I primi dieci secondi: il dominio
Senza caricare una sola pagina, chiunque può consultare i record pubblici del suo dominio. Due di questi mostrano se la sua posta può essere falsificata.
Un record della politica dei mittenti (SPF) assente, o che termina con una regola permissiva, significa che chiunque può inviare un’email che sembra provenire dal suo indirizzo.
Un record di applicazione (DMARC) assente significa che i server che ricevono la posta non hanno alcuna istruzione sulle falsificazioni.
Il certificato dietro il lucchetto ha una data di scadenza. Se cade tra pochi giorni, è segno che nessuno la tiene d’occhio.
Stesso discorso per un sito che si apre sia con sia senza www senza mai scegliere. Questo divide in due il suo posizionamento.
I venti successivi: file per le macchine
Alcuni piccoli file si trovano a indirizzi fissi sulla maggior parte dei siti. I quattro file che nessuno collega li presenta uno per uno. Questi tre sono quelli che rivelano di più:
- robots.txt elenca ciò che i robot non devono leggere. È quindi anche l’elenco di ciò che l’organizzazione preferirebbe che nessuno trovasse.
- La sitemap elenca ogni pagina pubblica con la data della sua ultima modifica. Chiunque vede con quale frequenza il sito viene davvero aggiornato.
- security.txt dice ai ricercatori di sicurezza chi contattare. La maggior parte dei siti non ce l’ha.
I venti successivi: la piattaforma
Un sito su WordPress lo lascia vedere in una dozzina di modi: i percorsi dei suoi fogli di stile, i loro numeri di versione, una riga meta nell’intestazione della pagina. Niente di questo è un problema in sé.
I tre punti seguenti possono esserlo. Uno scanner automatico li controlla tutti in meno tempo di quanto serva a leggere questa frase:
- L’elenco degli utenti consegna i nomi utente del personale. I nomi utente sono metà di un accesso spiega perché è importante.
- La vecchia interfaccia remota, xmlrpc.php, potrebbe essere ancora attiva e rispondere alle richieste.
- La libreria media potrebbe servire i documenti del consiglio e gli elenchi dei donatori a chiunque indovini l’indirizzo. La sua libreria media è pubblica mostra come.
Gli ultimi dieci: la pagina stessa
L’anno del copyright nel piè di pagina è l’indizio più rapido per capire se qualcuno si occupa del sito.
Le intestazioni della risposta mostrano quali protezioni di sicurezza invia il server. Il più delle volte, nessuna.
Le misurazioni di velocità e di accessibilità della home page mostrano se il sito funziona bene per chi visita da telefono e per chi usa un lettore di schermo.
Dopo un minuto, una persona malintenzionata conosce la sua piattaforma, i nomi utente del suo personale, quanto è curato il sito, la configurazione della sua posta e dove potrebbero trovarsi i suoi documenti privati.
Tutto viene da informazioni pubbliche. Nessuno ha indovinato una sola password.
Che cosa correggere e che cosa accettare
Corregga questi punti, in questo ordine:
- I record della posta, perché un’email falsificata dal suo dominio danneggia altre persone.
- L’elenco degli utenti e l’interfaccia remota, perché insieme fanno di un sito pubblico un bersaglio per indovinare le password.
- Ogni documento della libreria media che non sarebbe mai dovuto essere pubblico.
- La scadenza del certificato, mettendo il nome di una persona accanto alla data.
Non serve nascondere che il sito usa WordPress. Richiede lavoro e non inganna nessuno che conti.
Lasci stare le date della sitemap. Se sembrano vecchie, lo prenda come un motivo per pubblicare con un ritmo regolare.
Un anno di copyright superato significa che nessuno ha l’abitudine di controllare il piè di pagina. Aggiorni l’anno, poi inserisca questo controllo nella sua routine.
Esegua l’audit gratuito sul suo sito
Ogni controllo qui sopra fa parte dell’audit gratuito. Legge solo informazioni pubbliche e richiede più o meno lo stesso minuto.
Copre i record del dominio, il certificato, i file per le macchine, le interfacce di WordPress, la libreria media, le intestazioni e le misurazioni della home page. Ogni rilievo è scritto in linguaggio chiaro, con la correzione accanto.
Inserisca qui sotto il suo dominio per vedere che cosa vede uno sconosciuto.
Leland Fiegel