Security Headers: le difese gratuite che il tuo sito non sta usando

Quali vulnerabilità trova

• Protezioni anti-clickjacking assenti — il tuo sito può essere "incorniciato" dentro una pagina malevola che ruba i clic dei tuoi utenti.
• Nessuna Content Security Policy, o una policy troppo permissiva — la rete di sicurezza che limita i danni di uno script malevolo non c'è, o è piena di buchi.
• Connessione cifrata non imposta — un visitatore può essere silenziosamente dirottato sulla versione non protetta del sito.
• Fughe di informazioni verso siti terzi — indirizzi interni e parametri sensibili passati ad altri siti attraverso i link.

E non si limita a "presente/assente": valuta anche come ogni difesa è configurata, contro regole aggiornate.

Quali attacchi previene

• Clickjacking — l'utente crede di cliccare sul tuo sito, sta autorizzando qualcos'altro.
• Cross-site scripting (XSS) — una CSP ben fatta è l'ultima linea di difesa che spegne lo script iniettato anche quando tutto il resto ha fallito.
• Downgrade e intercettazione — l'attaccante che forza la connessione non cifrata per leggere credenziali e sessioni.
• Furto di sessione via rete ostile — Wi-Fi pubblici, reti aziendali compromesse.

Quanto ti fa risparmiare

Configurare questi header costa minuti di lavoro. Non farlo espone a incidenti il cui costo si misura in ben altro: un furto di sessione o un defacement significa intervento d'urgenza, comunicazioni imbarazzanti ai clienti e — se ci sono dati personali di mezzo — obblighi di notifica al Garante. Il costo medio globale di un data breach ha superato i 4,8 milioni di dollari (IBM, Cost of a Data Breach 2024); per una PMI italiana anche un incidente "piccolo" vale tipicamente decine di migliaia di euro tra fermo, ripristino e clienti persi.

Fonte dei dati citati: IBM Cost of a Data Breach Report, Rapporti Clusit.