Come controllare la sicurezza di un sito web

Cosa controllare

1. HTTPS e certificato

Quali protocolli offre il server (le versioni vecchie di SSL e TLS vanno spente), quali cifrari, se la catena del certificato è completa e quando scade, se il server è esposto a vulnerabilità TLS note come Heartbleed o POODLE. E se il sito risponde anche in HTTP senza reindirizzare su HTTPS.

2. Header di sicurezza HTTP

Istruzioni che il server manda al browser: Strict-Transport-Security impone HTTPS, Content-Security-Policy limita gli script, X-Frame-Options impedisce che il sito venga incorniciato da un altro, X-Content-Type-Options blocca interpretazioni sbagliate dei file. Quando mancano, il sito è più esposto. Tessera ha una guida agli header di sicurezza con la configurazione per nginx, Apache ed Express.

3. Vulnerabilità note e file esposti

File di configurazione o di backup raggiungibili dal web, errori di configurazione, credenziali predefinite, software con vulnerabilità pubblicate. Sono i primi controlli che fa chiunque cerchi un punto debole.

4. L'applicazione

Come si comporta il sito mentre lo si naviga: cookie senza gli attributi HttpOnly o SameSite, contenuti sensibili salvati in cache, informazioni lasciate nei commenti del codice, intestazioni che rivelano la tecnologia usata, come X-Powered-By.

Prima di iniziare

• Autorizzazione: controlla solo siti tuoi o per cui hai un permesso scritto. Una scansione attiva non è una semplice visita.
• Avvisi: la scansione invia molte richieste in poco tempo e può far scattare gli allarmi o il firewall applicativo. Se il sito lo gestisce un fornitore, avvisalo.
• Momento: meglio dopo un rilascio o una modifica al server, e poi con regolarità.

Come leggere il risultato

Ogni problema trovato ha un punteggio CVSS v3.1, lo standard di FIRST che misura la gravità da 0 a 10 (FIRST). Nel report di Tessera il punteggio diventa un livello di rischio:

I problemi si sommano in un punteggio di sicurezza da 0 a 100, con una classe da A (Ottimo) a F (Critico). Un solo problema di livello Alto basta a tenere il sito sotto 50 (metodologia di Tessera).

Come lo fa Tessera

Tessera è il servizio di Hyperion che esegue un controllo automatico di sicurezza su un sito web, il Quick Check, senza installare nulla. È pensato per chi gestisce un sito e non ha un team di sicurezza.

1. Verifichi il dominio con un record DNS o un file pubblicato sul sito: Tessera controlla solo siti che sei autorizzato a testare.
2. Parte il controllo, con quattro strumenti: header HTTP, TLS con testssl.sh, vulnerabilità note con Nuclei, scansione applicativa con OWASP ZAP.
3. Ricevi il report in pochi minuti, in PDF e pagina web, in italiano o in inglese: punteggio da 0 a 100, classe da A a F, CVSS e raccomandazione per ogni problema, priorità di correzione.

Il report è accessibile solo con un link firmato valido 7 giorni. Applicazione e archivio dei report stanno su Microsoft Azure, nella regione Italy North. C'è il controllo singolo e il controllo mensile di un sito. Prima di iniziare puoi guardare il report d'esempio.

Cosa un controllo automatico non copre

Una scansione dall'esterno trova in fretta i problemi comuni, ma non sostituisce un penetration test. Non entra nelle aree protette da login, non prova la logica dell'applicazione né i permessi tra ruoli, non legge il codice sorgente, non vede l'infrastruttura non esposta e non conferma a mano i risultati. Per capire quando serve l'uno e quando l'altro, c'è la guida Penetration test o scansione automatica.

Domande frequenti