bakery.example

Il certificato HTTPS è valido: i browser mostrano una connessione sicura.

Perché è importante

Se il certificato manca o non è valido, i browser mostrano ai Suoi visitatori un avviso “Non sicuro” o “La connessione non è privata”, e molti se ne andranno prima di contattarLa o di acquistare.

Chi può correggerlo

Il Suo provider di hosting o il Suo sviluppatore web · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Apra il Suo sito in una finestra di navigazione privata: dovrebbe caricarsi senza avvisi e mostrare il lucchetto. Poi ripeta questo controllo: questa voce dovrebbe indicare Conforme.

{
  "verified": "true",
  "protocol": "TLSv1.3",
  "not_after": "Dec 29 08:00:00 2026 GMT",
  "not_before": "Sep 30 08:00:00 2026 GMT"
}

Indicazioni di MDN Web Docs (in inglese)

Il certificato è valido e non è prossimo alla scadenza.

Perché è importante

Quando il certificato scade, i browser bloccano i Suoi visitatori con un avviso di sicurezza a tutta pagina: di fatto il Suo sito è fuori servizio finché il certificato non viene rinnovato.

Chi può correggerlo

Il Suo provider di hosting (di solito i certificati si rinnovano automaticamente) · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Dopo il rinnovo, ripeta questo controllo: la data di scadenza dovrebbe essere più lontana e questa voce dovrebbe indicare Conforme.

{
  "days_remaining": 88,
  "expires_at": "2026-12-29T08:00:00+00:00"
}

Indicazioni di Let's Encrypt (in inglese)

Il Suo sito non invia questa impostazione di protezione (intestazione HTTP) ai browser.

Perché è importante

Senza HSTS, i browser dei Suoi visitatori possono tentare prima la versione non cifrata del Suo sito, che può essere intercettata su reti condivise come il Wi-Fi pubblico.

Chi può correggerlo

Il Suo provider di hosting o il Suo sviluppatore web · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Attivi HSTS solo quando HTTPS funziona in modo affidabile su tutto il sito: i browser lo memorizzano, anche dopo che è stato rimosso. Chieda al Suo provider di hosting l’intestazione Strict-Transport-Security, prima con una durata breve (max-age=300, cinque minuti), poi la aumenti gradualmente fino ad almeno 180 giorni (max-age=15552000), idealmente un anno (max-age=31536000). Aggiunga includeSubDomains o preload solo quando tutti i sottodomini funzionano in HTTPS: sono difficili da annullare.

Come verificare la correzione

Ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi verifichi che le pagine principali si carichino ancora normalmente.

Match: (http.host eq "YOUR_HOSTNAME" and ssl)
Operation: Set static
Header: Strict-Transport-Security
Value: max-age=300

{
  "header": "strict-transport-security",
  "value": ""
}

Indicazioni di MDN Web Docs (in inglese)

Il Suo sito non invia questa impostazione di protezione (intestazione HTTP) ai browser.

Perché è importante

Una Content Security Policy indica ai browser quali script e risorse il Suo sito può caricare. Senza di essa, un codice dannoso infiltrato nel Suo sito (ad esempio tramite un plugin vulnerabile) viene eseguito liberamente nei browser dei Suoi visitatori e può rubare ciò che digitano.

Chi può correggerlo

Il Suo sviluppatore web · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Qui serve cautela, perché un criterio troppo restrittivo può bloccare il funzionamento del sito. Chieda al Suo sviluppatore di elencare gli script, i font e i servizi che il sito utilizza (statistiche, pagamenti, chat), poi di provare un criterio in modalità “report-only” (solo segnalazione), che segnala i problemi senza bloccare nulla. Passi all’applicazione effettiva solo quando le pagine principali funzionano, e tenga pronta l’impostazione precedente da ripristinare.

Come verificare la correzione

Ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi provi le pagine principali (modulo di contatto, pagamento, prenotazione) per assicurarsi che tutto funzioni ancora.

Match: http.host eq "YOUR_HOSTNAME"
Reporting-Endpoints: csp="OWNER_APPROVED_HTTPS_REPORT_ENDPOINT"
Content-Security-Policy-Report-Only: default-src 'self'; object-src 'none'; base-uri 'self'; report-to csp

{
  "header": "content-security-policy",
  "value": ""
}

Indicazioni di MDN Web Docs (in inglese)

Ad alcuni cookie manca Secure, oppure a un cookie di accesso o di sessione manca HttpOnly; chieda a cosa serve ciascuno.

Perché è importante

I cookie possono mantenere connessi i Suoi visitatori o il Suo personale. Senza l’attributo Secure un cookie può viaggiare non cifrato, e senza HttpOnly un codice dannoso nella pagina può leggerlo, il che potrebbe permettere a qualcuno di impadronirsi di una sessione.

Chi può correggerlo

Il Suo sviluppatore web · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Chieda al Suo sviluppatore a cosa serve ciascun cookie. I cookie di accesso e di sessione dovrebbero avere sia Secure sia HttpOnly. Alcuni cookie, come quelli dei banner di consenso o delle statistiche, devono legittimamente poter essere letti dalla pagina, quindi non li modifichi tutti insieme: provi prima l’accesso e le integrazioni, e mantenga un modo per tornare indietro.

Come verificare la correzione

Ripeta questo controllo ed esamini l’elenco dei cookie con il Suo sviluppatore. Poi confermi che l’accesso e le altre funzionalità operano ancora correttamente.

{
  "cookies": [
    {
      "name": "wp_lang",
      "secure": false,
      "http_only": false,
      "session": false
    }
  ]
}

Indicazioni di MDN Web Docs (in inglese)

Nessun file security.txt era disponibile nella posizione standard.

Perché è importante

Se qualcuno scopre un problema di sicurezza nel Suo sito, un file security.txt gli indica come mettersi in contatto con Lei. Senza questo file, una segnalazione utile potrebbe non arrivarLe mai o finire alla persona sbagliata.

Chi può correggerlo

Il Suo sviluppatore web o chi gestisce il Suo sito · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Pubblichi un file di testo semplice all’indirizzo /.well-known/security.txt del Suo sito HTTPS. Deve contenere una riga Contact: con un indirizzo monitorato (ad esempio mailto:security@il-suo-dominio.example) e una riga Expires: con una data futura in formato RFC 3339 (come 2027-12-31T23:59:59Z). Imposti un promemoria per aggiornarlo prima di quella data, e indichi solo recapiti che accetta di rendere pubblici.

Come verificare la correzione

Apra https://il-suo-dominio/.well-known/security.txt in un browser: dovrebbe mostrare il file di testo con il Suo contatto e una data futura. Poi ripeta questo controllo. Se aggiunge una riga Canonical:, deve contenere esattamente quell’indirizzo.

Indicazioni di IETF RFC (in inglese)

I visitatori che digitano l’indirizzo senza https:// vengono indirizzati al sito sicuro.

Perché è importante

I visitatori che digitano il Suo indirizzo senza “https://” possono restare su una pagina non cifrata, dove ciò che leggono o scrivono (ad esempio i dati di un modulo di contatto) può essere visto o modificato da altri, per esempio su una rete Wi-Fi pubblica.

Chi può correggerlo

Il Suo provider di hosting o il Suo sviluppatore web · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

In una finestra di navigazione privata, digiti il Suo indirizzo iniziando con http://: dovrebbe arrivare alla versione https:// dello stesso indirizzo. Poi ripeta questo controllo: questa voce dovrebbe indicare Conforme.

Indicazioni di Let's Encrypt (in inglese)

Il Suo sito invia questa impostazione di protezione ai browser.

Perché è importante

Senza questa impostazione, i browser possono tentare di indovinare il tipo di file che ricevono, quindi un file caricato o etichettato per errore potrebbe essere eseguito come codice nei browser dei Suoi visitatori.

Chi può correggerlo

Il Suo sviluppatore web o il Suo provider di hosting · rilevato qui: Cloudflare (sito web), WordPress (sito web)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi verifichi che le pagine abbiano ancora l’aspetto e il comportamento abituali.

{
  "header": "x-content-type-options",
  "value": "nosniff"
}

Indicazioni di MDN Web Docs (in inglese)

Il Suo dominio riceve e-mail ma non pubblica alcun record SPF, quindi chiunque può inviare più facilmente e-mail che sembrano provenire da Lei.

Perché è importante

SPF elenca i servizi autorizzati a inviare e-mail per il Suo dominio. Senza SPF, o con più record SPF in conflitto, i criminali possono inviare più facilmente e-mail a Suo nome, e le Sue e-mail autentiche finiscono più facilmente nello spam.

Chi può correggerlo

Il Suo amministratore di posta elettronica e chi gestisce il Suo DNS · rilevato qui: Google Workspace (e-mail), Cloudflare (DNS)

Cosa fare

Elenchi tutti i servizi che inviano e-mail per Suo conto: il fornitore della casella di posta, ma anche i moduli del sito, le newsletter, gli strumenti di fatturazione o di prenotazione. Mantenga un solo record SPF che li copra tutti, usando i valori documentati da ciascun fornitore; unisca i duplicati invece di aggiungere un secondo record. Non sostituisca le voci esistenti con un record restrittivo che “blocca tutto”, altrimenti le Sue e-mail legittime potrebbero essere rifiutate.

Come verificare la correzione

Quando la modifica DNS è diventata effettiva, ripeta questo controllo: questa voce dovrebbe indicare Conforme. Poi invii un’e-mail di prova da ciascun servizio e controlli che le intestazioni del messaggio ricevuto mostrino spf=pass.

TXT sul dominio di invio SPF:
v=spf1 include:_spf.google.com ~all

Indicazioni di IETF RFC (in inglese)

Il Suo criterio DMARC è «p=none»: segnala le e-mail false ma le lascia comunque passare. Dopo aver controllato i rapporti, passi a «p=quarantine» e poi a «p=reject».

Perché è importante

Senza un criterio DMARC, i criminali possono inviare più facilmente e-mail che sembrano provenire dalla Sua attività, e i fornitori di posta non hanno alcuna istruzione per bloccarle. Se esistono più record DMARC, nessuno viene applicato.

Chi può correggerlo

Il Suo amministratore di posta elettronica e chi gestisce il Suo DNS · rilevato qui: Google Workspace (e-mail), Cloudflare (DNS)

Cosa fare

Configuri prima SPF e DKIM per ogni servizio che invia e-mail per Suo conto. Poi pubblichi un unico record DMARC (_dmarc.il-suo-dominio) con p=none e un indirizzo di segnalazione monitorato: così monitora senza bloccare. Dopo alcune settimane di rapporti senza problemi, passi gradualmente a p=quarantine, poi a p=reject; diventare restrittivi troppo presto può bloccare le Sue stesse e-mail.

Come verificare la correzione

Quando la modifica DNS è diventata effettiva, ripeta questo controllo: questa voce indica Conforme quando il criterio è p=quarantine o p=reject. Poi verifichi nei rapporti DMARC che le Sue e-mail legittime superino il controllo.

TXT su _dmarc.YOUR_MAIL_DOMAIN:
v=DMARC1; p=none; rua=mailto:YOUR_APPROVED_REPORT_ADDRESS

Indicazioni di IETF RFC (in inglese)

Sono pubblicati record MX. Le loro destinazioni, la disponibilità e la consegna nelle caselle di posta non sono state testate.

Perché è importante

I record MX indicano agli altri server di posta dove consegnare le e-mail per il Suo dominio. Se sono errati o contraddittori, le e-mail dei Suoi clienti possono essere respinte o andare perse. Un indirizzo web non usato per la posta può giustamente non averne nessuno.

Chi può correggerlo

Il Suo fornitore di posta elettronica, o chi gestisce il DNS del Suo dominio · rilevato qui: Google Workspace (e-mail), Cloudflare (DNS)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Quando la modifica DNS è diventata effettiva, ripeta questo controllo. Poi, separatamente, invii un’e-mail di prova verso la Sua casella e dalla Sua casella per confermare la consegna.

Indicazioni di IETF RFC (in inglese)

È stata trovata una possibile chiave su un selettore comune. La firma dei messaggi e la validità della chiave non sono state testate.

Perché è importante

DKIM aggiunge una firma digitale alle Sue e-mail, così i destinatari possono verificare che provengano davvero dalla Sua attività e che non siano state alterate. Senza DKIM, le Sue e-mail finiscono più facilmente nello spam e DMARC protegge meno bene il Suo dominio.

Chi può correggerlo

Il Suo amministratore di posta elettronica · rilevato qui: Google Workspace (e-mail), Cloudflare (DNS)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Quando DKIM è attivo e la modifica DNS è diventata effettiva, invii una nuova e-mail a un indirizzo esterno che controlla (non un alias né un collega). Nelle intestazioni del messaggio ricevuto, cerchi dkim=pass e annoti i valori d= e s= in DKIM-Signature: s= è il selettore da cercare nel DNS.

{
  "DKIM:google": [
    "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA"
  ]
}

Indicazioni di IETF RFC (in inglese)

È pubblicato un record DS; le firme DNSSEC e la catena di fiducia non sono state convalidate.

Perché è importante

DNSSEC firma digitalmente le risposte DNS del Suo dominio, rendendo più difficile per gli aggressori indirizzare i Suoi visitatori o le Sue e-mail verso un server falso. È un livello di protezione aggiuntivo, non un requisito di base.

Chi può correggerlo

Chi gestisce il DNS del Suo dominio, insieme al Suo registrar · rilevato qui: Cloudflare (DNS)

Cosa fare

DNSSEC sembra attivo: il Suo registrar pubblica il relativo collegamento (record DS). Non c’è nulla da cambiare. Se trasferisce il Suo DNS a un altro fornitore, chieda prima ai due fornitori di pianificare insieme il passaggio di DNSSEC.

Come verificare la correzione

Chieda al Suo fornitore DNS di confermare che DNSSEC viene convalidato correttamente da un capo all’altro. Questo controllo può mostrare che DNSSEC è pubblicato, non che funziona.

Indicazioni di ICANN (in inglese)

Sono pubblicati record CAA per questo nome host. Le loro restrizioni e il loro trattamento da parte delle autorità di certificazione non sono stati valutati.

Perché è importante

Un record CAA elenca quali organizzazioni possono emettere certificati HTTPS per il Suo dominio, rendendo più difficile ottenere un certificato fraudolento. È facoltativo, e un record errato può impedire il rinnovo del Suo stesso certificato.

Chi può correggerlo

Chi gestisce il Suo DNS, insieme al Suo provider di hosting · rilevato qui: Cloudflare (DNS)

Cosa fare

Questo risultato non richiede modifiche. Mantenga la configurazione funzionante e usi questi passaggi per verificarla.

Come verificare la correzione

Chieda al Suo provider di hosting di confermare le regole CAA effettive, comprese quelle ereditate dal dominio principale o dagli alias, e che il certificato del Suo sito possa ancora essere rinnovato.

Indicazioni di IETF RFC (in inglese)