Sicurezza sito web aziendale: il minimo che serve

La sicurezza di un sito web aziendale si regge su cinque cose: aggiornamenti, un accesso per persona con verifica in due passaggi, backup provati e tenuti fuori dal server, certificato valido e un filtro davanti al sito. Non serve il budget di una banca, serve che quelle cinque esistano e che si sappia di chi è la responsabilità di ognuna.

Il motivo per cui quasi nessuno ci pensa è che un sito violato non fa rumore il primo giorno. Continua a funzionare, le pagine si aprono, il logo è al suo posto. Te ne accorgi settimane dopo, quando Google mette un avviso nei risultati, quando le email aziendali finiscono nello spam di tutti i clienti, o quando un fornitore ti scrive che dal tuo dominio parte posta che tu non hai mandato.

Sicurezza sito web aziendale: le cinque misure minime

Aggiornamenti, con una copia pronta prima. Ogni aggiornamento chiude un difetto già pubblico, e i programmi automatici provano per primi quelli. Il rischio non è aggiornare, è aggiornare senza avere una copia da rimettere online se qualcosa si rompe. Chi usa WordPress trova l'elenco delle misure di base nella guida ufficiale di WordPress.

Un accesso per persona, con verifica in due passaggi. Una password girata in chat e condivisa in cinque non si può revocare quando qualcuno esce dall'azienda, e non dice mai chi ha fatto una modifica. La verifica in due passaggi rende quasi inutile una password rubata, e si attiva in un pomeriggio. Vale per il pannello del sito, per l'hosting e per il registrar del dominio, che spesso è l'accesso più dimenticato e il più grave da perdere.

Backup provati, e non sullo stesso server. Un backup che nessuno ha mai rimesso online è una cartella di file di cui ti fidi. Chiedi tre cose: ogni quanto viene fatto, dove sta e quando è stato ripristinato l'ultima volta. Se la risposta alla terza è "mai", quel servizio non ce l'hai. Se sta sullo stesso server del sito, in caso di guasto o di violazione perdi l'originale e la copia insieme.

Certificato valido e rinnovo automatico. Serve anche su un sito senza pagamenti: senza, il browser mette un avviso prima che il tuo cliente legga una riga, e i dati del modulo di contatto viaggiano leggibili. Il rinnovo va automatizzato, perché un certificato scaduto di un giorno blocca il sito esattamente come un guasto, di solito un sabato.

Un filtro davanti al sito. Un servizio che sta fra internet e il server e blocca i tentativi ripetuti prima che arrivino al pannello. È la misura che costa meno fatica di tutte e taglia la parte più grossa del rumore, cioè le migliaia di prove di accesso automatiche che ogni sito pubblico riceve.

Da cosa viene violato un sito aziendale?

Quasi mai da un attacco mirato. Un sito aziendale viene trovato da un programma che gira in automatico su mezzo internet, prova le password più comuni e cerca le versioni vecchie dei componenti più diffusi. Non sa cosa vendi e non gli interessa: cerca un server da cui mandare spam, pagine da riempire di link verso altri siti, o un posto dove nascondere una pagina di truffa che sfrutta la reputazione del tuo dominio.

Da qui la forma tipica dell'incidente, che è sempre la stessa: un componente non aggiornato più una credenziale che conoscono in cinque. Nessuna delle due cose, da sola, basterebbe.

Il secondo ingresso più comune non è nemmeno il sito. È la posta: la casella sul dominio aziendale spesso è anche l'indirizzo con cui si recupera la password del pannello, dell'hosting e del registrar. Chi entra in quella casella non ha bisogno di forzare nient'altro, chiede un recupero password e aspetta.

C'è poi la parte che riguarda i dati, e non la tecnica. Il regolamento europeo sulla protezione dei dati chiede a chi tratta dati personali misure tecniche e organizzative adeguate al rischio, e un modulo di contatto con nome, telefono ed email è trattamento di dati personali. Il testo è il regolamento 2016/679, all'articolo 32. È lo stesso schema degli altri obblighi che riguardano un sito aziendale, come quelli che stanno in accessibilità del sito web: obblighi e opportunità: la norma non elenca i prodotti da comprare, chiede che le misure siano proporzionate a cosa succede se i dati escono.

Quanta superficie attaccabile hai davvero

Due siti che si assomigliano in pagina possono avere rischi molto diversi, e la differenza non è il settore: è quanto software gira sul server.

Non significa che un pannello di gestione sia un errore: significa che chi lo ha ha comprato anche il lavoro di tenerlo aggiornato, e quel lavoro va messo nel conto prima, non dopo.

Quanto costa, e cosa chiedere a chi gestisce il sito

Quasi tutta la sicurezza non si compra a parte: sta dentro il canone, ed è una delle sei voci che la manutenzione di un sito web dovrebbe coprire. A ottobre 2026 abbiamo letto le pagine dei prezzi di 27 agenzie e consulenti digitali italiani, su un campione di 119 siti: fra i 17 listini che dichiarano un canone mensile la mediana è 800 euro e il primo quartile 360, ma dentro quelle cifre convivono la manutenzione tecnica e la gestione di contenuti e campagne, che sono lavori diversi. La sola parte tecnica sta nella fascia bassa. I dati sono in agenzie-web-prezzi-2026-10.csv.

Le domande che rendono confrontabili due preventivi sono quattro, e si fanno prima di firmare:

• Chi è intestatario di dominio, hosting e accessi. Devono essere tuoi. Se sono del fornitore, la sicurezza del tuo sito è una sua cortesia.
• Dove stanno i backup, e quando è stato provato l'ultimo ripristino. Una data, non una rassicurazione.
• Chi si accorge che il sito è giù, in quanto tempo risponde, e se il controllo comprende i guasti silenziosi come un modulo che smette di consegnare le email.
• Cosa succede dopo una violazione: chi ripulisce, chi avvisa chi, e a che prezzo. È la voce che nessuno scrive nel preventivo e che decide quanto dura il danno.

Sono le stesse domande che cambiano il conto di quanto costa un sito web: la cifra iniziale si legge insieme a quello che continui a pagare dopo la consegna.

Quando non conviene spendere di più

Su un sito statico di poche pagine, senza pannello di gestione e senza plugin, la superficie attaccabile è piccola: restano dominio, certificato e il controllo che il modulo consegni le email. Lì un pacchetto sicurezza completo, con scansioni e rapporti mensili, è denaro speso per un rischio che non hai. Ha più senso un controllo programmato due volte l'anno.

Non conviene nemmeno comprare il monitoraggio prima dei backup. Accorgersi di un problema senza avere una copia da rimettere online significa pagare per sapere in anticipo che hai perso il sito. L'ordine giusto è backup, accessi, aggiornamenti, e solo dopo tutto il resto.

E non conviene irrigidire gli accessi fino a renderli inutilizzabili: se per cambiare un prezzo in pagina servono tre passaggi e una persona che non c'è mai, il risultato non è un sito più sicuro, è una password condivisa di nuovo in chat per fare prima.

Domande frequenti

Qual è il minimo di sicurezza per un sito web aziendale?

Cinque misure: aggiornamenti regolari di sistema, tema e plugin; un accesso per persona con verifica in due passaggi, anche su hosting e dominio; backup provati e tenuti fuori dal server; certificato valido con rinnovo automatico; un filtro davanti al sito che blocchi i tentativi ripetuti. Sotto questa soglia non hai un sito risparmiato, hai un sito con una scadenza che non conosci.

Quanto costa mettere in sicurezza un sito aziendale?

Quasi sempre non è una voce separata: sta nel canone di manutenzione. Fra i listini italiani pubblici che dichiarano un importo mensile la mediana è 800 euro e il primo quartile 360, su 17 listini e 76 cifre lette a ottobre 2026, ma quelle cifre comprendono anche contenuti e campagne. La sola parte tecnica sta nella fascia bassa, e su un sito statico si riduce a un controllo programmato.

Serve il certificato anche su un sito senza pagamenti?

Sì. Senza certificato il browser mostra un avviso prima che il visitatore legga qualcosa, e i dati del modulo di contatto viaggiano leggibili sulla rete. Il rinnovo va automatizzato: un certificato scaduto di un giorno rende il sito irraggiungibile come un guasto del server.

Chi è responsabile se il sito viene violato?

Verso i clienti e verso chi ha lasciato i propri dati, l'azienda intestataria del dominio, non chi ha fatto il sito. Per questo intestazione, accessi e backup non si lasciano in mano al fornitore senza una copia tua: rientrare in possesso delle credenziali dopo un incidente è la parte più lenta di tutta la storia, e intanto il sito resta come l'hanno lasciato.

In sintesi

La sicurezza di un sito aziendale non è un prodotto da comprare una volta: sono cinque abitudini e una persona che risponde. Aggiornamenti con una copia pronta, un accesso per ciascuno con verifica in due passaggi, backup provati fuori dal server, certificato che si rinnova da solo e un filtro davanti. Chiedi per nome chi fa ognuna di queste cose e ogni quanto, pretendi una data sull'ultimo ripristino provato, e verifica che dominio e accessi siano intestati a te.

Redazione RedX