quali dati raccoglie il sito e chi può accedervi?
• Quali file, credenziali e ambienti restano fuori dalla parte pubblica?
• Chi aggiorna componenti e servizi, e chi controlla eventuali anomalie?
• Esiste una procedura verificata per ripristinare il sito e gestire un incidente?

Un certificato HTTPS protegge il traffico, non certifica l'intera applicazione. Un firewall o un CAPTCHA possono essere strumenti utili, ma non sostituiscono progettazione e verifiche. Il valore di uno specialista sta nel rendere espliciti rischi, responsabilità e controlli documentati, non nel promettere invulnerabilità. Per valutare il tuo progetto puoi contattare DemianWeb: partiremo dalle funzioni effettive del sito e da un piano di manutenzione sostenibile.