Sicurezza dell'hosting: SSL, firewall e aggiornamenti per le PMI

La sicurezza di un sito ospitato è una responsabilità condivisa: il fornitore protegge l'infrastruttura (data center, rete, server fisici, virtualizzazione), tu proteggi ciò che ci metti sopra (software, plugin, password, utenti, configurazioni). La maggior parte delle compromissioni di siti di piccole imprese non nasce da attacchi sofisticati all'infrastruttura, ma da software non aggiornato, password deboli e plugin vulnerabili. Le misure più efficaci sono quindi poche e concrete: aggiornare, usare accessi robusti con autenticazione a due fattori, avere backup verificati, limitare ciò che è installato e monitorare.

Chi è responsabile di che cosa

Livello	Di norma a carico del fornitore	Di norma a carico tuo
Data center, alimentazione, rete	Sì	No
Hardware e virtualizzazione	Sì	No
Sistema operativo del server	Nel condiviso e nel gestito sì; nel VPS non gestito no	Nel VPS non gestito sì
Software del sito (CMS, plugin, temi)	Raramente	Sì
Account, password, utenti	Strumenti offerti dal fornitore	Sì
Backup	Parzialmente, se incluso	Verifica e copia esterna
Dati personali	Responsabile del trattamento	Titolare del trattamento

Il contratto e la descrizione del servizio chiariscono la ripartizione per il tuo piano. Nei piani «gestiti» il perimetro del fornitore è più ampio, ma raramente comprende il tuo software applicativo.

Certificato SSL e protocollo sicuro

Il certificato abilita la connessione cifrata tra browser e sito, e fa comparire l'indirizzo con il protocollo sicuro. Oggi molti piani includono certificati gratuiti e il rinnovo automatico. Verifica:

che il certificato sia attivo su tutto il sito e su tutti i sottodomini che usi;
che il rinnovo sia automatico e che arrivino avvisi in caso di errore;
che gli indirizzi non sicuri vengano reindirizzati a quelli sicuri;
che il sito non carichi risorse da indirizzi non sicuri, perché il browser potrebbe segnalarlo.

Il certificato protegge il traffico, non rende il sito immune da attacchi: un sito con certificato e plugin vulnerabili resta vulnerabile.

Aggiornamenti: la misura più sottovalutata

I fornitori di software pubblicano correzioni di sicurezza e gli attaccanti usano strumenti automatici per cercare siti che non le hanno installate. Per ridurre il rischio:

Aggiorna regolarmente il CMS, i temi e i plugin, preferibilmente in un ambiente di prova prima della produzione.
Rimuovi ciò che non usi: ogni plugin installato ma disattivato o abbandonato è una superficie di attacco.
Usa versioni del linguaggio di programmazione ancora supportate, consultando il sito ufficiale del linguaggio.
Se gestisci un VPS, pianifica gli aggiornamenti del sistema operativo e riavvia quando richiesto.

Un calendario realistico: controllo settimanale degli aggiornamenti disponibili, applicazione di quelli di sicurezza appena possibile, revisione trimestrale di plugin e utenti. Se non hai chi lo fa, valuta un piano gestito o un contratto di manutenzione con un'agenzia.

Accessi e password

Usa password lunghe e diverse per ogni servizio, con un gestore di password.
Attiva l'autenticazione a due fattori sul pannello dell'hosting, sull'area amministrativa del sito, sul registrar del dominio e sulla posta.
Crea un utente per persona e assegna i permessi minimi necessari.
Rimuovi gli accessi di ex collaboratori e agenzie quando la collaborazione finisce.
Limita i tentativi di accesso errati e, se possibile, restringi l'area amministrativa per indirizzo o con una protezione aggiuntiva.
Non condividere le credenziali via email non protetta.

Firewall e protezione dagli attacchi

Un firewall per applicazioni web filtra le richieste malevole più comuni, come tentativi di iniezione di codice o di indovinare le password. Molti fornitori offrono regole di protezione incluse o come servizio aggiuntivo, e alcune reti di distribuzione dei contenuti offrono filtri e protezione contro gli attacchi che saturano il servizio. Chiedi al fornitore cosa è compreso e come reagisce a un attacco massiccio: alcuni sospendono il servizio per proteggere gli altri clienti.

Per un VPS gestito da te: abilita il firewall del sistema consentendo solo le porte necessarie, disattiva l'accesso con password al server preferendo chiavi di accesso, e installa strumenti che blocchino indirizzi con troppi tentativi falliti.

Monitoraggio e segnali di compromissione

Un sito compromesso spesso non si accorge subito. Segnali tipici: pagine nuove che non hai creato, reindirizzamenti verso siti esterni, avvisi dei browser o dei motori di ricerca, posta del dominio che finisce in spam, consumo anomalo di risorse. Misure utili:

monitoraggio esterno di disponibilità e di tempi di risposta;
avvisi sulle modifiche ai file principali;
controllo periodico degli utenti amministratori;
revisione dei registri di accesso se disponibili.

Cosa fare se il sito è compromesso

Contieni: metti il sito in manutenzione o isolalo, cambia subito le password di pannello, sito, database e posta.
Contatta il fornitore: può aiutare con registri e isolamento.
Valuta i dati: se sono coinvolti dati personali, valuta con il consulente privacy gli obblighi di comunicazione al Garante entro 72 ore dalla scoperta, salvo rischio improbabile per le persone.
Ripristina da un backup precedente alla compromissione e aggiorna tutto prima di rimetterlo online. Vedi backup e ripristino.
Cerca la causa: ripristinare senza rimuovere la vulnerabilità porta alla stessa situazione.
Documenta l'accaduto: serve per migliorare e, se necessario, per le comunicazioni dovute.

Obblighi di cybersicurezza e NIS2

Alcune organizzazioni, per settore e dimensione, rientrano nella disciplina nazionale di recepimento della direttiva europea NIS2 e devono adottare misure di gestione del rischio, anche sulla catena di fornitura, e notificare gli incidenti significativi all'ACN. Molte piccole imprese non sono incluse direttamente, ma possono esserlo indirettamente se forniscono servizi a soggetti obbligati, che chiederanno garanzie contrattuali. Verifica sul sito dell'Agenzia per la Cybersicurezza Nazionale se la tua organizzazione è interessata.

Checklist minima per una PMI

Aggiornamenti applicati almeno ogni settimana.
Autenticazione a due fattori sugli accessi critici.
Backup con copia esterna e prova di ripristino.
Plugin ridotti all'essenziale.
Certificato valido con rinnovo automatico.
Utenti con permessi minimi e revisione periodica.
Monitoraggio esterno con avvisi.
Un documento con i contatti da chiamare in caso di incidente.

Per un esempio di come questi punti pesano in un negozio, leggi hosting per e-commerce.

Errori da evitare

Pensare che la sicurezza sia compito esclusivo del fornitore.
Lasciare installati plugin abbandonati.
Usare la stessa password in più servizi.
Ripristinare un backup senza aver chiuso la vulnerabilità.
Non sapere chi chiamare in un'emergenza.

Quando consultare un professionista

Se il sito tratta dati sensibili, pagamenti o dati di molte persone, o se hai subito un incidente, coinvolgi un professionista di sicurezza informatica e, per gli obblighi di legge, un consulente privacy.

Domande frequenti

Il certificato SSL basta a rendere sicuro il sito?

No. Cifra la comunicazione ma non protegge da software vulnerabile o da password deboli.

Ogni quanto devo aggiornare il sito?

Controlla ogni settimana e applica subito gli aggiornamenti di sicurezza, dopo averli provati se il sito è importante.

Il fornitore risponde se il mio sito viene hackerato?

In generale la responsabilità del software e degli accessi del sito è del cliente, salvo diversa previsione contrattuale o colpa del fornitore. Leggi il contratto.

Serve un firewall per un piccolo sito?

È utile, specialmente un filtro per applicazioni web offerto dal fornitore o da un servizio di distribuzione. Non sostituisce gli aggiornamenti.

Fonti e approfondimenti

Agenzia per la Cybersicurezza Nazionale — NIS2, buone pratiche e segnalazione degli incidenti.
Garante per la protezione dei dati personali — violazioni dei dati personali.
PHP.net — versioni supportate del linguaggio.
Let's Encrypt — certificati gratuiti.