Paolo Niccolò Giubelli

Probabilmente l’aspetto più trascurato oggigiorno da chi commissiona un sito web è la sicurezza. Il problema nasce quando a trascurarla è anche chi il sito lo progetta e/o lo mantiene. Perché invece è così importante dedicare la giusta attenzione ad un tema che nei prossimi 10 anni sarà sempre più cruciale?

Il motivo è molto semplice: i dati e la potenza di calcolo.

Nell’era del tanto odiato – ma importante – GDPR e a distanza di circa 3 anni dall’applicazione in massa della cookie law, la consapevolezza di quanto sia critico il sito web nel processo di messa al riparo dei dati personali e sensibili è ancora troppo bassa, ma è ora che questo cambi.

Hai presente il tuo sito, quello in cui raccogli le informazioni dei tuoi visitatori tramite il modulo contatti? Se proprio non hai un sito dell’anteguerra, probabilmente salvi quelle informazioni su un database nel server, così da non dover contare su un sistema fallibile come la posta elettronica. Quella magari dove hai inviato in chiaro (cioè senza crittografia) il login e la password del tuo sito, con cui puoi caricare documenti e articoli sul sito stesso. Oppure il caricamento dei documenti è fattibile senza password, perché semplicemente proponi ai tuoi visitatori di inviarti i loro curriculum in PDF.

Tutte queste cose sono all’ordine del giorno, ma sono tutti buchi gravissimi nella sicurezza. Con anche solo uno o due degli aspetti sopra elencati, senza che vengano prese le adeguate precauzioni, è molto semplice per un hacker con poca esperienza prendere il controllo del tuo sito e poi del tuo server.

Che cosa può succedere, dunque? Beh, qui dipende dalla fantasia, dalle capacità e dallo scopo dell’attaccante. Potrebbe aver voglia semplicemente di installare sul tuo server un software per l’estrazione di criptovalute, usando la tua potenza di calcolo per guadagnare. Più probabilmente proverà a modificare il tuo sito – in modo più o meno nascosto – per inserire link a siti poco raccomandabili. Peggio ancora potrebbe usare il tuo sito come vettore per estrarre dati preziosi degli utenti e, dulcis in fundo, inviare spam, inserendo così il tuo server nelle blacklist degli spammer.

Attacchi più mirati di ingegneria sociale possono solamente mirare ad estrarre le password degli utenti per vedere se le hanno usate anche in altri posti più importanti, come ad esempio la tua casella di posta elettronica. In pratica tu pensi che il tuo WorpPress sia poco importante perché su quel sito non hai nulla di valore, nemmeno un form contatti. Ma quello che ha valore è la tua password, che hai usato anche per la tua casella di posta dove invii e ricevi documenti riservati.

Insomma il problema è grave ed è per questo motivo che oggigiorno è sempre più rischioso affidarsi agli improvvisati per la messa in funzione di sistemi che sono così delicati. Se pensi che il tuo sito sia vulnerabile contattaci per un’analisi accurata, così da affrontare per tempo il problema e non incappare nei guai.

Tanti anni fa gli indirizzi dei siti web venivano spesso pubblicizzati in modo completo, per cui si vedeva spesso la scritta “http://www.nomedelsito.it“. L’inizio di questa scritta, cioè la dicitura “http://” indica proprio il fatto che si parla di siti web, in quanto essa indica il protocollo di comunicazione con cui i nostri computer chiedono di scaricare le pagine dei siti e non, ad esempio, un messaggio di posta elettronica.

Nel tempo però si è persa questa abitudine, perché tutti gli indirizzi dei siti web iniziavano con http:// e dunque per brevità si è iniziato a riportare solo la scritta “www.nomedelsito.it” e successivamente anche “nomedelsito.it“.

Negli ultimi anni c’è stata però la migrazione di milioni e milioni di siti al protocollo HTTPS, dove la “s” finale sta per “sicurezza”. Tale protocollo funziona esattamente come il vecchio HTTP, con la differenza che la trasmissione dei dati tra il computer e il sito è totalmente cifrata e dunque non è possibile intercettare le informazioni che ad esempio l’utente inserisce sul sito o quelle trasmesse indietro all’utente.

Facciamo un esempio: se nel tuo sito aziendale c’è un accesso con nome utente e password e l’indirizzo del tuo sito inizia ancora con “http://” e non “https://” allora sarà relativamente facile per chi si inserisce nella rete intercettare le credenziali. Che cosa succederebbe se qualcuno venisse a conoscenza delle credenziali di un tuo cliente o delle tue credenziali amministrative?

Per questo motivo vari consorzi che operano nel mondo del web stanno spingendo per una migrazione di massa di tutti i siti verso https. Ad esempio, in questi ultimi mesi e nei prossimi, i browser (es. Google Chrome, Firefox, Safari…) con cui navighiamo sui siti stanno diventando gradualmente più “minacciosi”, nel senso che se navighiamo su un sito web senza https essi ci avvisano con scritte sempre più invadenti.

Ecco che cosa mostra Safari quando si compila un form su un sito senza https.

È consigliabile quindi, se non lo si è già fatto, iniziare a valutare il passaggio ad https. Magari il nostro sito non conterrà i segreti della CIA, ma questi messaggi “intimidatori” su un nostro visitatore rischiano di essere un brutto biglietto da visita. Inoltre la direzione è chiara: l’http verrà sempre più disincentivato. L’uso di HTTPS è poi assolutamente raccomandato, già da anni, nel caso in cui sul sito vengano raccolti o visualizzati dati personali o sensibili.