%20--%3e%3ccircle%20cx='32'%20cy='32'%20r='30'%20fill='rgba(99,102,241,0.05)'%20stroke='url(%23icon-gradient)'%20stroke-width='1.5'/%3e%3c!--%20Left%20bracket%20%3c%20--%3e%3cpath%20d='M12%2020L4%2032L12%2044'%20stroke='url(%23icon-gradient)'%20stroke-width='4'%20stroke-linecap='round'%20stroke-linejoin='round'%20fill='none'/%3e%3c!--%20Central%20E%20--%3e%3cpath%20d='M22%2018H42V24H28V29H40V35H28V40H42V46H22V18Z'%20fill='url(%23icon-accent)'/%3e%3c!--%20Right%20bracket%20%3e%20--%3e%3cpath%20d='M52%2020L60%2032L52%2044'%20stroke='url(%23icon-gradient)'%20stroke-width='4'%20stroke-linecap='round'%20stroke-linejoin='round'%20fill='none'/%3e%3c!--%20Decorative%20dots%20--%3e%3ccircle%20cx='32'%20cy='10'%20r='2'%20fill='%23818CF8'%20opacity='0.7'/%3e%3ccircle%20cx='32'%20cy='54'%20r='2'%20fill='%236366F1'%20opacity='0.7'/%3e%3c/svg%3e){kind=small}
Guida alle vulnerabilità di sicurezza
Comprendere e correggere le vulnerabilità di sicurezza web comuni rilevate da VitaPulse
Header di sicurezza HTTP
Gli header di sicurezza istruiscono i browser ad abilitare meccanismi di sicurezza integrati, proteggendo i tuoi utenti dagli attacchi più comuni.
Alta
Strict-Transport-Security (HSTS)
Obbliga i browser a connettersi al tuo sito esclusivamente tramite HTTPS, prevenendo attacchi di downgrade del protocollo e dirottamento dei cookie.
Alta
Content-Security-Policy (CSP)
Definisce quali risorse (script, stili, immagini) possono essere caricate sulla tua pagina, prevenendo attacchi di iniezione di contenuti.
Alta
X-XSS-Protection
Abilita il filtro XSS integrato nel browser per bloccare gli attacchi cross-site scripting riflessi.
Media
X-Content-Type-Options
Impedisce ai browser di indovinare il tipo di contenuto dei file, bloccando gli attacchi di MIME sniffing.
Media
X-Frame-Options
Controlla se la tua pagina può essere incorporata in iframe su altri siti, prevenendo attacchi di clickjacking.
Bassa
Referrer-Policy
Controlla quante informazioni di referrer vengono incluse nelle richieste, proteggendo la privacy degli utenti e le strutture URL sensibili.
Bassa
Permissions-Policy
Controlla quali funzionalità del browser e API possono essere utilizzate sulla tua pagina, limitando l'accesso a sensori, fotocamera, microfono e altro.
Bassa
Cross-Origin-Opener-Policy (COOP)
Isola la tua pagina dalle finestre cross-origin, prevenendo attacchi tramite riferimenti window.opener.
Bassa
Cross-Origin-Resource-Policy (CORP)
Impedisce ad altri siti web di caricare le tue risorse, proteggendo contro perdite di dati cross-origin.
Bassa
Cross-Origin-Embedder-Policy (COEP)
Richiede che tutte le risorse cross-origin optino esplicitamente per l'inclusione, abilitando l'isolamento cross-origin e proteggendo contro gli attacchi Spectre.
Certificato TLS e crittografia
TLS (Transport Layer Security) crittografa tutte le comunicazioni tra il browser dell'utente e il tuo server, proteggendo i dati in transito.
Alta
Protocollo TLS debole (TLS 1.0 / 1.1)
Il tuo server supporta versioni obsolete di TLS (1.0 o 1.1) che presentano debolezze crittografiche note.
Alta
Algoritmo di firma del certificato debole
Il tuo certificato SSL/TLS utilizza un algoritmo di firma debole (come SHA-1 con RSA PKCS#1) vulnerabile agli attacchi di collisione.
Alta
Certificato SSL/TLS scaduto
Il tuo certificato SSL/TLS è scaduto o scadrà entro 30 giorni.
Media
Certificate Transparency mancante
Il tuo certificato SSL non include informazioni di Certificate Transparency (CT), il che rende più difficile individuare certificati emessi in modo errato.
Bassa
Encrypted Client Hello (ECH) assente
Il tuo server non supporta Encrypted Client Hello, quindi il nome di dominio (SNI) è visibile durante l'handshake TLS.
Audit di sicurezza Lighthouse
Audit di sicurezza eseguiti automaticamente durante ogni scansione Lighthouse.
Alta
Sito non servito tramite HTTPS
Il tuo sito è accessibile tramite HTTP non cifrato, quindi tutti i dati scambiati tra gli utenti e il tuo server viaggiano in chiaro.
Alta
Nessun reindirizzamento da HTTP a HTTPS
Il tuo server non reindirizza le richieste HTTP verso HTTPS, consentendo agli utenti di accedere al sito tramite una connessione non sicura.
Alta
CSP non efficace contro gli attacchi XSS
La tua Content Security Policy è assente o non previene in modo efficace gli attacchi cross-site scripting.
Media
Nessuna policy Trusted Types
Il tuo sito non utilizza Trusted Types, un'API del browser che previene gli attacchi cross-site scripting basati sul DOM.
Media
Permesso di geolocalizzazione al caricamento della pagina
Il tuo sito richiede il permesso di geolocalizzazione non appena la pagina si carica, prima di qualsiasi interazione dell'utente.
Media
Permesso di notifica al caricamento della pagina
Il tuo sito richiede il permesso per le notifiche non appena la pagina si carica, prima di qualsiasi interazione dell'utente.
Bassa
Nessun isolamento cross-origin
Il tuo sito non è isolato cross-origin: non può usare API di prestazioni avanzate ed è più vulnerabile agli attacchi side-channel.
Versioni software esposte
Le versioni software rilevabili pubblicamente forniscono agli attaccanti informazioni preziose su potenziali vulnerabilità.
Media
Versione del software server esposta
L'header HTTP 'Server' del tuo server rivela il nome e la versione del software (ad es. Apache/2.4.41, nginx/1.18.0).
Media
Header X-Powered-By esposto
Il tuo server invia un header 'X-Powered-By' che rivela la tecnologia backend e la versione (ad es. PHP/7.4, Express, ASP.NET).
Media
Versione del CMS esposta
La versione del tuo CMS (WordPress, Drupal, Joomla, ecc.) è visibile nei meta tag, nel sorgente HTML o nei pattern degli URL.
Bassa
Versione del framework JavaScript esposta
La versione del tuo framework frontend (React, Vue, Angular, jQuery, ecc.) è rilevabile tramite pattern nel codice sorgente, variabili globali o file delle librerie.