Controlla cosa fa il tuo sito, in cinque minuti
Il sito della tua attività l’ha fatto qualcuno, magari anni fa. Funziona, i clienti lo trovano, e nessuno ci ha più guardato dentro. Ma cosa succede quando qualcuno lo apre? Quali servizi esterni vengono contattati, quali dati partono, verso chi?
Non serve essere tecnici per scoprirlo. Esistono strumenti gratuiti che analizzano un sito come farebbe un visitatore qualunque e mostrano cosa succede. Qui ne trovi quattro, e soprattutto come leggere quello che dicono.
Prima di cominciare: niente panico
Questi strumenti danno voti, colori, crocette rosse. È facile spaventarsi. Due cose da tenere a mente:
- Un risultato perfetto non è l’obiettivo. Alcune voci rosse hanno ottimi motivi per esserlo. Quello che conta è che chi gestisce il sito sappia spiegarti perché.
- Le voci non pesano tutte uguale. Quelle che riguardano i visitatori (cookie, servizi esterni, dati inviati ad altri) contano più di quelle che riguardano la configurazione del server. Le prime toccano la privacy dei tuoi clienti e i tuoi obblighi verso di loro.
Webbkoll: il primo da provare
Webbkoll è gratuito, open source ed è disponibile anche in italiano. Lo gestisce una fondazione svedese senza scopo di lucro che si occupa di diritti delle persone su internet. Apre il tuo sito con un browser normale, senza cliccare niente, e registra cosa succede: cosa viene scaricato, da dove, quali cookie vengono lasciati.
Come si usa: scrivi l’indirizzo del sito e premi il pulsante. In meno di un minuto hai il risultato, diviso in voci con un segno verde, giallo o rosso.
Le voci, spiegate
HTTPS per impostazione predefinita. Il sito usa sempre la connessione cifrata, quella con il lucchetto. Oggi deve essere verde: se è rossa, è la prima cosa da sistemare.
Cookies. Quanti cookie lascia il sito appena aperto, prima che il visitatore scelga qualcosa. Il numero ideale, per un sito di un’attività, è zero o quasi. Se sono tanti e il sito non ha un banner per chiedere il consenso, c’è un problema anche di legge.
Richieste di terze parti. Quanti servizi esterni vengono contattati, e quali. È la voce più istruttiva: spesso ci trovi Google (statistiche, caratteri, mappe, video), Facebook, servizi di cui non sapevi niente. Ognuno di questi riceve almeno l’indirizzo di chi visita il tuo sito. La pagina Il tuo sito e Google spiega da dove arrivano di solito e come farne a meno.
Referrer Policy. Quando un visitatore clicca un link verso un altro sito, il suo browser dice a quel sito da dove arriva. Questa voce dice quanto il tuo sito lascia trapelare. Un giallo qui non è grave.
Content Security Policy. Una lista di fonti “fidate” che il sito comunica al browser: tutto il resto viene bloccato. È una rete di sicurezza contro chi riuscisse a infilare codice nelle tue pagine. Molti siti non ce l’hanno; non è un’emergenza, ma è un buon segno quando c’è.
HTTP Strict Transport Security (HSTS). Obbliga il browser a usare sempre la connessione cifrata, anche se qualcuno prova a deviarlo. Verde è meglio; le sotto-voci su “sottodomini” e “preload” possono restare rosse per buoni motivi.
Subresource Integrity (SRI). Un controllo sugli script che il sito scarica da altri server: se quei file venissero modificati, il browser si rifiuterebbe di usarli. Utile, ma spesso non applicabile; un rosso qui va spiegato, non per forza corretto.
Reporting. Indica se il sito chiede al browser dei visitatori di inviare segnalazioni a qualcuno, per esempio sugli errori. Se il destinatario è un terzo, vale la pena chiedere perché.
Cosa chiedere a chi gestisce il sito
Porta il risultato a chi ti segue il sito e fai tre domande:
- Quali servizi esterni contatta il sito, e servono tutti? Ogni servizio in meno è un rischio in meno e, spesso, un banner in meno.
- Perché ci sono questi cookie? Se la risposta è “le statistiche”, chiedi se esistono statistiche senza cookie. Esistono.
- Questa voce rossa ha un motivo? Se la risposta è “è normale” senza un perché, è il momento di approfondire.
Altri tre strumenti, per guardare da altri lati
Webbkoll basta per farsi un’idea. Questi tre guardano lo stesso sito da altri punti di vista.
Blacklight, di The Markup, una redazione giornalistica americana senza scopo di lucro. È il più diretto: per ogni sito dice in parole semplici se manda dati a Facebook, a Google per la pubblicità, a TikTok, se registra cosa fanno i visitatori sulla pagina o usa tecniche per seguirli anche quando bloccano i cookie. È in inglese, ma i risultati si capiscono anche senza conoscerlo bene. Utile a tutti.
HTTP Observatory, di Mozilla, quelli di Firefox. Dà un voto da A+ a F alle impostazioni di sicurezza del sito, con spiegazioni e suggerimenti. Le voci sono simili a quelle di Webbkoll, ma più dettagliate. Utile da girare a chi gestisce il sito.
SSL Labs, un servizio gratuito dell’azienda Qualys. Controlla in profondità la connessione cifrata (il lucchetto) e dà un voto. Se il sito sta su un servizio di hosting o dietro Cloudflare, il voto dipende soprattutto da loro. Utile soprattutto a chi gestisce un server proprio.
Cosa fare con i risultati
- Se è quasi tutto verde: bene. Rifai il test ogni tanto, soprattutto dopo che qualcuno ha modificato il sito o aggiunto qualcosa (una mappa, un video, un modulo).
- Se ci sono cookie e servizi esterni che non ti aspettavi: parti da lì. Sono le voci che toccano i tuoi clienti, e spesso si risolvono senza rifare niente.
- Se non sai da dove cominciare: le pagine Il tuo sito e Google e Dove stanno i tuoi dati spiegano il perché delle cose più comuni.
Se vuoi vedere come va a finire su siti veri, ho raccontato cosa è uscito analizzando i miei siti, compresi gli errori.