Perché il mio sito dice «non sicuro», e cosa sono le intestazioni di sicurezza?
«Non sicuro» nella barra degli indirizzi vuol dire che la pagina, o qualcosa al suo interno, viene inviata senza cifratura. Chiunque sia sulla stessa rete può leggerla o modificarla strada facendo. Le intestazioni di sicurezza sono un’altra cosa: cinque brevi istruzioni che il server può inviare per dire ai browser come proteggere i tuoi visitatori. A quasi tutti i siti ne manca qualcuna.
Come lo sa il controllo
Chiede il tuo sito via https e vede se risponde. Poi chiede l’indirizzo http semplice e vede se rimanda le persone a quello sicuro, come dovrebbe. In una pagina sicura cerca immagini, script o stili ancora caricati via http, quello che i browser chiamano contenuto misto. E legge le intestazioni arrivate con la pagina per vedere quali delle cinque standard ci sono.
Cosa significa ogni risultato
Nessuna versione sicura. Il sito funziona solo via http. I browser lo segnalano, i motori di ricerca lo penalizzano e i moduli inviano in chiaro quello che le persone scrivono. Oggi un certificato è gratuito presso qualsiasi hosting serio.
La versione non sicura è ancora aperta. Https funziona, ma scrivendo l’indirizzo senza si vede il sito non sicuro invece di essere reindirizzati. Vecchi link e segnalibri continuano a portare lì le persone.
File non sicuri in una pagina sicura. Di solito un’immagine o uno script con un vecchio indirizzo http, rimasto da prima che il sito avesse un certificato. I browser bloccano gli script e possono nascondere le immagini.
Intestazioni di sicurezza mancanti. Ognuna chiude un trucco noto: usa sempre la connessione sicura, esegui script solo da dove te li aspetti, non indovinare il tipo dei file, non lasciare che altri siti mostrino il tuo dentro il loro, non rivelare da quale pagina si arriva. Nessuna cambia l’aspetto del sito.
Cosa puoi fare da solo
Se non hai un certificato, il pannello di controllo del tuo hosting ha quasi certamente un’opzione a un clic. Molti hosting hanno anche un interruttore «forza https», che sistema il reindirizzamento. Per il contenuto misto, cerca nei tuoi contenuti gli indirizzi che iniziano con http:// e cambiali in https://.
Quando è un lavoro da sviluppatore
Le intestazioni. Sono poche righe nella configurazione del server, ma una content security policy sbagliata può rompere silenziosamente parti del sito, quindi serve qualcuno che la provi. Di solito è un’ora di lavoro e fa una differenza reale su quanto il sito è esposto.