Quanto ci si può fidare degli strumenti gratuiti di controllo sicurezza sito prima di passare a un audit a pagamento?

La maggior parte dei tool gratuiti fa una scansione passiva. Si limitano a guardare gli header nelle risposte HTTP (tipo Content-Security-Policy, Strict-Transport-Security). Non possono verificare falle nelle query del database o nella gestione delle sessioni degli utenti loggati perché non hanno i permessi di accesso. Sistemare gli header fa bene, ma non rende il sito immune dagli attacchi.

Ci siamo trovati nello stesso dilemma quando eravamo sui 500 mila dollari di fatturato. Nei tool gratuiti era tutto verde. Poi, all'improvviso, l'hosting ci ha sospeso il sito perché qualcuno aveva caricato un file PHP che mandava 3.000 email di spam in background. Abbiamo dovuto pagare 1.800 dollari a un team di pronto intervento per ripulire il file e recuperare il database.

Fidarsi del punteggio di uno scanner gratuito è un po' come lavare la macchina solo fuori per capire se perde olio dal motore. La carrozzeria brilla, ma il cambio sta per cedere. Non dormite sonni tranquilli solo perché da fuori si vede la spia verde.

Non accettate subito quel preventivo da 2.500 dollari. Prima sistemate gli header mancanti segnalati dai tool gratuiti tramite il file di configurazione del server o con un plugin di sicurezza. Poi cancellate tutti i plugin inutili e aggiornate la versione di PHP. Fatti questi compiti a casa, se serve ancora qualcosa potete sempre trattare sul prezzo.

Certi audit da 2.500 dollari venduti dalle aziende di sicurezza non sono altro che la scansione di un software commerciale automatizzato trasformata in un bel PDF. Chiedete espressamente se faranno verifiche manuali sulla logica applicativa. Se devono solo lanciare un tool automatico, quei soldi non vale assolutamente la pena spenderli.

ma se i pagamenti li gestiamo tramite reindirizzamento a un fornitore esterno noto c'è comunque il rischio che rubino i dati delle carte dei clienti se il sito prende un virus? eravamo tranquilli proprio perché non salviamo i numeri delle carte.

L'ordine da seguire quando si valutano i risultati gratuiti: 1) Se i controlli sulle blacklist sono verdi, il dominio non è segnalato come spam, ed è già un'ottima base. 2) Sistemate gli header mancanti nella configurazione del server seguendo i suggerimenti del tool. 3) Aggiornate subito i plugin obsoleti o sostituiteli con alternative valide. 4) Installate un monitor di integrità dei file lato server per tenere traccia delle modifiche giornaliere.

faccio ecommerce da due anni, gli scanner gratuiti vedono solo gli errori banali. bloccare l'accesso ip al pannello wp e cambiare l'url del wp-admin blocca decine di attacchi che i tool free manco vedono fate queste cose e x ora siete a posto.

Raro trovare articoli che spiegano le cose così chiaramente. Più è difficile tornare indietro su una decisione più lentamente dovreste prenderla.

corretto.

Breve riassunto per i nuovi arrivati: Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Io seguirei questa strada.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Questo thread è archiviato.

C'è una trappola qui, non posso non segnalarla. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Confermato dall'esperienza.

mi cihedo anch'io.

C'è un punto che mi incuriosisce. I primi tre mesi vanno bene i problemi emergono al quarto mese.

Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla. Naturalmente cambia se la vostra situazione è diversa.

c'è un errore comune che si commette facendo questo. onestamente la maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

io seguirei questa strada.

Sono d'accordo, anzi vorrei sottolinearlo. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Non fidatevi di una sola misura di sicurezza; procedete per livelli. È tutto, scusate se mi sono dilungato.