Sicurezza
La sicurezza, a strati.
Un hosting gestito, un firewall per WordPress e Cloudflare davanti a ogni sito che gestiamo. Aggiornamenti ogni mese, e accessi che può vedere e revocare.
Aggiornato il
Dati di esempio per un’organizzazione fittizia.
Di che cosa ha bisogno ogni sito.
Prendiamo in carico un sito solo con tutti e tre gli elementi. Ciascuno è fatturato dal suo fornitore alle sue tariffe pubblicate. L’hosting è ricorrente, dipende dal suo traffico, e la dimensione del piano la sceglie lei.
- Un hosting gestitoCome Kinsta, a nome della sua organizzazione. L’hosting è un costo ricorrente alle tariffe pubblicate del fornitore, dipende dal suo traffico, e la dimensione del piano la sceglie lei. Il fornitore gestisce i server, la loro disponibilità e i backup dell’infrastruttura, con un proprio supporto 24 ore su 24, 7 giorni su 7.
- Un firewall per WordPressWordfence Premium, con licenza per il suo sito. Blocca molti attacchi noti tra un rilascio e l’altro, compresi quelli che sfruttano una falla di un plugin resa pubblica prima della correzione.
- CloudflareIl suo dominio su Cloudflare, con il firewall per applicazioni web e la protezione DDoS attivati, davanti all’hosting.
Consigliamo anche
Un registro delle attività
Una traccia di chi ha modificato che cosa in WordPress, e quando. Insieme ai log di accesso al server del suo hosting, questi indizi ci permettono di ricostruire che cosa è successo dopo un incidente.
Il registro delle attività in LFW MonitorCome ce ne prendiamo cura.
Come previsto dall’allegato del canone di gestione (in inglese) e dal contratto di servizi (in inglese). I tempi di risposta sono obiettivi in buona fede durante l’orario lavorativo, non garanzie.
- Aggiornamenti ogni meseWordPress, i temi e i plugin, distribuiti dal controllo di versione con verifiche automatiche dopo ogni rilascio. Tra un aggiornamento e l’altro, i firewall bloccano gli attacchi noti.
- Accessi individuali e limitatiAccount che ci concede lei, ciascuno limitato a ciò che il lavoro richiede, con autenticazione a più fattori quando è disponibile. Può vedere e revocare esattamente ciò a cui accediamo.
- Backup che verifichiamoI backup automatici del suo hosting. Verifichiamo regolarmente che vengano eseguiti, e li usiamo per il ripristino quando serve. Il piano del suo hosting ne fissa la frequenza e la durata di conservazione.
- Se il sito viene compromessoCi avvisi nel Portale clienti a qualsiasi ora. Iniziamo il ripristino dal backup del suo hosting al più tardi il giorno lavorativo successivo. Un’indagine più approfondita e la bonifica vengono quotate prima.
- I nostri errori, corretti per primiSe uno dei nostri rilasci rompe qualcosa, correggerlo è la nostra massima priorità durante l’orario lavorativo, senza costi.
- Orario lavorativoDal lunedì al venerdì, dalle 9 alle 17, ora della costa est (dalle 6 alle 14, ora del Pacifico), esclusi i festivi federali. In generale non offriamo assistenza fuori da questo orario né reperibilità, salvo accordi negoziati a parte.
Per la sua revisione di sicurezza.
Le amministrazioni pubbliche possono anche far verificare gratuitamente le vulnerabilità dei loro siti pubblici con i servizi Cyber Hygiene della CISA. Ci invii i rapporti, e le correzioni seguono gli aggiornamenti mensili o un preventivo a prezzo fisso.
- Questionari di sicurezzaLe nostre risposte alle domande critiche dell’HECVAT sono pubblicate, e compiliamo il modulo del suo istituto partendo da queste. Leggi le risposte
- Controllo dei precedentiSvolto prima che otteniamo l’accesso, quando il suo contratto lo richiede.
- SubappaltatoriRestiamo responsabili del lavoro. Nell’ambito del contratto di un’amministrazione, nessuno lavora sul suo sito senza il suo consenso scritto.
- SOC 2I rapporti del suo hosting, come SOC 2, coprono i suoi server. LFW non ha un rapporto SOC 2.
Il Portale clienti e LFW.com
I nostri sistemi.
- Dove sono conservati i datiIl Portale clienti, i moduli di LFW.com e l’audit gratuito girano sul server di LFW, ospitato da Hetzner ad Ashburn, in Virginia. Ne viene fatto un backup ogni giorno, e ogni backup cifrato viene copiato su Cloudflare R2.
- Nessuna passwordAccede con un link inviato via email, valido una sola volta e che scade dopo 15 minuti, oppure con una passkey. Le richieste di link sono limitate in frequenza, e il personale di LFW accede nello stesso modo. Non c’è nessuna password da cambiare.
- Le persone di LFWLeland Fiegel, fondatore di LFW e suo unico membro del personale al 27 settembre 2026.
- RegistrazioneLa registrazione delle sessioni (Replay) è disattivata su LFW.com dal 6 ottobre 2026. Se tornerà, sarà prima annunciata nell’informativa sulla privacy, e non viene mai aggiunta al sito di un cliente senza il consenso scritto del cliente. Non registra mai il Portale clienti, le pagine di accesso, né nulla di ciò che digita.
- Strumenti di IAUsiamo strumenti di IA, tra cui Claude, per redigere e verificare il lavoro. I dati dei clienti non vengono mai usati per addestrare modelli, e una persona rivede ogni risultato prima che le arrivi.
Schermata di esempio. L’indirizzo è fittizio.
Fornitori di servizi.
I sub-responsabili di LFW, le aziende che trattano dati per suo conto. L’informativa sulla privacy (in inglese) nomina le stesse aziende e che cosa riceve ciascuna.
- HetznerIl server e il database di LFW, ad Ashburn, in Virginia.
- CloudflareDistribuzione dei contenuti e sicurezza per LFW.com, e archiviazione dei backup cifrati di LFW.
- Google WorkspacePosta elettronica e calendario.
- Amazon SESL’invio delle email di LFW, come i link di accesso, i rapporti di audit, le ricevute e il LFW Weekly Recap.
- OpenAI e AnthropicAssistenza con IA per ricerca, redazione, sviluppo software e lavoro amministrativo.
Divulgazione delle vulnerabilità
Segnalare una vulnerabilità.
Ha trovato un problema di sicurezza su LFW.com? Ci invii via email la pagina o l’indirizzo interessato, che cosa ha fatto e che cosa ha visto. Uno screenshot o la richiesta esatta aiutano. Se è un tema delicato, lo dica nella prima riga, e passiamo prima a un canale privato.
- Due giorni lavorativiRisponde una personaPer confermare che abbiamo ricevuto la sua segnalazione.
- PoiLe esponiamo il pianoSe riusciamo a riprodurlo, e che cosa intendiamo fare.
- Di solito in pochi giorniCorreggiamoI problemi confermati vengono corretti nel normale corso delle attività. La avvisiamo quando la correzione è online.
- Se lo desideraLa citiamoIndicato qui una volta che la correzione è online, oppure in forma anonima se preferisce. Non paghiamo ricompense.
- Nel perimetro
- LFW.com
- Il Portale clienti
- L’audit gratuito e i moduli
- Che cosa chiediamo
- Non legga, modifichi o scarichi dati che non sono suoi. Se vi accede per errore, si fermi e ci avvisi.
- Nessun test di negazione del servizio, nessuno spam nei moduli, nessun attacco a forza bruta sui link di accesso.
- Nessuna ingegneria sociale, nessun phishing, nessun accesso fisico.
- Ci lasci il tempo di correggere prima di pubblicare. Di solito bastano due settimane dalla nostra conferma.
- Che cosa promettiamo
- Se segue queste regole in buona fede, non avvieremo azioni legali contro di lei per queste ricerche, e non la segnaleremo alle autorità per esse.
- Se qualcun altro contesta le sue ricerche su questo sito, diremo pubblicamente che aveva la nostra autorizzazione.
- Fuori perimetro
- I rilievi che richiedono un browser obsoleto o un dispositivo già compromesso
- I rapporti di strumenti di analisi automatica senza una dimostrazione funzionante
- Le intestazioni di buona pratica mancanti senza un effetto dimostrato, le osservazioni sui limiti di frequenza e le divulgazioni di versione prese da sole
- I problemi nei servizi di terze parti che usiamo, come i nostri fornitori DNS o di posta
Ci invii il suo questionario di sicurezza.
Oppure qualsiasi domanda su questa pagina. Rispondiamo entro un giorno lavorativo.