Blog
Articoli pratici di sicurezza per chi gestisce sistemi: cosa correggere, in quale ordine e perché.
- Tutti gli argomenti
- WordPress
- Sicurezza web
- Risposta agli incidenti
- Ransomware
- Sviluppo sicuro
- Conformità
- Identità e accessi
- Phishing
- Penetration test
- Sicurezza email
- Vulnerabilità
-
Una checklist pratica per la sicurezza di WordPress
Dodici passaggi di hardening per WordPress in un ordine sensato: aggiornamenti, plugin abbandonati, 2FA, XML-RPC, backup, integrità dei file e un WAF.
-
Organizzi questa settimana un tabletop di incident response
Simuli in due ore un ransomware o un account takeover con un piccolo team, registri le lacune e ne ricavi un runbook con responsabili nominati.
-
Gli header di sicurezza che contano e quelli da abbandonare
Guida pratica a CSP con nonce, HSTS e preload, frame-ancestors, Referrer-Policy, Permissions-Policy e COOP, con esempi e indicazioni su cosa eliminare.
-
Prima di collegare i dati aziendali a un assistente AI
Checklist per i team IT prima di collegare un LLM: classificazione dei dati, input ostili, accessi, logging, verifica del fornitore e responsabilità.
-
Come progettare e testare upload di file sicuri
Checklist di controlli per l'upload di file, basata sulla cheat sheet OWASP, con una tabella di test da eseguire su ogni endpoint di upload.
-
Password e passkey: cosa raccomanda la NIST SP 800-63B-4
Le regole attuali del NIST sulle password: minimo 15 caratteri, niente cambi forzati, controllo delle password violate, robustezza dell’MFA e ruolo delle passkey.
-
NIS2, articolo 21: guida pratica per le medie organizzazioni
Le dieci misure di gestione dei rischi dell’articolo 21 della NIS2 in termini pratici, più le scadenze di notifica dell’articolo 23: 24 ore, 72 ore e un mese.
-
Errori di sicurezza con i JWT e come evitarli
Errori comuni con i JWT (alg none, confusione tra RS256 e HS256, segreti HMAC deboli, claim non verificati, kid injection, revoca, archiviazione) e le soluzioni.
-
Come riconoscere un link di phishing prima di fare clic
Impari a leggere un URL come lo costruisce un attaccante: dominio registrabile, domini simili e punycode, trucco della @, open redirect, link accorciati e nuovi TLD.
-
Come leggere il report di un penetration test
Cosa contiene un buon report di penetration test, come si classificano i rilievi, cosa correggere per primo e come distinguere un vero test da una scansione.
-
Hardening di GitHub Actions in una settimana: piano per team dev
Cinque attività quotidiane per GitHub Actions: permessi del token, audit delle action, script injection, gestione dei secret e ownership dei workflow.
-
Le prime 24 ore di un incidente ransomware
Il primo giorno di un attacco ransomware: contenimento senza perdere evidenze, reset delle credenziali, backup, scadenze GDPR e NIS2 e la scelta se pagare.