Verificare la sicurezza di un sito web: la checklist fai-da-te in 10 minuti

Hai messo online il tuo sito, magari con l'aiuto dell'AI o di un tema pronto, e adesso ti resta il dubbio: è davvero al sicuro? La buona notizia è che verificare la sicurezza di un sito web non richiede di essere hacker. Molti dei controlli più importanti puoi farli da solo, dal browser, in una decina di minuti. Bastano occhi attenti e una checklist chiara.

In questa guida ti do proprio quello: una lista di controlli pratici che chiunque può eseguire in autonomia. Per ognuno ti spiego cosa guardare e cosa significa se il risultato è "rosso". Alla fine ti dico anche cosa non riesci a verificare a mano, così sai dove servono strumenti automatici.

Se ti interessa capire prima i principi generali di cosa rende un progetto solido, trovi tutto in cosa rende un sito web sicuro. Qui invece restiamo sul pratico.

Perché controllare la sicurezza del tuo sito (anche se è piccolo)

C'è un mito da smontare subito: "il mio sito è troppo piccolo, non interessa a nessuno". Falso. La maggior parte degli attacchi è automatica: bot che scansionano internet cercando siti con falle note, senza sapere né curarsi di cosa vendi. Un sito con una password debole o una chiave lasciata in vista è un bersaglio, punto.

Per un maker o un piccolo imprenditore, controllare la sicurezza del sito significa proteggere tre cose: i dati dei tuoi utenti, la tua reputazione e i tuoi soldi (una violazione GDPR può costare cara). E la parte migliore è che i primi controlli non costano nulla.

Checklist pratica per verificare la sicurezza di un sito web

Ecco i controlli in ordine, dal più semplice al più tecnico. Puoi seguirli tutti in sequenza.

1. HTTPS e certificato SSL

• Cosa guardare: apri il sito e osserva la barra degli indirizzi. L'URL deve iniziare con https://. Clicca sul lucchetto (o sull'icona a sinistra dell'indirizzo) e apri i dettagli del certificato: controlla che sia valido e non scaduto.
• Se è rosso: se vedi "http://" senza la "s", oppure un avviso tipo "Connessione non sicura" o "Certificato scaduto", i dati viaggiano in chiaro. Chiunque sulla stessa rete può leggerli, comprese le password inserite nei form. Va risolto subito: quasi tutti gli hosting offrono un certificato SSL gratuito (Let's Encrypt).

Il tema HTTPS e certificato SSL è il primo mattone: senza, tutto il resto perde valore.

2. Chiavi e segreti visibili nel codice sorgente

Questo controllo sorprende molti, soprattutto chi ha costruito il sito con l'AI o strumenti no-code.

• Cosa guardare: apri il tuo sito, clicca col tasto destro e scegli "Visualizza sorgente pagina" (oppure premi Ctrl+U / Cmd+Option+U). Con Ctrl+F cerca parole come api_key, apikey, secret, token, password, sk_. Dai anche un'occhiata ai file JavaScript caricati dalla pagina.
• Se è rosso: se trovi una chiave API completa, una password o un token, è esposto pubblicamente a chiunque apra la pagina. Con quella chiave qualcuno può usare i tuoi servizi a pagamento, leggere il tuo database o inviare email a tuo nome. Va revocata e rigenerata immediatamente, spostando i segreti lato server.

3. Header di sicurezza

Gli header sono istruzioni invisibili che il tuo sito manda al browser. Alcuni servono a proteggere gli utenti.

• Cosa guardare: non serve leggere codice. Esistono strumenti gratuiti di controllo sito online in cui incolli l'indirizzo e ti dicono quali header di sicurezza sono presenti. Cerca voci come Content-Security-Policy, Strict-Transport-Security, X-Frame-Options.
• Se è rosso: se mancano, il sito è più esposto ad attacchi come il clickjacking o l'iniezione di script. Non è un allarme rosso immediato come una chiave esposta, ma è un segnale che la configurazione andrebbe rafforzata.

4. Cookie e consenso (GDPR)

• Cosa guardare: apri il sito in una finestra in incognito. Compare un banner cookie prima che vengano installati cookie di tracciamento? Il banner ti permette davvero di rifiutare, oppure c'è solo "Accetta"? Esiste una pagina Privacy Policy raggiungibile?
• Se è rosso: se il sito installa cookie di profilazione senza chiedere, o se puoi solo accettare e non rifiutare, sei fuori norma. Oltre al rischio di sanzioni, è un segnale di scarsa cura verso i tuoi utenti.

5. Software e plugin aggiornati

• Cosa guardare: se usi WordPress, Shopify o un CMS, entra nel pannello di amministrazione e controlla la sezione aggiornamenti. Temi, plugin e core devono essere all'ultima versione.
• Se è rosso: un plugin non aggiornato è la via d'ingresso numero uno per i siti bucati. Le vulnerabilità note vengono corrette con gli aggiornamenti: se non aggiorni, lasci la porta aperta. Attiva gli aggiornamenti automatici dove puoi.

6. Password e accessi

• Cosa guardare: la password di amministrazione è lunga, unica e generata a caso? È attiva l'autenticazione a due fattori (2FA)? Esistono ancora vecchi account admin che non usi più?
• Se è rosso: una password come admin123 viene indovinata da un bot in pochi secondi. Usa un password manager, attiva la 2FA e cancella gli account inutilizzati.

7. Backup attivi

• Cosa guardare: hai un backup automatico e recente del sito e del database? Sai come ripristinarlo?
• Se è rosso: senza backup, se qualcosa va storto (attacco, errore, aggiornamento fallito) rischi di perdere tutto. Il backup non previene i problemi, ma è la tua rete di salvataggio. Se non l'hai mai testato, prova un ripristino: un backup che non sai ripristinare è come non averlo.

Se vuoi approfondire i vari tipi di test e gli strumenti dedicati a ciascuno, li trovo nel dettaglio in test di sicurezza per un sito web.

Cosa non riesci a verificare da solo (e perché)

La checklist qui sopra ti fa scoprire moltissimo, ma ha un limite: guarda solo la superficie. Alcuni problemi si nascondono dove l'occhio umano non arriva.

• Endpoint senza autenticazione: API o URL "nascosti" che restituiscono dati sensibili a chiunque li conosca. Non li vedi navigando normalmente.
• Assenza di rate limiting: nessuno che impedisca a un bot di provare migliaia di password o di sovraccaricare il tuo servizio.
• Segreti sepolti nei file JavaScript: chiavi non nel sorgente principale, ma dentro bundle minificati difficili da leggere a mano.
• Configurazioni GDPR incoerenti tra cookie dichiarati e cookie realmente installati.

Verificare tutto questo a mano richiederebbe competenze da sviluppatore e ore di lavoro. Ed è esattamente il tipo di controllo che uno scanner automatico fa in modo sistematico. Strumenti come Appurai analizzano il sito (anche quelli creati con l'AI o il vibe coding) e ti mostrano gratis chiavi esposte, endpoint aperti, header mancanti e problemi di cookie, senza che tu debba scrivere una riga di codice. Utile per coprire proprio la parte che la checklist manuale non raggiunge.

Ogni quanto rifare i controlli

La sicurezza non è una casella da spuntare una volta sola. Ecco un ritmo semplice e sostenibile:

• A ogni modifica importante: dopo aver aggiunto una funzione, un form o una chiave, rifai i controlli 2 e 5.
• Una volta al mese: aggiornamenti, password, backup.
• Ogni trimestre: una scansione completa per capire se è emerso qualcosa di nuovo.

Bastano pochi minuti per volta per evitare guai grossi.

Domande frequenti

Posso davvero verificare la sicurezza di un sito web senza competenze tecniche?

Sì, per la maggior parte dei controlli di base. HTTPS, cookie, password, backup e sorgente della pagina sono tutte cose che puoi controllare dal browser. Per l'analisi più profonda (endpoint, rate limiting) serve invece uno strumento automatico.

Come faccio a sapere se il mio sito è sicuro davvero?

Nessun sito è "sicuro al 100%", ma se superi tutti i punti della checklist sei già messo molto meglio della media. Il passo successivo è una scansione automatica che controlli anche ciò che non vedi a occhio.

Il lucchetto verde significa che il sito è sicuro?

No, significa solo che la connessione è cifrata (HTTPS). È necessario, ma non basta: un sito con lucchetto può comunque avere chiavi esposte o password deboli. Non fermarti al lucchetto.

Ho trovato una chiave API nel codice sorgente, cosa faccio?

Revocala subito dal servizio che l'ha generata e creane una nuova, tenendola lato server e mai nel codice pubblico. Se la chiave era già esposta da tempo, controlla anche i log per attività sospette.

E se scopro che il sito è già stato compromesso?

Non fatti prendere dal panico e agisci con metodo: isola il sito, cambia le password e ripristina un backup pulito. Trovi la procedura passo-passo in sito hackerato, cosa fare.

In sintesi

Verificare la sicurezza di un sito web non è roba da soli esperti. Con la checklist di questa guida puoi controllare in autonomia i punti che contano di più: HTTPS, chiavi esposte, header, cookie, aggiornamenti, password e backup. Fallo con regolarità e avrai già eliminato la maggior parte dei rischi comuni.

Per quello che l'occhio umano non può vedere, una scansione automatica gratuita ti dà in pochi minuti un quadro completo dei problemi da sistemare. È il modo più rapido per passare dal "spero sia a posto" al "so che è a posto".