# Scansione sicurezza sito web in meno di un minuto. Scansione sicurezza sito web per le piccole imprese. Controlla HTTPS, header di sicurezza, record email e tracker, poi scarica un PDF con le correzioni. ## Cosa verifica una scansione sicurezza sito web? La scansione esegue 28 controlli sulla tua homepage. Copre HTTPS e reindirizzamenti, header di sicurezza, cookie, record email e DNS, script di terze parti, tracker e librerie obsolete. Ogni risultato dice cosa correggere, cosa guardare meglio e cosa non abbiamo potuto controllare. ### Connessione HTTPS Il sito risponde in modo cifrato e invita i browser a continuare a usare HTTPS? ### Protezione del browser Il sito può bloccare script indesiderati, impedire ad altri siti di incorporarlo e impedire ai browser di indovinare i tipi di file? ### Cookie, tracker e software Controlliamo le impostazioni dei cookie, i tracker che si caricano prima del consenso dei visitatori, le librerie JavaScript obsolete e le versioni software che il sito rivela. ## Ottieni di più dalla scansione sicurezza sito web ### Cosa mostra la scansione sicurezza sito web Una scansione sicurezza sito web mostra le impostazioni che la tua homepage invia a ogni visitatore. Controlliamo HTTPS, header di sicurezza, cookie, record email, tracker e il software che il sito rivela. Usa la tua scansione sicurezza sito web per preparare domande per lo sviluppatore e tenere un riferimento datato prima di cambiare qualcosa. ### Leggere i risultati della scansione sicurezza sito web La tua scansione sicurezza sito web divide i risultati in controlli urgenti per l'hosting, impostazioni da correggere e scelte che dipendono dal tuo sito. Un header facoltativo mancante non è segno di un attacco. Il punteggio di una scansione sicurezza sito web va da 0 a 100 e conta i controlli superati. I colori ti dicono cosa guardare prima. ### Prima e dopo la scansione sicurezza sito web Esegui una scansione sicurezza sito web prima di cambiare hosting o impostazioni di sicurezza, così hai un termine di confronto. Controlla pagine di pagamento, accessi e servizi incorporati prima di rendere più rigide le regole. Dopo, esegui una nuova scansione sicurezza sito web, confrontala con il report precedente e prova il sito in un browser vero. Tieni aggiornamenti e sicurezza degli account nella manutenzione abituale. ### Condividere la scansione sicurezza sito web con lo sviluppatore Una scansione sicurezza sito web è più facile da mettere in pratica se chi fa il lavoro può vederla. Scarica il PDF o manda il link del report al tuo sviluppatore. Ogni scansione sicurezza sito web mostra quando è stata eseguita. Il proprietario del sito può anche pubblicare il report dopo aver dimostrato di controllare il sito. ## Domande sulla sicurezza del sito ### La scansione sicurezza sito web prova che il sito è sicuro? No. Controlla una serie di impostazioni pubbliche. Non può trovare ogni vulnerabilità, malware, errore di codice o account violato. Un audit di sicurezza completo va molto oltre. ### La scansione sicurezza sito web influisce sul sito? Quasi per niente. La scansione consulta i record DNS, richiede la homepage tramite HTTPS e HTTP semplice, segue fino a cinque reindirizzamenti, legge security.txt e carica la homepage una volta in un browser cloud. Non visita altre pagine, non invia moduli, non accede e non tenta attacchi. Se il sito blocca la scansione, il risultato è incompleto. ### Perché la scansione sicurezza sito web è limitata a due controlli al giorno? Il limite mantiene lo strumento gratuito ed evita traffico inutile verso i siti. ### Cosa significano i colori della scansione sicurezza sito web? Rosso significa che il tuo hosting deve controllare qualcosa con urgenza, come una vecchia versione di PHP con una falla critica nota. Arancione significa che un'impostazione va corretta. Blu significa che vale la pena guardare meglio. Verde significa che il controllo è superato. Grigio significa che non abbiamo potuto controllare. Nessuno di questi colori significa che il sito è stato violato. ### La scansione sicurezza sito web rileva PHP2Shell? Può segnalare una versione di PHP più vecchia delle versioni corrette. Gli header di versione possono essere sbagliati, nascosti o modificati, e alcuni hosting correggono le versioni vecchie. Chiedi al tuo hosting di confermare la versione di PHP installata e le patch. Non inviamo mai richieste di attacco. Un header PHP assente non significa che PHP manchi o sia aggiornato. ### Perché la scansione sicurezza sito web segnala le intestazioni software? I numeri di versione rendono più facile trovare siti con software vulnerabile. Rimuovili dove puoi. Nasconderli non corregge nulla, quindi mantieni aggiornato il software stesso. ### Cosa fare dopo la scansione sicurezza sito web? Parti dai punti rossi, poi esamina quelli arancioni con il tuo sviluppatore o hosting. Prova le modifiche agli header prima di andare online, perché regole rigide possono bloccare pagamenti, moduli e contenuti incorporati. Scarica il PDF per condividere i risultati. Mecanik Dev può aiutarti a scegliere le correzioni giuste e realizzarle. ### I risultati della scansione sicurezza sito web sono pubblici? No. Le scansioni sono private. Solo il proprietario di un sito può pubblicarne il report, dopo aver dimostrato di controllare il sito con un record DNS o un file. Puoi comunque condividere un link privato o il PDF. Non servono account né email. ## I controlli del rapporto ### Connessione cifrata HTTPS cifra i dati tra il sito e i visitatori. Questo mostra che lo scanner si è collegato in modo sicuro. Il resto del sito non viene testato. ### Reindirizzare HTTP semplice su HTTPS Chi digita l'indirizzo senza https:// dovrebbe arrivare subito al sito sicuro. HSTS poi mantiene il browser su HTTPS. ### Mantieni i visitatori su HTTPS Imposta Strict-Transport-Security con un max-age di almeno sei mesi. Controlla i sottodomini prima di aggiungere includeSubDomains o preload. ### Controlla i contenuti eseguibili Content-Security-Policy controlla quali script e contenuti la pagina può caricare. Le regole giuste dipendono dal sito, e una policy mancante non è di per sé una vulnerabilità. Se la pagina imposta la policy nell'HTML, il controllo nel browser la legge. Le policy report-only non bloccano nulla. ### Blocca gli incorporamenti ingannevoli Usa CSP frame-ancestors o X-Frame-Options e consenti solo i siti che devono davvero incorporare il tuo. ### Impedisci ipotesi sui tipi di file Imposta X-Content-Type-Options su nosniff, così i browser trattano ogni file come il tipo indicato dal server. ### Limita i dati inviati ad altri siti Una Referrer-Policy esplicita rende chiaro il comportamento. I browser moderni limitano già questo per impostazione predefinita, quindi un header mancante non significa che i dati escano. ### Limita le funzioni sensibili del browser Permissions-Policy può disattivare fotocamera, microfono e posizione per il tuo sito. Le impostazioni giuste dipendono da cosa fa il sito. ### Dati esposti da X-Powered-By Rimuovi i dettagli del runtime dove puoi. Così il sito è più difficile da riconoscere, ma gli aggiornamenti restano necessari. ### Versione del server esposta Chiedi al tuo hosting di nascondere i numeri di versione e tenere aggiornato il server. Un nome del server senza versione va bene. ### Verifica delle patch PHP PHP2Shell è il nome di due falle critiche in PHP stesso. L'header indica solo una versione, che può essere sbagliata o non mostrare le correzioni applicate dal tuo hosting. Chiedigli di confrontare la versione installata con gli avvisi di sicurezza PHP attuali. Nascondere l'header non corregge nulla. ### Cookie solo su HTTPS Secure significa che il cookie viene inviato solo tramite HTTPS. Vediamo solo i cookie impostati dalla risposta della homepage. I cookie impostati dopo l'accesso o dagli script non sono inclusi, e i valori dei cookie non compaiono mai nel report. ### Protezione dei cookie di sessione HttpOnly impedisce agli script della pagina di leggere il cookie. Riconosciamo i cookie di sessione dal nome, quindi chiedi conferma al tuo sviluppatore. ### Regole dei cookie tra siti SameSite decide quando i cookie vengono inviati con richieste da altri siti. None può essere corretto per alcune integrazioni, e i browser applicano un valore predefinito se manca. ### Accesso tra origini CORS serve spesso per API e file condivisi. Un carattere jolly da solo non espone dati privati. Questo controllo della homepage non può sapere se un'API si fida di qualsiasi origine. ### Isolamento delle finestre COOP separa la pagina dalle finestre aperte da altri siti. Le finestre di pagamento e di accesso possono richiedere un'impostazione più permissiva. La sua assenza da sola non rende il sito attaccabile. ### Incorporamento delle risorse Cross-Origin-Resource-Policy decide quali siti possono incorporare i tuoi file. Immagini pubbliche e file condivisi potrebbero dover restare aperti. La maggior parte delle pagine non ne ha bisogno. ### Criterio mittenti email (SPF) SPF aiuta i server di posta a rifiutare email false inviate a nome del tuo dominio. Se il dominio non invia mai email, pubblica v=spf1 -all. Controlliamo il dominio principale. ### Criterio contro la falsificazione email (DMARC) DMARC dice ai server di posta cosa fare con le email che non superano SPF e DKIM. Inizia in modalità monitoraggio, leggi i report, poi passa a quarantine o reject. ### Regole delle autorità di certificazione (CAA) I record CAA elencano le autorità di certificazione autorizzate per il dominio. Riducono il rischio di un certificato emesso per errore. Includi ogni fornitore che usi. ### DNS firmato (DNSSEC) DNSSEC permette ai resolver di riconoscere risposte DNS false. Attivalo insieme presso il fornitore DNS e il registrar, perché una configurazione errata può rendere il dominio irraggiungibile. ### Contatto di sicurezza (security.txt) Pubblica /.well-known/security.txt con Contact ed Expires, così chi trova un problema sa come contattarti. ### Risorse della pagina non sicure I file non sicuri possono essere modificati lungo il percorso, e i browser possono bloccarli rompendo la pagina. Porta questi indirizzi su HTTPS. Abbiamo controllato solo la homepage. ### Servizi di terze parti Ogni script o servizio esterno può vedere i visitatori e modificare la pagina. Tieni la lista corta, togli ciò che non usi più e controlla cosa riceve ogni fornitore. Usare servizi esterni non è di per sé una vulnerabilità. ### Tracciamento prima del consenso Le leggi sulla privacy come il GDPR di solito richiedono il consenso prima di un tracciamento non essenziale. Lo scanner carica la pagina una volta dai nostri server e non accetta nulla. Gli strumenti di consenso possono comportarsi diversamente a seconda del paese, quindi controlla anche la tua configurazione. ### Librerie JavaScript obsolete Riconosciamo jQuery, jQuery UI, Bootstrap, AngularJS, Lodash e Moment.js quando mostrano la versione. Aggiorna la libreria interessata, o il tema o plugin che la include, poi prova il sito. ### Controlli di integrità degli script Subresource Integrity permette ai browser di rifiutare una copia modificata di un file script. Funziona per i file con versione serviti da una CDN. Non è adatta agli script che cambiano di proposito, come i tag manager. ### Versione della piattaforma del sito Un tag generator con il numero di versione rende il sito un bersaglio più facile per gli attacchi automatici. Rimuovilo dove puoi e tieni aggiornati piattaforma, temi e plugin. Nascondere la versione non corregge nulla. ## Informativa sulla privacy Per bloccare gli abusi e rispondere a reclami o richieste legali, Mecanik Dev Ltd conserva un registro di ogni scansione. Contiene il sito web, l'ora, la versione dell'informativa, il tuo indirizzo IP, i dati del tuo browser e del tuo dispositivo e la tua posizione approssimativa ricavata dall'indirizzo IP. Conserviamo questi registri per 30 giorni e poi li cancelliamo. Non li usiamo per il marketing e li condividiamo solo quando la legge lo richiede. Il nostro provider di hosting e sicurezza tratta il tuo indirizzo IP per far funzionare il servizio e il controllo anti-bot, e conserva i propri log. Autorizzare una scansione non significa accettare il marketing. Il PDF lo crea il tuo browser. Consulta la nostra informativa principale per i contatti del titolare, i diritti sui dati e le informazioni sui fornitori. Se pubblichi un report, conserviamo il dominio, l'ora della scansione e i risultati per un massimo di 90 giorni. L'elenco pubblico mostra il report più recente di ogni sito. Le scansioni private non vengono mai salvate lì. I report pubblici precedenti restano online finché non scadono o vengono rimossi. I report pubblici non includono mai indirizzi IP, dati del browser, autorizzazioni o valori dei cookie dei visitatori. La preferenza del tema è salvata nel browser. Il rapporto resta nella memoria di sessione di questa scheda, così cambiare lingua non richiede una nuova scansione. Cancella la memoria del browser per rimuovere preferenze e risultati.