Perché sono la prima cosa che si guarda
Prima di provare qualsiasi cosa, chi studia un sito ne legge le intestazioni di risposta: sono lì, pubbliche, e si ottengono senza toccare nulla di riservato. Da quelle si capisce che tecnologia gira dietro, a volte con la versione precisa, e quali difese sono attive. È l'equivalente di guardare, dall'esterno di un edificio, che serratura ha la porta e se le finestre sono chiuse: non è ancora entrare, ma dice da dove conviene provare.
Le difese che dovrebbero esserci
| Intestazione | Cosa fa | Se manca |
|---|---|---|
| Strict-Transport-Security (HSTS) | Impone al browser di usare sempre la connessione cifrata | Il browser può essere spinto su una connessione in chiaro, intercettabile |
| Content-Security-Policy | Limita da dove la pagina può caricare codice e contenuti | La pagina è più esposta all'iniezione di script altrui |
| X-Content-Type-Options | Impedisce al browser di indovinare il tipo di un file | Un file può essere interpretato in modo pericoloso |
| X-Frame-Options / frame-ancestors | Impedisce che il sito sia incorniciato in un altro | Il sito può essere usato per ingannare l'utente in una pagina finta |
Sono difese a basso costo: si aggiungono nella configurazione del server, senza toccare il codice dell'applicazione. La CSP è l'unica che richiede attenzione, perché va tarata sul sito.
Le informazioni che invece rivelano troppo
All'opposto, alcune intestazioni dicono al mondo cosa gira dietro il sito: il nome e la versione del server, la tecnologia dell'applicazione, a volte persino il numero di versione preciso. Quel dettaglio non serve al visitatore, serve a chi cerca falle: sapere la versione esatta significa poter cercare direttamente le vulnerabilità note di quella versione. Ridurre queste intestazioni non risolve un difetto, ma toglie una scorciatoia a chi vi studia.
- 01
Lanciate il comando sul vostro dominio
Da un terminale, un comando come «curl -I https://ilvostrodominio.it» restituisce le intestazioni di risposta senza scaricare la pagina. È immediato e non modifica nulla.
- 02
Cercate cosa manca
Controllate se compaiono HSTS e le altre difese della tabella. Le assenti sono la vostra lista di cose da aggiungere.
- 03
Cercate cosa rivela troppo
Guardate se un'intestazione espone versioni precise del server o della tecnologia. Se sì, vanno ridotte a informazioni generiche o rimosse.