Ho l’hosting sicuro, quindi sono protetto
L’hosting sicuro non protegge il tuo sito
Uno dei miti più diffusi è pensare che:
“Se l’hosting è sicuro, il sito è sicuro”.
L’hosting protegge:
- l’infrastruttura
- il data center
- l’hardware
Non protegge:
- WordPress
- i plugin
- le credenziali
- il codice del tuo sito
Un hosting può essere eccellente
e ospitare siti compromessi.
Sicurezza server ≠ sicurezza applicativa
La sicurezza server riguarda:
- firewall
- isolamento
- patch di sistema
La sicurezza applicativa riguarda:
- CMS
- temi
- plugin
- configurazioni
- utenti
Confondere le due cose significa
lasciare scoperta metà della superficie di attacco.
“Uso HTTPS, quindi il sito è sicuro”
HTTPS protegge i dati, non il sito
HTTPS cifra la comunicazione.
Non impedisce:
- infezioni
- malware
- backdoor
- furti di accesso
Un sito può essere:
- perfettamente HTTPS
- completamente compromesso
Il lucchetto non è un indicatore di sicurezza
Il browser mostra il lucchetto perché:
- la connessione è cifrata
- il certificato è valido
Non perché:
- il sito è pulito
- il codice è sicuro
- i contenuti sono legittimi
Affidarsi al lucchetto è
una falsa rassicurazione.
Il mio sito è piccolo, non interessa a nessuno
I bot non fanno distinzioni
I bot non valutano:
- brand
- fatturato
- notorietà
Valutano:
- vulnerabilità
- configurazioni
- accessi aperti
Un sito piccolo è spesso:
- meno controllato
- meno monitorato
- più vulnerabile
Quindi più interessante, non meno.
Gli attacchi non sono personali
La maggior parte degli attacchi:
- è automatizzata
- è opportunistica
- non ha un bersaglio specifico
Se il tuo sito è esposto,
verrà usato.
“Basta un plugin di sicurezza”
Il mito più pericoloso
Installare un plugin di sicurezza e sentirsi protetti
è uno degli errori più gravi.
I plugin:
- aiutano
- segnalano
- limitano
Ma non fanno sicurezza.
Cosa un plugin non può fare
Un plugin non può:
- correggere configurazioni errate
- analizzare il server
- individuare attacchi complessi
- prevenire errori umani
Soprattutto, non può:
- sostituire una strategia
La falsa sicurezza è il vero problema
Il rischio maggiore non è subire un attacco,
ma credere di essere al sicuro.
Quando te ne accorgi,
il danno è già fatto.
Se il sito funziona, allora è tutto ok”
Funzionare non significa essere sicuro
Un sito compromesso può:
- caricarsi velocemente
- vendere
- ricevere traffico
- non mostrare errori
E allo stesso tempo:
- inviare spam
- distribuire malware
- danneggiare la SEO
La sicurezza non è visibile.
Si misura tecnicamente, non a occhio.
Backup senza analisi = loop infinito
Senza capire:
- come sei stato attaccato
- da dove è entrato
- cosa ha lasciato
Continuerai a:
- ripristinare
- reinfettare
- perdere tempo e fiducia
“La sicurezza è una cosa tecnica, non mi riguarda”
La sicurezza è un problema di business
La sicurezza web incide su:
- fatturato
- reputazione
- SEO
- fiducia dei clienti
- conformità legale
Non è un tema da tecnici,
è un rischio aziendale.
Ignorarla è una scelta (costosa)
Non occuparsi di sicurezza
non elimina il rischio.
Lo sposta solo
nel momento peggiore possibile.