Sicurezza del sito web: minacce e difese

Sicurezza del sito web in sintesi

• Attacchi più frequenti: malware, phishing verso gli utenti del sito, accessi non autorizzati e, su e-commerce, web skimming.
• Prima difesa: certificato SSL/TLS attivo e protocollo HTTPS su tutte le pagine, non solo sul checkout.
• Manutenzione: CMS, temi e plugin aggiornati appena esce una nuova versione, non quando si trova il tempo.
• Accessi: password uniche per ogni pannello e autenticazione a due fattori su amministrazione e FTP.
• Hosting: firewall attivo, backup automatici e scansione malware inclusi nel piano.
• Costo del rischio: un incidente su una piccola impresa costa in media 95.000 euro, secondo un report di settore del 2026.

Cos’è la sicurezza di un sito web

La sicurezza di un sito web è l’insieme delle misure tecniche che impediscono a un estraneo di modificare il codice, rubare dati o usare il server per scopi illeciti. Riguarda quattro livelli distinti: la connessione tra browser e server, il software che genera le pagine (CMS, plugin, temi), gli accessi di chi amministra il sito e l’infrastruttura su cui il sito gira.

È comune che i titolari di un sito associno la sicurezza solo al lucchetto nella barra degli indirizzi. Quel lucchetto dice che i dati viaggiano cifrati tra il visitatore e il server: non dice nulla sullo stato del CMS, sulla robustezza delle password o sulla presenza di un firewall. Un sito con HTTPS attivo può comunque essere violato attraverso un plugin non aggiornato o una password debole del pannello di amministrazione.

Gli attacchi gravi alle piccole e medie imprese sono aumentati del 42% rispetto al 2024, secondo un report di settore del 2026. È un dato che vale per chi gestisce un piccolo e-commerce o un sito vetrina tanto quanto per una grande azienda: la differenza è che una piccola struttura di solito non ha un team dedicato a gestire l’incidente quando arriva.

Quali sono gli attacchi più comuni contro un sito web

I quattro attacchi che colpiscono più spesso un sito gestito da una piccola impresa sono il malware, il phishing rivolto a chi visita il sito, gli accessi non autorizzati al pannello di amministrazione e, per gli e-commerce, il web skimming.

Il ransomware resta la minaccia che pesa di più sui numeri complessivi: nel 2025 le rivendicazioni a livello globale hanno superato le 7.400, con una crescita del 42% rispetto al 2024, secondo un report sulla cybersicurezza del 2025. In Italia i casi registrati sono stati 166, in aumento del 14% sull’anno precedente, secondo lo stesso report. Per chi gestisce un e-commerce il web skimming merita un’attenzione specifica: nel terzo trimestre del 2025 ha fatto segnare un incremento del 191% rispetto al trimestre precedente, secondo un report sulle minacce informatiche citato da un’analisi sul cybercrime in Italia (2025).

La maggior parte di questi attacchi non sfrutta una falla sofisticata: il 90% entra ancora tramite un errore umano, secondo un report di settore del 2026: una password riutilizzata, un plugin lasciato in versione vecchia, un allegato aperto senza controllo. È la ragione per cui le sezioni seguenti insistono su aggiornamenti e accessi più delle configurazioni avanzate del server.

Certificato SSL e protocollo HTTPS

Il certificato SSL/TLS cifra i dati scambiati tra il browser di chi visita il sito e il server, impedendo che un attaccante posizionato sulla stessa rete li legga in chiaro. Senza questo certificato il sito resta su HTTP, e ogni modulo di contatto o di pagamento trasmette i dati in chiaro.

Il protocollo su cui si basa questa comunicazione è HTTP, nella sua versione cifrata HTTPS. Un sito può avere il certificato installato e comunque mostrare contenuti non sicuri se alcune risorse (immagini, script) vengono ancora caricate in HTTP: il browser lo segnala come contenuto misto, ed è un punto che spesso sfugge a chi ha appena migrato il sito. Se dopo l’installazione del certificato l’indirizzo torna a mostrare HTTP, il problema è quasi sempre nei redirect configurati sul server: una guida dedicata a cosa fare quando un url HTTPS reindirizza ad HTTP copre i casi più frequenti.

Un certificato SSL valido non equivale a un sito protetto dagli attacchi: riguarda solo la connessione, non il codice che gira sul server né gli accessi al pannello di amministrazione. Chi vende certificati come soluzione completa alla sicurezza sta semplificando parecchio il problema.

Aggiornamento di CMS, temi e plugin

Un CMS, un tema o un plugin non aggiornati restano vulnerabili a falle già note e già pubblicate, e un attaccante automatizzato le trova in poco tempo scansionando migliaia di siti. Questo vale in modo particolare per la gestione di un sito WordPress, dove il numero di plugin installati aumenta proporzionalmente i punti da controllare.

La mia regola, per la gestione di plugin e script, è aggiornare entro pochi giorni dal rilascio di una nuova versione, non alla prima occasione libera in agenda. Prima di ogni aggiornamento vale la pena fare un backup: un aggiornamento mal gestito può rompere una funzione del sito, ma un plugin vecchio può farlo violare del tutto, e il secondo scenario è quello che costa di più.

I plugin non più mantenuti dal loro autore sono il caso più rischioso: nessuno pubblicherà mai una correzione per le falle che verranno scoperte dopo l’ultimo aggiornamento. Se un plugin è fermo da più di un anno, la scelta più sicura è sostituirlo, anche se funziona ancora.

Password solide e autenticazione a due fattori

Una password unica per ogni accesso (pannello di amministrazione, hosting, FTP, database) e l’autenticazione a due fattori sugli accessi critici riducono drasticamente i tentativi di accesso riusciti con credenziali rubate o indovinate. Il motivo è semplice: un attaccante che ottiene la password di un servizio non può usarla automaticamente per entrare negli altri, se ogni servizio ha la propria.

La gestione delle sessioni dopo il login segue logiche diverse a seconda dell’applicazione: molte web app moderne usano token firmati al posto delle sessioni tradizionali, con un funzionamento descritto in dettaglio nella pagina sul funzionamento del JSON Web Token. Chi sviluppa un’applicazione personalizzata deve verificare che questi token abbiano una scadenza e vengano invalidati al logout: un token che resta valido all’infinito annulla in parte il vantaggio di una password solida.

Sconsiglio di condividere le credenziali di amministrazione tra più persone con un unico account: se un collaboratore lascia il progetto, cambiare una password condivisa significa coordinare tutti quelli che la usano, mentre con account singoli basta disattivare il suo.

Scegliere un hosting sicuro

Un hosting sicuro include un firewall attivo a livello di server, backup automatici con una frequenza dichiarata e una scansione periodica del malware inclusa nel piano, non come servizio aggiuntivo a pagamento. Questi tre elementi intervengono prima che un attacco arrivi al codice del sito: il firewall blocca traffico sospetto, il backup permette di ripristinare una versione pulita, la scansione segnala un’infezione già in corso.

Capita spesso che chi sceglie un hosting guardi solo lo spazio disco e il prezzo mensile, lasciando in secondo piano la frequenza dei backup. Un backup settimanale su un sito che riceve ordini tutti i giorni significa perdere fino a sei giorni di dati in caso di ripristino: la frequenza del backup va valutata insieme al volume di attività del sito, non presa come un dato uguale per tutti.

Un hosting condiviso con altri siti sullo stesso server espone a un rischio in più: se un sito vicino viene compromesso, in alcune configurazioni l’attacco può propagarsi. Un hosting che isola ogni account (tramite container o ambienti separati) riduce questo rischio, ed è un criterio che vale la pena chiedere esplicitamente prima di sottoscrivere un piano.

Strumenti gratuiti per controllare la sicurezza del sito

Un proprietario di sito può verificare lo stato di sicurezza del proprio progetto con alcuni strumenti gratuiti, senza competenze tecniche avanzate: Sucuri SiteCheck analizza la presenza di malware e la presenza del dominio in blacklist, Qualys SSL Labs valuta la configurazione del certificato SSL, Security Headers controlla gli header di sicurezza inviati dal server e WPScan individua plugin e temi vulnerabili sui siti WordPress.

Questi strumenti danno un’indicazione, non una certezza: uno scanner di malware può non rilevare un codice dannoso appena introdotto, perché lavora confrontando firme già note. Vanno usati come controllo periodico, non come sostituto degli aggiornamenti e dei backup descritti nelle sezioni precedenti.

Quanto costa, in pratica, subire un attacco

Il costo medio di un incidente informatico per una piccola impresa è di 95.000 euro, secondo un report di settore del 2026. Questa cifra comprende in genere il fermo del sito, il recupero dei dati, l’eventuale notifica agli utenti coinvolti e il tempo di chi deve gestire l’emergenza invece di lavorare.

Il dato va letto con una condizione: è una media, non un valore uguale per ogni caso. Un sito vetrina senza dati di pagamento che subisce un’infezione da malware ha un costo di ripristino molto più basso rispetto a un e-commerce colpito da web skimming con dati di carte di credito coinvolti, dove si aggiungono gli obblighi verso i clienti e, in alcuni casi, verso le banche emittenti.

Le vulnerabilità note nei software usati per costruire siti sono arrivate quasi a 48.500, con un aumento del 20% rispetto al 2024, secondo il report sulla cybersicurezza del 2026. Più falle pubblicate significano più strada per chi aggiorna il proprio sito con regolarità, e più rischio per chi non lo fa.

Se il sito è già stato violato: cosa fare

Se il sito mostra contenuti alterati, reindirizzamenti verso pagine estranee o compare come non sicuro nei risultati di ricerca, la prima azione è isolarlo dal traffico pubblico mentre si verifica l’estensione del problema.

1. Metti il sito in manutenzione o sospendi temporaneamente l’accesso pubblico.
2. Cambia tutte le password collegate al sito: pannello di amministrazione, hosting, FTP e database.
3. Esegui una scansione con uno strumento come Sucuri SiteCheck per individuare i file compromessi.
4. Ripristina da un backup precedente alla data stimata dell’infezione, verificando che sia pulito.
5. Richiedi la revisione del sito tramite Search Console se Google lo ha segnalato come non sicuro.
6. Contatta l’assistenza tecnica dell’hosting per verificare i log del server e la vulnerabilità sfruttata.

Se non esiste un backup pulito recente, il ripristino diventa più lungo: serve ricostruire le parti compromesse a mano, confrontando i file con una copia nota del sito o con il codice sorgente del tema e dei plugin. È il motivo per cui un backup automatico frequente, descritto nella sezione sull’hosting sicuro, vale più di qualsiasi scanner usato dopo il fatto.

Domande frequenti

Quali sono gli attacchi più comuni contro un sito web?

Malware, phishing rivolto agli utenti del sito, accessi non autorizzati al pannello di amministrazione e, per gli e-commerce, web skimming sono i quattro attacchi più frequenti. Il 90% di questi casi parte da un errore umano, come una password riutilizzata o un plugin non aggiornato.

Come posso rendere il mio sito web sicuro?

Un sito diventa più sicuro attivando il certificato SSL, aggiornando CMS e plugin appena escono nuove versioni, usando password uniche con autenticazione a due fattori e scegliendo un hosting con firewall e backup automatici: la combinazione di queste misure riduce il rischio in modo più efficace di una singola precauzione.

Il certificato SSL basta a proteggere il sito dagli attacchi?

No, il certificato SSL protegge solo la connessione tra browser e server, non il codice del sito né gli accessi al pannello di amministrazione. Un plugin vulnerabile o una password debole restano un rischio anche con HTTPS attivo.

Ogni quanto vanno aggiornati CMS e plugin?

CMS, temi e plugin vanno aggiornati entro pochi giorni dal rilascio di ogni nuova versione, con un backup eseguito subito prima. I plugin non più mantenuti dal loro autore vanno sostituiti, perché nessuna falla futura verrà corretta.

Cosa include un hosting sicuro?

Un hosting sicuro include un firewall attivo a livello di server, backup automatici con frequenza dichiarata e scansione periodica del malware già compresa nel piano. La frequenza dei backup va valutata in base al volume di attività del sito, non presa come uguale per tutti i casi.

Quanto costa, in media, un attacco informatico a una piccola impresa?

Il costo medio di un incidente informatico per una piccola impresa è di 95.000 euro, secondo un report di settore del 2026, una cifra che comprende fermo del sito, recupero dati e gestione dell’emergenza, e che varia molto in base ai dati coinvolti.

Cosa fare se il sito è stato violato?

Se il sito è stato violato, va isolato dal traffico pubblico, le password vanno cambiate ovunque, il sito va scansionato con uno strumento dedicato e poi ripristinato da un backup pulito, verificando infine lo stato con Search Console e con l’assistenza dell’hosting.