Guida pratica alla sicurezza del tuo sito web

Un sito sicuro è un sito al riparo dagli attacchi degli hacker. Si tratta di un requisito che oggi è fondamentale, visto che la maggior parte delle attività che svolgiamo quotidianamente hanno luogo online: acquistiamo, lavoriamo, gestiamo appuntamenti medici, chattiamo con amici e molto altro.

È importante, quindi, che i nostri dati personali, le password e i numeri delle carte di credito siano al sicuro, salvaguardati da un certificato di sicurezza del sito web e altre misure preventive che puoi adottare: fare un backup del tuo sito Internet, qualsiasi sia il tool con cui l’hai creato, verificare la sicurezza del sito periodicamente, effettuare backup giornalieri e così via.

Vediamo quindi nel dettaglio come puoi impedire ai malintenzionati del Web di impossessarsi del tuo sito web e farne un uso illecito.

Per navigare in sicurezza online, da una parte è imprescindibile che gli utenti sappiano distinguere un sito sicuro da uno potenzialmente pericoloso; dall’altra è fondamentale che i siti legittimi offrano misure di sicurezza forti per proteggere i dati dei loro clienti.

Come capire se un sito è sicuro

Gli italiani hanno ormai sdoganato gli acquisti online: alzi la mano chi nell’ultimo mese non ha aperto Internet explorer e comprato almeno un prodotto o contrattato un servizio.

L’impossibilità di fare acquisti fisici durante il periodo del lockdown ha impulsato questa tendenza e dopo aver provato la comodità dell’online sono in molti a non voler più tornare allo shopping fisico. Ciò che ha definitivamente convinto gli utenti, oltre alla comodità, è stata anche la facilità e velocità con cui è possibile realizzare un acquisto online.

Ma se da un lato semplificare le transazioni digitali ha avvantaggiato gli utenti, per contro ha anche fatto abbassare loro le difese: quanti verificano che un sito web sia veramente sicuro prima di inserire dati sensibili?

I metodi per verificare l’affidabilità di un sito web

Prima di collegarti a un sito devi sempre assicurarti della sua affidabilità.

Vediamo come puoi farlo:

• Rivedi le impostazioni di sicurezza del tuo browser.
• Controlla nella barra di navigazione del browser se il sito implementa il protocollo sicuro HTTPS (indicato dall’icona di un lucchetto).
• Fidati delle avvertenze di Google, che ti segnala i siti potenzialmente pericolosi con avvisi di sito non sicuro o connessione non sicura.
• Controlla il livello di sicurezza dell’URL con uno strumento come  Google Safe Browsing.
• Verifica la legittimità dell’URL controllandone attentamente l’indirizzo e verificando l’eventuale presenza di errori.
• Fai attenzione alla presenza evidente di un malware sul sito: la comparsa di popup e reindirizzamenti insoliti sono un segnale chiaro.
• Verifica online la reputazione del sito web.

Quali sono i siti più pericolosi

Internet può essere un luogo rischioso per chi non prende precauzioni quando naviga online, scarica contenuti o realizza transazioni economiche.

I siti più pericolosi sono quelli che non proteggono i dati dei loro utenti con il protocollo HTTPS, che salvaguarda la trasmissione di dati tra il browser e il sito, e i protocolli di crittografia SSL/TLS (Secure Socket Layers/Transport Layer Security).

Phishing e siti non sicuri

Molte truffe online iniziano con una mail che avverte l’utente di un problema o di una possibile minaccia che può essere evitata entrando nel sito web indicato con i propri dati personali.

Ad una prima occhiata, l’email sembra regolare: il mittente è noto all’utente – è la sua Banca o un sito web che conosce – e la grafica, il logo e i contenuti del messaggio sembrano originali.

In realtà questo tipo di messaggi nascondono un grande pericolo: l’indirizzo del mittente è stato falsificato per ingannare il destinatario e convincerlo a visitare un sito non sicuro per sottrargli dati personali o scaricare sul suo device un malware.

Si tratta di phishing, un metodo di hackeraggio sempre più comune e sofisticato che può essere evitato analizzando in profondità l’indirizzo email del mittente, che in genere contiene errori, e i link indicati, che non rimandano al sito corretto e non implementano protocolli di sicurezza.

L’utente può difendersi dal phishing avvalendosi di metodi di autenticazione dei messaggi: l’ISP verificherà infatti l’IP e il dominio del mittente, evitando che nell’inbox dell’utente entrino email spam o fraudolente.

Ci sono diverse soluzioni che puoi implementare per proteggere il tuo sito web. Le strategie più efficaci sono:

• richiedere a una autorità di certificazione il certificato digitale SSL/TLS;
• scegliere un provider con protezione firewall per bloccare immediatamente qualsiasi minaccia;
• installare un antivirus efficace;
• aggiornare sempre tutti i software del tuo sito web (lato server e lato client), i plugin se hai un sito con WordPress, i sistemi operativi e, ovviamente, l’antivirus;
• realizzare con regolarità un controllo di sicurezza del tuo sito web per individuare software obsoleti, malware e altri virus informatici che stanno tentando un attacco.

Gli acquisti online sono in crescita e così le minacce per gli utenti, sempre più esposti a tentativi di hackeraggio e frodi.

Per un sito e-commerce è fondamentale implementare protocolli di sicurezza e sistemi avanzati per la protezione dei dati personali dei clienti. Ne va della reputazione del brand, da cui dipendono direttamente le vendite del negozio online e la fidelizzazione dei clienti, per non parlare di eventuali sanzioni economiche nel caso di furto di informazioni sensibili.

L’affidabilità dei siti ecommerce passa inevitabilmente per l’implementazione di HTTPS, che è l’unico modo per mettere in sicurezza le transazioni commerciali dei clienti, impedendo agli hacker di rubare le loro coordinate bancarie o i dati delle carte di credito.

Inoltre, tutti i browser moderni, come Google Chrome, avvisano l’utente che una pagina web non è sicura se non è presente il protocollo HTTPS. Questo è un deterrente molto efficace perché la maggior parte delle persone che visualizza questo avvertimento poi abbandona il sito.

Tutelare i dati personali dei clienti: la creazione dell’account

Un e-commerce ottiene i dati personali dell’utente sin dal momento della creazione dell’account che permette di acquistare sul sito. Si tratta di nome, cognome, data di nascita, città di residenza, ecc…

Questi dati devono essere archiviati in totale sicurezza perché possono essere sottratti dagli hacker per fini illeciti.

Quando crea il suo account, l’utente deve inserire anche la sua password: questo è un altro momento delicato e potenzialmente pericoloso. La piattaforma e-commerce dovrebbe avvertire l’utente dell’importanza di creare password sicure, ovvero difficili da identificare, magari casuali, con almeno 13 caratteri e in uso su una sola piattaforma.

Per rinforzare la protezione dei dati dell’utente, l’e-commerce può implementare l’autenticazione a due fattori, che ad esempio usa Amazon.

Come abbiamo visto, ci sono molte precauzioni che puoi attuare per proteggere il tuo sito web e i tuoi visitatori: implementare protocolli di sicurezza, scegliere un hosting affidabile, usare password complesse, tra le altre cose.

Ma il singolo passaggio più importante per la sicurezza del tuo sito è eseguire un backup.

Backup dei file, backup del database, backup di WordPress, backup automatici e manuali: cerchiamo di fare chiarezza su tutto ciò che circonda questo tipo di operazione, partendo in primo luogo dalla sua definizione.

Il backup consiste nella copia di file o database fisici o virtuali in una posizione secondaria per mettere al sicuro le informazioni più importanti di un’azienda in caso di guasto del server, dell’hardware, di catastrofi naturali o di attacchi di hacker.

Il processo di backup, manuale o non, è fondamentale per ripristinare il sito in caso di emergenza: se perdi dati cruciali o il tuo sito è stato violato, risolverai rapidamente i tuoi problemi.

Servono pochi minuti per preparare il file di backup e i benefici sono incalcolabili.

Quali dati devono essere sottoposti a backup? Sicuramente i database critici e quelli relativi alle applicazioni line-of-business, ovvero quelle che permettono all’azienda di svolgere le sue attività fondamentali.

In quanto alla frequenza, le migliori pratiche suggeriscono di realizzare un backup completo dei dati almeno una volta alla settimana, meglio se durante il fine settimana o le ore non lavorative.

Il backup di un sito WordPress

Se usi WordPress o qualsiasi altro sistema di gestione dei contenuti (CMS), probabilmente hai installato sul tuo sito componenti aggiuntivi come temi e plug-in. Si tratta di elementi utili ma anche potenzialmente problematici: ogni volta che installi un nuovo componente aggiuntivo, infatti, introduci sul tuo sito un elemento che potrebbe non funzionare bene con il resto dell’ecosistema del sito.

Prima di attivare un nuovo plugin o di realizzare un cambiamento significativo sul tuo sito è importante creare un backup del sito WordPress.

In questo modo, se dovessero verificarsi problemi di incompatibilità dei nuovi elementi con quelli già presenti sul tuo sito, potrai ripristinarne il sito WordPress da backup e recuperare la versione precedente senza alcuna conseguenza.

Questo metodo ti permette di proteggere il tuo sito anche durante gli aggiornamenti dei plugin o dei temi.

“Metti in sicurezza il tuo sito web” è uno dei consigli più ripetuti online: le precauzioni non sono mai abbastanza perché le tecniche degli hacker evolvono rapidamente.

Se hai un’attività commerciale, assicura ai tuoi clienti una protezione totale dei loro dati e delle transazioni che realizzano sul tuo sito implementando protocolli sicuri e incentivando l’uso di password efficaci durante la creazione dei loro account.