Sicurezza base

Cosa ricevi

• La verifica in due passaggi (il codice sul telefono) attiva su ogni account che può cambiare il sito
• Utenti inutili tolti e ogni persona con il suo accesso e i permessi minimi
• Il sito sempre in https e le protezioni del browser impostate, con il voto prima e dopo
• Moduli protetti dallo spam
• Nessuna chiave segreta lasciata nel codice
• Un rapporto di due pagine che capisci: cosa era aperto e cosa ho chiuso
• L'inventario degli accessi aggiornato e tre regole semplici da seguire

Come lo faccio

La porta più comune per entrare in un sito sono gli account, prima ancora del codice. Per questo parto dalla verifica in due passaggi e dagli utenti inutili, poi chiudo le protezioni del browser e misuro prima e dopo.

1. Inventario degli accessiUna tabella: ogni account che può cambiare il sito (registrar, hosting, codice, gestione contenuti, Google), chi ci entra, con quale ruolo, con o senza verifica in due passaggi. La confermi tu.Perché conta: Un vecchio collaboratore con un accesso ancora attivo è una porta aperta che nessuno vede.
2. Due passaggi e puliziaIn una sessione di 30-45 minuti con te attiviamo la verifica in due passaggi su ogni account, tolgo gli utenti che non servono e abbasso i permessi al minimo.Perché conta: Una password rubata da sola non basta più a entrare, se serve anche il codice sul telefono.
3. Misura primaPasso il dominio da MDN HTTP Observatory, controllo le librerie con il controllo delle vulnerabilità note e cerco chiavi segrete nel codice. Salvo i risultati.Perché conta: Senza il voto di partenza non si può mostrare cosa è stato chiuso.
4. Intestazioni di sicurezzaImposto le intestazioni che proteggono il browser. La Content-Security-Policy la provo prima in sola segnalazione, poi la attivo; HSTS solo dopo aver visto che tutto il dominio, sottodomini compresi, funziona in HTTPS.Perché conta: Una CSP attivata senza prova rompe animazioni, caratteri e moduli; un HSTS con sottodomini non pronti li blocca.
5. Moduli, dipendenze, segretiCampo esca e filtri anti spam attivi e provati, librerie vulnerabili aggiornate, ogni chiave spostata nelle variabili d'ambiente. Su WordPress anche firewall, limite ai tentativi di accesso e temi o plugin inutili rimossi.Perché conta: Una chiave scritta nel codice di un archivio pubblico la trova chiunque la cerchi.
6. Misura dopo e rapportoRipasso l'Observatory e il controllo delle librerie, e ti consegno un rapporto di due pagine: cosa era aperto, cosa ho chiuso, tre regole da seguire.Perché conta: Un rapporto tecnico che il titolare non capisce non cambia le sue abitudini, che sono metà della sicurezza.

Le tecniche che uso

Autenticazione a due fattori (2FA)

Oltre alla password serve un codice sul telefono: è la prima difesa degli account.

Principio del privilegio minimo

Ogni persona ha il suo accesso e solo i permessi che le servono.

Content-Security-Policy

L'intestazione che dice al browser da dove il sito può caricare script e risorse. Si prova in sola segnalazione prima di attivarla.

HSTS

L'intestazione che obbliga il browser a usare sempre HTTPS sul tuo dominio.

MDN HTTP Observatory

Lo strumento gratuito di Mozilla che dà un voto alle protezioni del sito e spiega come correggerle. Lo uso prima e dopo.

Secrets in variabili d'ambiente

Chiavi e token fuori dal codice, nelle impostazioni protette dell'hosting.

Cosa comprende il prezzo

La modifica compresa: Ogni servizio comprende un giro di modifiche: guardiamo insieme la prima versione, mi scrivi in un elenco quello che non va e lo riadatto. Le modifiche in più, o le cose aggiunte dopo, si pagano a parte, con il costo scritto prima, nella lettera d'incarico.

La call di presentazione: La sessione di 30-45 minuti per gli account, più la presentazione del rapporto di 15-20 minuti.