In breve
- La maggior parte degli attacchi è automatica: non cercano te, cercano siti vecchi e password deboli.
- Password lunghe e diverse per ogni servizio, salvate in un gestore di password, e la verifica in due passaggi.
- Sito, tema e plugin vanno aggiornati; quello che non usi va tolto.
- Le copie di sicurezza devono essere automatiche, fuori dal server e provate almeno una volta.
- Diffida delle email urgenti su dominio in scadenza, pagamenti e account bloccati: spesso sono truffe.
Perché riguarda anche te
Quasi nessuno attacca il sito di un piccolo negozio di proposito. Ci sono però programmi che, ogni giorno, provano migliaia di siti a caso: cercano versioni vecchie di WordPress e dei plugin, pannelli con password facili, moduli senza protezione.
Quando trovano un punto debole, usano il sito per mandare spam, mostrare pubblicità, rubare dati dei clienti o semplicemente lo rompono. E se hai un negozio online o un gestionale, ci sono dati di clienti e ordini da proteggere.
La buona notizia: poche abitudini semplici fermano quasi tutto.
Le difese in 8 passi
- 01
Password lunghe e diverse
Una password diversa per ogni servizio (sito, hosting, dominio, email, social), lunga almeno 12–16 caratteri. Per ricordarle usa un gestore di password: quello del telefono o del browser va già bene.
Perché conta: Quando un servizio viene violato, la stessa password usata altrove apre tutto il resto.
- 02
Verifica in due passaggi
Attivala dove puoi: email, dominio, hosting, pannello del sito, social. Oltre alla password serve un codice dal telefono. Dove c’è, ancora meglio l’accesso con passkey.
Perché conta: Anche se qualcuno scopre la password, senza il tuo telefono non entra.
- 03
Un accesso per persona
Chi lavora con te ha il suo account, con solo i permessi che gli servono. Quando qualcuno va via, togli il suo accesso lo stesso giorno. Niente password condivise nel gruppo WhatsApp.
Perché conta: Sai sempre chi può fare cosa, e un accesso perso non apre tutto.
- 04
Aggiorna sempre
Sito, tema e plugin (su WordPress e simili) vanno aggiornati appena esce una versione nuova: spesso chiudono proprio i buchi che gli attacchi automatici cercano. Meglio ancora se gli aggiornamenti sono automatici o seguiti da chi ti cura il sito.
Perché conta: Un sito non aggiornato da anni è il bersaglio preferito dei programmi automatici.
- 05
Togli quello che non usi
Plugin disattivati, vecchie pagine di prova, account di collaboratori passati, moduli che nessuno usa: eliminali. Ogni cosa in più è una porta in più.
Perché conta: Meno pezzi ci sono, meno cose possono rompersi o essere attaccate.
- 06
Copie di sicurezza automatiche
Una copia di sito e database ogni giorno o ogni settimana, salvata fuori dal server del sito. E almeno una volta, prova a ripristinarla: una copia mai provata non si sa se funziona.
Perché conta: Se qualcosa va storto, si torna indietro in poche ore invece di rifare tutto.
- 07
Moduli e pannelli protetti
Moduli con protezione antispam, pannello di amministrazione con limite ai tentativi di accesso, sito sempre in https (il lucchetto). Su un gestionale, ogni azione importante registrata.
Perché conta: Sono le porte che i programmi automatici provano per prime.
- 08
Attenzione alle email truffa
«Il tuo dominio scade oggi», «pagamento rifiutato», «account sospeso, clicca qui»: controlla sempre il mittente vero e non cliccare. Entra tu nel pannello dal sito ufficiale, scrivendo l’indirizzo a mano.
Perché conta: Molti siti vengono presi non con attacchi tecnici, ma con una password inserita nella pagina sbagliata.
Se succede qualcosa
Il sito mostra pagine strane, Google avvisa che è pericoloso, i clienti ricevono email che non hai mandato? Per prima cosa cambia le password principali (hosting, pannello del sito, email), poi chiama chi ti cura il sito: si ripristina l’ultima copia pulita e si chiude il buco da cui sono entrati.
Se sono stati toccati dati personali di clienti (per esempio email, indirizzi, ordini), il regolamento europeo sulla privacy può richiedere di avvisare il Garante entro 72 ore e, in alcuni casi, le persone coinvolte. Fatti aiutare da chi ti segue per la privacy.
Cosa non fare
- Usare la stessa password ovunqueBasta che un servizio venga violato e tutti gli altri sono aperti.
- Rimandare gli aggiornamenti«Funziona, non tocchiamo» è proprio quello che cercano gli attacchi automatici.
- Tenere le copie solo sullo stesso serverSe il server ha un problema, perdi sito e copie insieme.
- Dare a tutti l’accesso da amministratoreOgnuno deve avere solo i permessi che gli servono.
- Cliccare sui link delle email urgentiEntra sempre tu nel pannello, dal sito ufficiale.
La lista di controllo
Spunta quello che hai già fatto: quello che resta è da sistemare questa settimana.
Domande frequenti
Il mio sito è piccolo: chi dovrebbe attaccarlo?
Di solito nessuno di proposito: gli attacchi sono programmi automatici che provano migliaia di siti a caso. Per loro un sito piccolo non aggiornato vale come uno grande.
Cos’è la verifica in due passaggi?
Oltre alla password, al momento dell’accesso serve un codice che arriva sul telefono o viene generato da un’app. Anche se qualcuno scopre la password, senza il tuo telefono non entra.
Ogni quanto fare le copie di sicurezza?
Per un sito che cambia poco basta ogni settimana; per un negozio online o un gestionale, ogni giorno. Sempre salvate fuori dal server, e provate ogni tanto.
Il lucchetto https vuol dire che il sito è sicuro?
Vuol dire che i dati viaggiano cifrati tra il visitatore e il sito: è indispensabile, ma da solo non basta. Servono anche aggiornamenti, password robuste e copie.
Chi è responsabile se vengono rubati i dati dei clienti?
L’attività che raccoglie i dati è responsabile di proteggerli in modo adeguato. Per questo conviene curare la sicurezza e sapere cosa fare se succede qualcosa.
Un sito che dormi tranquillo.
Controllo password, accessi, aggiornamenti e copie di sicurezza del tuo sito, ti dico cosa sistemare e, se vuoi, me ne occupo io nel tempo.