Sicurezza Sito Web PMI: Guida Completa 2026 con Audit Gratuito

La sicurezza del sito web per PMInon è un lusso da enterprise. Nel 2026 è prerequisito base, al pari di avere una porta chiusa in ufficio. Il problema è che la maggior parte delle PMI italiane tratta la sicurezza come un problema “che riguarda le banche”, mentre i dati raccontano l'esatto opposto.

Lavoro come Digital Systems Architect a Milano aiutando PMI italiane a costruire siti e piattaforme digitali sicure fin dalla progettazione. Secondo il Rapporto CLUSIT 2024, oltre il 60% degli attacchi informatici in Italia ha colpito PMI, con un incremento del 18% rispetto all'anno precedente. Non è paranoia, è statistica.

Perché le PMI italiane sono bersaglio

L'idea che “siamo troppo piccoli per essere attaccati” è il primo errore. Il 90% degli attacchi ai siti di PMI non è mirato. Sono bot automatizzati che scansionano internet alla ricerca di vulnerabilità note. Non gli importa chi sei, gli importa solo che tu abbia una versione vecchia di WordPress con un plugin bacato.

Il cost-of-entry per attaccare è zero

Esistono servizi underground che vendono accesso a database con milioni di credenziali trafugate. Bot che automatizzano il test di queste credenziali su migliaia di siti al giorno. Strumenti come Shodan e Censys scansionano tutta Internet ogni 24 ore mappando vulnerabilità. Un attaccante junior può colpire 10.000 siti al giorno gratuitamente.

Cosa vuole ottenere l'attaccante

Non sempre rubare dati clienti. Spesso lo scopo è più semplice: trasformare il tuo sito in una pedina nella sua infrastruttura. Inserire backdoor per spedire email di phishing dal tuo dominio. Creare pagine nascoste per SEO malevolo (pump-and-dump, casino, viagra). Usare il tuo server per minare criptovalute. Lanciare attacchi DDoS verso altri siti. Il danno al TUO business è collaterale ma reale: blacklist Google, dominio bruciato, downtime, reputazione.

Il vero costo di un breach per una PMI

Sottovalutato. Il costo medio di un data breach per una PMI italiana è 35.000-120.000 euro secondo dati IBM Cost of Data Breach Report 2024. Include: analisi forense (€ 5-15K), ripristino sistemi (€ 3-10K), notifica Garante Privacy (€ 2K), comunicazione clienti, sanzioni GDPR potenziali (2-20K), perdita clienti per crollo fiducia. Molte PMI italiane chiudono nei 12 mesi successivi a un breach serio.

Le 7 minacce reali per siti PMI

Nella mia esperienza con PMI italiane, queste sono le 7 minacce che vedo concretamente materializzarsi. In ordine di frequenza reale, non teorica.

1. Brute force su login admin

Bot che tentano migliaia di password al minuto sul tuo /wp-admin. Se la password è “admin123” o “[nomeazienda]2024”, ci mettono 5 minuti. Mitigazione: password >16 caratteri, 2FA obbligatoria, rate limiting sugli accessi, IP allowlist se possibile.

2. Plugin WordPress vulnerabili

Il 52% dei siti WordPress compromessi nel 2024 lo è stato via plugin non aggiornato (dati Sucuri). I bot leggono il database pubblico di vulnerabilità (CVE), scansionano tuo sito per capire quali plugin hai, sfruttano. Mitigazione: aggiornamenti automatici, rimozione plugin non usati, scelta plugin attivamente manutenuti.

3. SQL Injection su form

Form di contatto mal codificati permettono all'attaccante di iniettare codice SQL che espone/modifica il database. Ancora molto diffuso nei siti custom PHP vecchi, ma WordPress moderno è meno vulnerabile. Mitigazione: prepared statement, WAF davanti al sito, validazione input server-side.

4. Cross-Site Scripting (XSS)

Attaccante inserisce JavaScript in campi del sito (commenti, form, URL) che vengono eseguiti nei browser degli altri utenti. Può rubare cookie di sessione, fare redirect malevoli, modificare la pagina. Mitigazione: Content Security Policy (CSP), escape output, sanitizzazione input, librerie framework moderne.

5. Credential stuffing

Attaccante prende database di email+password trafugati da altri siti (LinkedIn breach, Dropbox breach, ecc.) e prova le stesse combinazioni sul TUO sito. Funziona perché gli utenti usano la stessa password ovunque. Mitigazione: 2FA obbligatoria, blocco IP dopo N tentativi, password policy forte, alerting su login sospetti.

6. DDoS (Distributed Denial of Service)

Migliaia di bot mandano richieste al tuo sito fino a farlo cadere. Più comune di quanto si pensi, anche per PMI (ransom DDoS: paga 1 bitcoin per farci fermare). Mitigazione: Cloudflare free o superiore, hosting con protezione DDoS inclusa, rate limiting applicativo.

7. Ransomware via mail di phishing

Non attacca direttamente il sito ma arriva dall'interno. Dipendente clicca link phishing, scarica malware, che si propaga su server aziendale, cripta tutto. Spesso finisce per bucare anche FTP/SSH del sito web. Mitigazione: formazione dipendenti, antimalware aziendale, segmentazione rete, backup off-site.

12 elementi obbligatori per un sito sicuro

Ecco la lista concreta di cosa deve esserci nel tuo sito web per una sicurezza di base nel 2026. Nessun adempimento teorico: questa è la checklist che applico negli audit reali.

Le 4 priorità critiche (HTTPS, aggiornamenti, backup, password+2FA) chiudono da sole il 70% dei vettori di attacco comuni. Sono anche le più economiche: a parte tempo, costano zero. Paradossale quante PMI italiane non ce le hanno.

Il tuo sito è sicuro? — Assessment interattivo

12 check rapidi per valutare lo stato di sicurezza del tuo sito. Spunti quelli che sono VERI nel tuo caso, ottieni uno score 0-100 e la lista dettagliata delle vulnerabilità da chiudere. Nessuna email richiesta.

WordPress specifico: checklist dedicata

WordPress gestisce oltre il 43% dei siti web mondiali secondo dati W3Techs. Per la sua popolarità è anche il più attaccato. Se il tuo sito PMI è su WordPress (probabile), queste sono le cose specifiche da controllare.

Plugin: meno è meglio

Ogni plugin è un potenziale vettore di attacco. Target: massimo 15-20 plugin attivi. Rimuovi quelli non usati (non basta disattivarli, rimuoverli). Scegli solo plugin con ultimi aggiornamenti < 6 mesi, >100.000 installazioni attive, autore noto. Evita plugin “free premium” scaricati da siti strani: sono il #1 vettore di malware.

Temi: commerciali aggiornati

Usa temi commerciali (Astra Pro, Kadence Premium, ecc.) o temi default WordPress (Twenty Twenty-Four). Evita temi nulled, temi gratuiti da siti terzi, temi custom senza manutenzione attiva. Temi con vulnerabilità sono pericolosi quanto plugin.

Wordfence o iThemes Security

Due plugin security essenziali per WordPress PMI. Wordfence (free o premium 99€/anno) è un WAF applicativo + scansione malware + blocco IP. iThemes Security(now Solid Security) è un'alternativa più leggera. Installarne solo UNO, mai entrambi (conflitti).

Hardening wp-config.php

Nel file wp-config.php aggiungi: DISALLOW_FILE_EDIT = true (blocca editor file dall'admin), WP_AUTO_UPDATE_CORE = minor (aggiornamenti automatici), FORCE_SSL_ADMIN = true (admin solo via HTTPS). Cambia le security keys con generatore ufficiale WordPress.org.

Cambiare /wp-admin

L'URL di default /wp-admin è il primo target dei bot. Cambiarlo con plugin come WPS Hide Login abbassa del 90% i tentativi di brute force. Non è security-through-obscurity pura, riduce effettivamente il rumore di attacchi automatizzati.

Hosting sicuro vs economico

L'hosting è la fondamenta. Un hosting scadente rende inutili tutte le altre misure. Un hosting serio include molte protezioni di default.

Hosting condiviso economico (<5€/mese)

Aruba economy, Register economy, Keliweb base. Prezzo basso, sicurezza bassa. Server condiviso con centinaia di altri siti, se uno viene bucato può compromettere tutti. Patch di sicurezza tardive. Niente WAF incluso. Backup settimanali. Ok per sito vetrina di test, mai per business reale.

Hosting managed WordPress (15-50€/mese)

SiteGround, Kinsta, Flywheel. Sicurezza gestita dal provider: patch automatiche, WAF incluso, backup giornalieri, isolamento sito, monitoraggio malware. Per PMI italiana seria è lo standard minimo. Vale il prezzo.

Cloud moderno (Vercel, AWS, Azure)

Per siti Next.js, React, piattaforme custom. Sicurezza tipicamente migliore perché separazione netta (edge, serverless, DB managed). Scaling automatico. DDoS protection inclusa. Vercel free per progetti piccoli, piani business da 20$/mese. Preferito per i progetti che costruisco perché permette GDPR by design.

Segnali di hosting non affidabile

Panel control vecchio/lento, versione PHP EOL (5.6, 7.0), nessuna possibilità di HTTPS Let's Encrypt automatico, SLA < 99%, supporto solo via ticket con risposta > 24h, indirizzo IP server in blacklist (verifica con MXToolbox). Se hai uno di questi segnali, il tuo hosting è parte del problema.

Monitoraggio e incident response

Mettere in sicurezza è metà del lavoro. L'altra metà è monitorare e rispondere. Una PMI che scopre di essere stata bucata 3 mesi dopo l'attacco è in una situazione molto peggiore di una che lo scopre in 24 ore.

Uptime monitoring

Servizio che ping il sito ogni 1-5 minuti da sedi geografiche diverse e avvisa se è down. UptimeRobot (free per 50 monitor), BetterStack (10$/mese), Pingdom. Alert via email, SMS, Slack. Essenziale per qualsiasi sito business.

Security monitoring

Scansione regolare per rilevare modifiche sospette, file infetti, backdoor. Sucuri (200$/anno) per siti WordPress. Wordfence Premium (99$/anno) include scan + blocco IP malevoli. Alert settimanali + real-time.

Log monitoring

Analisi dei log access e error per pattern sospetti. Attacchi brute force si vedono in log come centinaia di 401 da stesso IP. Soluzioni PMI: hosting con log dashboard, oppure Cloudflare Logs (piano Pro). Per setup avanzati: Datadog, LogDNA.

Incident response plan

Documento SCRITTO che risponde: chi fa cosa in caso di breach? Numeri di telefono, ordine operazioni (isolamento, backup, analisi, ripristino, notifica), procedura per comunicazione al Garante entro 72 ore se data breach, contatti legali. Non serve essere enterprise: bastano 2-3 pagine chiare. Il problema: 9 PMI su 10 non ce l'hanno.

Quanto costa la sicurezza (numeri reali)

Trasparenza totale. Questi sono i prezzi reali che applico a PMI italiane nel 2026 per mettere in sicurezza siti web di diverse dimensioni.

Il setup include: audit iniziale, hardening server e CMS, installazione WAF, configurazione backup automatici, security headers, 2FA, plan incident response base, formazione team su password e phishing. La manutenzione copre: aggiornamenti mensili, monitoring, review log, aggiustamenti policy.

Confronto con costo di un breach: 120.000 € medi di un data breach PMI italiana vs 1.800 € di setup sicurezza base. Ratio 66:1. La sicurezza è l'investimento con il miglior ROI di qualsiasi azienda. Per confrontarlo con altri investimenti digitali, leggi la mia guida ai costi di digitalizzazione.

Cyber insurance: conviene?

Nel 2026 sempre più PMI italiane stanno sottoscrivendo polizze cyber. Premio annuale tipico: 500-3.000 € per PMI con fatturato 500K-5M. Coprono: costi ripristino dopo breach, legal fees, notifica clienti, ransom negotiation, business interruption. Attenzione: le assicurazioni richiedono di avere già i controlli base in atto (backup, 2FA, aggiornamenti). Non pagheranno se il breach è dovuto a negligenza grave. Fare prima l'hardening, poi eventualmente l'assicurazione.

Incentivi Transizione 5.0 per cybersecurity

La Transizione 5.0 prevede contributi fino al 45% anche per investimenti in cybersecurity (WAF enterprise, SIEM, EDR, formazione team). Per un investimento di 5.000 € recuperi fino a 2.250 €. Requisiti: essere PMI italiana, investimento in beni strumentali tecnologicamente avanzati. Dettagli nella mia guida ai bandi digitalizzazione 2026.

Formazione team: l'anello debole

Il 74% delle violazioni di sicurezza aziendali coinvolge l'elemento umano secondo Verizon Data Breach Investigations Report 2024. Tutta la tecnologia di sicurezza del mondo non serve a nulla se un dipendente clicca un link phishing.

Phishing e social engineering

Email che sembrano dal fornitore, da un cliente importante, dal capo. Con un allegato “fattura urgente” o un link “aggiorna password”. Il dipendente clicca, immette credenziali, e l'attaccante è dentro. Negli ultimi anni il phishing si è evoluto con AI generativa: email in italiano perfetto, personalizzate, praticamente indistinguibili dalle reali.

Simulazioni phishing periodiche

Servizi come KnowBe4 o Hoxhunt inviano email finte di phishing al team per misurare chi clicca. Chi clicca riceve formazione immediata. Dopo 6 mesi di simulazioni regolari, il click-rate tipicamente scende dal 30% al 3%. Per PMI italiane il costo è 2-5 € per dipendente/mese.

Procedura doppia firma pagamenti

Il CEO fraud è uno scam comune: mail apparentemente dal CEO che chiede al CFO di fare un bonifico urgente al nuovo fornitore. Senza verifica telefonica, il bonifico parte. Procedura semplice: qualsiasi pagamento > soglia X richiede doppia approvazione + chiamata telefonica di verifica al diretto. Zero costi, salva migliaia di euro.

Password manager aziendale

1Password Business, Bitwarden Business, LastPass Teams. 3-8 € per utente al mese. Team usa password casuali 20+ caratteri per ogni servizio, condivise in modo sicuro tra colleghi autorizzati. Rimuove per sempre il post-it sotto la tastiera con la password dell'email.

Regole base da insegnare al team

5 regole semplici che riducono il rischio dell'80%: non cliccare link da mittenti sconosciuti, verificare sempre chi chiede bonifici urgenti, segnalare email sospette al responsabile IT, non usare USB trovate o regalate, tenere software aggiornato. 1 ora di formazione iniziale + refresh trimestrale di 15 minuti.

5 errori che vedo sempre nelle PMI

Dopo aver fatto audit sicurezza a decine di PMI italiane, questi sono i 5 errori che si ripetono quasi sempre, indipendentemente dalle dimensioni dell'azienda.

1. “Non abbiamo dati importanti”

Risposta classica del titolare PMI. Errore: non è questione di dati, è questione di infrastruttura. Il tuo sito bucato diventa pedina per attaccare altri. Blacklist Google significa zero traffico SEO. Email di phishing spedite dal tuo dominio significa clienti fiduciosi ingannati. Il danno reale è reputazionale e operativo.

2. Password “facile da ricordare”

[Nome azienda]123, [anno corrente], [parola][001]. Password che un bot prova nei primi 100 tentativi. Soluzione: password manager aziendale (1Password, Bitwarden Business, 10-20 €/mese per team), password casuali 24+ caratteri, 2FA obbligatoria ovunque.

3. Backup solo sul server

Backup fatto dal plugin WordPress che salva ZIP sulla stessa macchina del sito. Quando il sito viene criptato da ransomware, anche il backup lo è. Soluzione: backup su storage esterno automatico (Google Drive, Amazon S3, Backblaze) con versioning e ritenzione 30+ giorni.

4. Nessun test di ripristino

Si fa backup, ma non si verifica mai se è ripristinabile. In emergenza si scopre che il backup è corrotto o incompleto. Soluzione: test di ripristino a freddo almeno 1 volta all'anno su ambiente staging. 30 minuti di test ora salvano 48 ore di disastro dopo.

5. Confondere “piccolo” con “invisibile”

“Siamo una PMI di 10 persone, chi ci attacca?”. I bot automatizzati. Nel 2024 sono stati registrati oltre 1.200 attacchi al secondo globalmente. Il tuo sito è nella lista scansionata quotidianamente da migliaia di bot. La scelta non è SE verrai attaccato, ma QUANDO e se sarai pronto.

Domande frequenti sulla sicurezza sito PMI