Una scansione SSL e una verifica di Google Safe Browsing coprono solo una frazione della superficie di attacco reale di un sito. Osserviamo regolarmente siti che mostrano un punteggio A+ sulle loro intestazioni HTTP mentre depositano tracciatori prima del consenso o espongono account condivisi senza tracciabilità. Per testare la sicurezza di un sito internet in modo realmente utile, è necessario superare il semplice diagnostico tecnico e integrare la conformità normativa, la gestione dei cookie e le politiche di autenticazione.
Conformità dei cookie e tracciatori: il test che gli scanner ignorano
La maggior parte degli strumenti gratuiti di analisi della sicurezza si concentra sul certificato TLS, sulle intestazioni HTTP e sulla possibile presenza del dominio in una lista nera. Nessuno di essi verifica il comportamento reale del banner di consenso ai cookie.
Questo è un angolo morto costoso. La CNIL ha proseguito nel 2025 le sue sanzioni contro i siti che depositano tracciatori prima del consenso, non consentono un rifiuto altrettanto semplice quanto l’accettazione, o continuano a leggere cookie dopo il ritiro del consenso. Raccomandiamo di procedere a un test in tre fasi distinte dopo ogni messa in produzione:
- Caricare la pagina in navigazione privata e catturare le richieste di rete prima di qualsiasi interazione con il banner. Qualsiasi cookie di terze parti depositato a questo punto costituisce una non conformità.
- Rifiutare i tracciatori, continuare a navigare su più pagine e poi verificare tramite gli strumenti per sviluppatori che il rifiuto sia effettivamente rispettato durante l’intero percorso.
- Accettare i cookie, ritirare il consenso tramite il link previsto e controllare che la lettura dei tracciatori cessi realmente. Un test limitato alla homepage non è sufficiente.
Questo protocollo richiede meno di dieci minuti. Tuttavia, copre un ambito che gli scanner automatizzati non affrontano e che rappresenta la prima fonte di sanzioni CNIL sui siti web francesi.
Prima di avviare un audit tecnico classico, è pertinente testare la sicurezza di un sito internet combinando analisi delle vulnerabilità e verifica del comportamento dei tracciatori.
Scansione delle vulnerabilità web: cosa rileva realmente uno strumento automatizzato
Uno scanner di sicurezza online (tipo analisi delle intestazioni HTTP, verifica SSL/TLS, rilevamento di malware tramite Google Safe Browsing) produce una diagnosi utile, ma parziale. Questi strumenti identificano le vulnerabilità conosciute: assenza di Content-Security-Policy, versione TLS obsoleta, dominio in blacklist.
Le vulnerabilità logiche rimangono invisibili agli scanner automatizzati. Un’elevazione di privilegi tramite un parametro URL mal controllato, un modulo di contatto senza protezione CSRF, o un’API che espone dati utente senza autenticazione non attivano alcun avviso in una scansione passiva.
Per un sito e-commerce o un’applicazione con area clienti, raccomandiamo di completare la scansione automatizzata con un test manuale mirato su tre punti:
- Cercare di accedere a risorse protette manipolando le credenziali nell’URL (IDOR). Se il server restituisce dati senza verificare l’identità del richiedente, la vulnerabilità è critica.
- Iniettare stringhe di test XSS in tutti i campi di input visibili. Un modulo che restituisce il contenuto senza escaping HTML espone i visitatori al furto di sessione.
- Verificare le intestazioni di risposta su ogni endpoint API, non solo sulla homepage. Le politiche di sicurezza variano spesso da una rotta all’altra su un stesso dominio.
Un rapporto di scanner che mostra un punteggio elevato non garantisce nulla se queste verifiche manuali non sono state effettuate.
Politica di autenticazione e account condivisi: una debolezza sanzionata
La CNIL ha segnalato nel suo bilancio 2025 che 14 organizzazioni sono state sanzionate per sicurezza insufficiente, in particolare a causa di password troppo deboli o di account condivisi tra più utenti. Questa constatazione riguarda tanto i back-office dei siti web quanto gli accessi ai database.
Testare la sicurezza di un sito senza auditare la politica delle password equivale a controllare la serratura lasciando la chiave sotto il tappetino. Osserviamo ancora CMS il cui account amministratore utilizza una password predefinita, o team di marketing che condividono un identificativo unico per accedere al cruscotto analitico.
Ogni accesso deve essere individuale e tracciabile. Un audit serio verifica che il sito imponga una lunghezza minima della password, blocchi i tentativi dopo un numero definito di fallimenti e registri le connessioni con timestamp e indirizzo IP. Senza questi controlli, la rilevazione di un’intrusione diventa impossibile a posteriori.
Muri di tracciatori e dark patterns: una trappola normativa recente
I “cookie walls” (accesso condizionato all’accettazione dei tracciatori) costituiscono un argomento che le guide di sicurezza generali non affrontano. La CNIL precisa che un tale dispositivo non è automaticamente vietato, ma che il consenso deve rimanere libero, informato e presentato con scelte equilibrate.
In pratica, un pulsante “Accetta” di colore vivace e un link “Rifiuta” in grigio chiaro in fondo alla pagina non soddisfano questo requisito. Un test di conformità deve valutare il rapporto visivo tra le opzioni, la facilità di navigazione verso il rifiuto e l’assenza di conseguenze punitive (reindirizzamento, contenuto nascosto) in caso di non accettazione.
Questo controllo supera l’ambito tecnico abituale, ma rientra direttamente nella protezione dei dati online. Un sito tecnicamente sicuro che esercita una pressione sproporzionata sul consenso dei suoi visitatori si espone alle stesse sanzioni di un sito mal sicuro.
La sicurezza di un sito web non si riassume a un punteggio mostrato da uno scanner. Si misura su tre assi simultanei: la robustezza tecnica, la conformità del trattamento dei dati personali e la rigidità delle politiche di accesso interne. Trascurare uno di questi assi equivale a lasciare una porta aperta, qualunque sia il lucchetto posto sugli altri due.
