Sorveglianza. Il certificato e le intestazioni reggono?

Cosa misura la sorveglianza

Il sito risponde, e con quale velocità, dall’Europa. Il certificato TLS è valido, con il nome giusto, e non scade a breve. HTTPS è davvero imposto, non solo disponibile. Le sei intestazioni abituali sono controllate: HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy. I cookie hanno Secure e HttpOnly. Il server non dichiara il suo software e la sua versione.

Un voto da A a F, e soprattutto la sua evoluzione

Ogni sito monitorato riceve un punteggio su 100 e un voto da A a F, ricalcolati ogni sei ore. Il voto da solo ha un interesse limitato. Quello che conta è il giorno in cui passa da B a D perché un rilascio ha tolto la CSP: quel giorno riceve un avviso, non un report che nessuno apre.

L’audit puntuale va più lontano

L’audit di una pagina pubblica aggiunge ciò che sarebbe assurdo misurare ogni ora: SPF e DMARC, scadenza del nome di dominio, link interni interrotti, variante www che non risponde, reindirizzamenti che escono dal dominio. Senza account, in una trentina di secondi.

Perché è separata dal percorso

Una sonda di disponibilità costa una richiesta, un percorso nel browser costa un Chrome completo. Mescolarli obbligherebbe a fatturare il primo al prezzo del secondo. Mette quindi la sorveglianza su tutti i Suoi siti, e il percorso su quelli il cui percorso d’acquisto porta ricavi.

Ping classico e Sorveglianza Pathly

FAQ

È un test di intrusione?

No. La Sorveglianza Pathly legge ciò che il Suo sito pubblica già: intestazioni di risposta, certificato, DNS pubblico. Nessun tentativo di autenticazione, nessuna ricerca di vulnerabilità sfruttabili, nessun payload malevolo. È un controllo di igiene visto dall’esterno, non un pentest.

Con quale frequenza viene ricalcolato il voto?

Ogni sei ore su ogni sito monitorato. La disponibilità, invece, viene verificata alla frequenza del Suo piano, fino a una volta al minuto.

Il voto sostituisce un audit di sicurezza completo?

No. Misura la presenza delle protezioni, non la finezza della loro configurazione: una CSP permissiva conta come presente. Individua la dimenticanza e la regressione, non la vulnerabilità applicativa.

Posso analizzare il sito di un potenziale cliente prima di prenderlo in gestione?

Sì, su una pagina pubblica e senza account. È quello che fanno le agenzie prima di un appuntamento. L’audit non tocca mai una pagina di accesso, un percorso d’acquisto o un pagamento.

Prove del prodotto

Cosa mostra al cliente