Sicurezza web per piccole aziende: perché anche un sito vetrina può finire nel mirino

Il falso mito del "sito troppo piccolo per essere attaccato"

Sul web circolano costantemente migliaia di programmi automatici (bot) che scandagliano la rete 24 ore su 24. Questi software non guardano il fatturato della tua azienda o la notorietà del tuo marchio: cercano semplicemente una "porta socchiusa", una vulnerabilità nota nel codice o una configurazione debole.

Agli attaccanti non interessa necessariamente rubare i tuoi segreti industriali. Un piccolo sito aziendale o un semplice sito vetrina è un bersaglio perfetto perché spesso è meno sorvegliato, ma dispone comunque di risorse preziose: uno spazio server attivo, una buona reputazione sul dominio e la capacità di inviare email.

I numeri: perché le piccole aziende sono il bersaglio preferito

Non si tratta di allarmismo. I principali rapporti internazionali e italiani sulla sicurezza informatica raccontano tutti la stessa storia:

I punti critici più sottovalutati: form di contatto e librerie

Anche il sito più essenziale ha almeno due elementi che interagiscono con l'esterno o con il server: i moduli di contatto e i componenti software su cui si appoggia. Ed è proprio qui che si concentrano le vulnerabilità più frequenti.

1. I form non sono semplici caselle di testo

Un modulo di contatto, di richiesta preventivo o di prenotazione è a tutti gli effetti un punto di ingresso diretto verso il tuo server e il tuo database. Se un form viene costruito limitandosi a "far arrivare l'email", senza applicare controlli rigorosi su ciò che l'utente digita, diventa una falla enorme.

Un modulo ben progettato deve sempre prevedere:

• Validazione dei dati lato server: non basta controllare i campi nel browser con un po' di JavaScript, che è facilmente aggirabile. È il server che deve verificare che nel campo "Email" ci sia davvero un indirizzo valido, che i campi rispettino lunghezze e formati attesi e che non contengano caratteri pericolosi, come gli a capo usati per manipolare le intestazioni delle email.
• Escaping dei dati in uscita: qualsiasi dato inserito da un utente, quando viene mostrato in una pagina o in un pannello di amministrazione, deve essere "neutralizzato" in modo che il browser lo tratti come semplice testo e mai come codice. È questa, più della pulizia in ingresso, la vera difesa contro l'iniezione di script.
• Protezione delle query al database: se i dati del form vengono salvati, devono essere gestiti con tecniche sicure, come i prepared statements, che impediscono di manipolare i comandi destinati al database.
• Sistemi anti-bot e limitazione degli invii: campi trappola invisibili (honeypot), controllo dei tempi di compilazione, limite al numero di invii per indirizzo e, se serve, verifiche come Cloudflare Turnstile, per evitare che il form venga usato per inondare la tua casella o quelle altrui.
• Token CSRF: un codice di sicurezza univoco che garantisce che il modulo sia stato inviato davvero dalla pagina del tuo sito, e non da un sito esterno che sta cercando di compiere azioni a nome di un utente ignaro. È fondamentale soprattutto nelle aree riservate e nei pannelli di amministrazione.

2. Librerie, dipendenze e componenti non aggiornati

Nessun sito moderno viene scritto partendo da zero per ogni singola funzione. Anche i siti sviluppati su misura utilizzano librerie esterne: per inviare email autenticate (ad esempio tramite SMTP), per generare un PDF, per creare un QR code o per gestire il layout grafico.

Il software, per sua natura, invecchia. Nel tempo vengono scoperte vulnerabilità all'interno di queste librerie e gli sviluppatori rilasciano aggiornamenti per correggerle. Se il tuo sito utilizza una libreria installata tre anni fa e mai più aggiornata, i bot automatici, che conoscono perfettamente l'elenco dei difetti di quella specifica versione, la useranno come un passepartout per entrare nel sistema.

Lo stesso vale per il linguaggio di programmazione del server: molti siti girano ancora su versioni di PHP che non ricevono più aggiornamenti di sicurezza da anni. È un rischio invisibile al visitatore, ma evidentissimo per chi cerca falle.

Se il tuo sito è su WordPress

Gran parte dei siti vetrina delle piccole aziende è realizzata con WordPress. Il cuore del sistema è curato e aggiornato con regolarità: il problema, quasi sempre, sono i plugin e i temi aggiunti nel tempo.

Secondo il rapporto Patchstack "State of WordPress Security in 2026", nel 2025 sono state scoperte oltre 11.000 nuove vulnerabilità nell'ecosistema WordPress, il 42% in più dell'anno precedente, e il 91% riguardava i plugin. Solo una manciata, e di bassa gravità, riguardava il nucleo di WordPress.

Le situazioni più pericolose che incontro sono:

• Plugin disattivati ma non rimossi: anche se spenti, i loro file restano sul server e possono essere sfruttati.
• Plugin abbandonati dagli sviluppatori, che non riceveranno mai più correzioni.
• Temi o plugin a pagamento "craccati" scaricati da siti non ufficiali, che spesso contengono già codice malevolo.
• Aggiornamenti rimandati per paura che "si rompa qualcosa": senza un ambiente di prova e un backup, ogni aggiornamento diventa un rischio, e quindi si smette di aggiornare.
• Account amministratore condivisi tra più persone, con password semplici e senza autenticazione a due fattori.

WordPress non è insicuro di per sé: diventa insicuro quando viene installato e poi lasciato a se stesso.

I principali attacchi a cui è esposto un sito web

Senza scendere in tecnicismi eccessivi, ecco cosa cercano di fare i sistemi automatici quando testano un sito non protetto:

• SQL Injection (manipolazione del database): attraverso un campo di input o un parametro nell'indirizzo della pagina mal gestito, l'attaccante inserisce comandi che costringono il database a mostrare, modificare o cancellare informazioni riservate.
• Cross-Site Scripting (XSS): iniezione di script malevoli nelle pagine del sito che vengono poi eseguiti nel browser dei visitatori, permettendo di rubare sessioni di accesso o reindirizzare l'utente verso siti truffaldini.
• Header ed Email Injection: sfruttamento dei moduli di contatto non filtrati per trasformare il tuo sito in una centrale di invio spam o email di phishing a nome del tuo dominio.
• Forza bruta e furto di credenziali: tentativi automatici e continui di indovinare le password dei pannelli di amministrazione o delle aree riservate prive di blocchi sui tentativi falliti. Molto spesso vengono provate password già rubate da altri servizi, sfruttando l'abitudine di riutilizzare la stessa password ovunque.
• Caricamento di file malevoli (Malicious File Upload): se il sito permette di allegare un file, come un curriculum o una foto, senza controllare rigorosamente il contenuto reale del file, un attaccante può caricare uno script eseguibile (una cosiddetta web shell) e prendere il controllo dell'intero spazio web.

Cosa succede davvero se lasci il sito "aperto" e vulnerabile

Molti pensano che il rischio peggiore sia trovare il sito offline per qualche ora. In realtà, gli attacchi più pericolosi sono quelli silenziosi, in cui il sito sembra funzionare normalmente per settimane mentre lavora per qualcun altro dietro le quinte.

Come capire se il sito è già stato compromesso

Un sito violato raramente si presenta con una scritta "sei stato hackerato". Questi sono i segnali più comuni a cui prestare attenzione:

• Cercando su Google site:tuodominio.it compaiono pagine che non hai mai creato, magari in altre lingue o su argomenti che non c'entrano nulla con la tua attività.
• Ricevi avvisi da Google Search Console su problemi di sicurezza o contenuti sospetti.
• Clienti o fornitori ti segnalano che le tue email finiscono nello spam o vengono respinte.
• Nel pannello di amministrazione compaiono utenti che non riconosci, oppure plugin o file che nessuno ha installato.
• Visitando il sito da smartphone o da Google vieni reindirizzato verso altri siti, mentre digitando l'indirizzo direttamente tutto sembra normale.
• L'hosting ti avvisa di un consumo anomalo di risorse o di invii massivi di email.
• Ricevi email di contatto con dati a caso

Le difese che spesso mancano: header, email, account e backup

Oltre al codice del sito, ci sono quattro aree che vedo trascurate con grande frequenza, anche in siti realizzati da professionisti.

HTTPS e header di sicurezza

Il lucchetto nella barra del browser (HTTPS) è ormai indispensabile, ma è solo il punto di partenza. Il server può inviare al browser delle istruzioni precise, chiamate header di sicurezza, che limitano ciò che può accadere sulla pagina anche nel caso in cui un attaccante riesca a inserire qualcosa:

• Content Security Policy (CSP): dice al browser da quali fonti è autorizzato a caricare script, immagini e stili. Se qualcuno riesce a iniettare uno script non autorizzato, il browser si rifiuta di eseguirlo. Ne ho parlato in dettaglio in Content Security Policy: la cintura di sicurezza del tuo sito.
• HSTS: obbliga il browser a usare sempre la connessione cifrata, impedendo tentativi di "declassarla".
• Protezione dall'incorporamento (X-Frame-Options o frame-ancestors): impedisce che il tuo sito venga inserito di nascosto dentro pagine altrui per ingannare gli utenti.
• Referrer-Policy e Permissions-Policy: limitano le informazioni trasmesse ad altri siti e l'accesso a funzioni come fotocamera, microfono o posizione.

Si tratta di configurazioni che non si vedono e non cambiano l'aspetto del sito, ma costituiscono una seconda linea di difesa molto efficace.

Email del dominio: SPF, DKIM e DMARC

Senza questi tre record configurati sul dominio, chiunque può inviare email che sembrano provenire dalla tua azienda, anche senza violare il sito. In pratica:

• SPF indica quali server sono autorizzati a spedire posta per il tuo dominio;
• DKIM aggiunge una firma digitale che dimostra che il messaggio non è stato alterato;
• DMARC dice ai provider cosa fare con le email che non superano i controlli e ti invia rapporti su chi sta usando il tuo nome.

Oltre a proteggere i tuoi clienti dalle truffe a tuo nome, una configurazione corretta migliora la consegna delle tue email reali: Gmail e Yahoo, ad esempio, richiedono questi controlli a chi invia volumi significativi di posta.

Gli account "collaterali": hosting, dominio e posta

Spesso l'attacco non passa dal sito, ma dal pannello dell'hosting, dall'account del registrar del dominio o dalla casella email usata per recuperare le password. Chi controlla uno di questi account controlla di fatto tutta la tua presenza online. Per ciascuno valgono tre regole: password unica e robusta, autenticazione a due fattori attiva, accesso limitato solo a chi ne ha davvero bisogno.

Backup e piano di ripristino

Un backup è utile solo se rispetta alcune condizioni: deve essere automatico, conservato fuori dal server del sito, mantenere più versioni nel tempo e soprattutto essere testato. Poiché molti attacchi restano silenziosi per settimane, avere solo la copia di ieri può significare ripristinare un sito già infetto. Sapere in anticipo quanto tempo serve per rimettere online il sito, e chi lo fa, trasforma un'emergenza in una procedura.

L'illusione del "fai da te" e del codice generato con l'Intelligenza Artificiale

Oggi mettere online una pagina web sembra più facile che mai. Tra strumenti visuali pronti all'uso e l'Intelligenza Artificiale capace di generare blocchi di codice in pochi secondi, la tentazione del "faccio tutto da solo a costo zero" è forte.

Lo dico da sviluppatore che usa l'AI ogni giorno: è uno strumento straordinario per velocizzare il lavoro. Ma proprio perché la uso, conosco il suo limite fondamentale: fornisce codice che "funziona", non necessariamente codice che è sicuro nel tuo specifico contesto.

Se chiedi a un'intelligenza artificiale di scriverti lo script per un form di contatto o per un'area riservata, e non hai le competenze tecniche per valutare ciò che ti restituisce, non ti accorgerai se manca un controllo sui permessi, se gli header di sicurezza come la Content Security Policy sono assenti, se gli errori del database vengono stampati a schermo regalando informazioni preziose agli attaccanti, o se una funzione utilizzata è vulnerabile.

Copiare e incollare codice senza sapere dove mettere le mani equivale a costruire un edificio senza conoscere la statica: finché c'è il sole sta in piedi e sembra perfetto, ma alla prima scossa crolla. L'AI potenzia chi sa già progettare e verificare un'architettura software, ma non sostituisce la competenza tecnica e la consapevolezza dei rischi.

Checklist: 10 controlli da fare oggi sul tuo sito

Puoi verificare molti di questi punti anche da solo, o chiederli direttamente a chi gestisce il tuo sito:

1. Il sito usa HTTPS su tutte le pagine, senza avvisi del browser.
2. CMS, plugin, temi e librerie sono aggiornati, e quelli inutilizzati sono stati rimossi.
3. Il server utilizza una versione di PHP ancora supportata.
4. I form validano i dati lato server e hanno protezioni anti-bot e limiti di invio.
5. Pannello admin, hosting, dominio ed email hanno password uniche e autenticazione a due fattori.
6. Il pannello di amministrazione blocca i tentativi di accesso ripetuti.
7. Sono attivi gli header di sicurezza (almeno CSP e HSTS).
8. Il dominio ha SPF, DKIM e DMARC configurati correttamente.
9. Esistono backup automatici esterni, con più versioni, e un ripristino è stato provato almeno una volta.
10. Il sito è collegato a Google Search Console, per ricevere gli avvisi di sicurezza.

Se hai risposto "non lo so" a più di un punto, non sei solo: è la situazione più comune che trovo nei siti delle piccole aziende. Ed è esattamente da qui che si parte.