Le nostre verifiche guardano solo ciò che chiunque può già vedere da Internet — esattamente ciò che un attaccante guarda per primo. Nessun account, niente da installare e nulla viene forzato: le verifiche sono non intrusive.
Un link è un link, che arrivi via SMS, WhatsApp, un social o un’e-mail. Seguiamo i primi link fino alla loro vera destinazione, dopo aver rimosso i parametri che potrebbero identificarvi. Nessun modulo viene compilato, nessun codice inserito, nessun file eseguito.
Su ogni link pesiamo più segnali insieme:
Alcune parole nel messaggio — «vota per», «mia nipote», «concorso», «il tuo account sarà chiuso» — sono un’esca classica. Da sole non provano nulla; unite a un link sospetto, fanno scattare l’allarme.
Per un’e-mail leggiamo anche i controlli del mittente registrati dal server che l’ha ricevuta (SPF, DKIM, DMARC) e gli allegati — letti come file, mai aperti.
Il verdetto indica un livello di rischio, dal più neutro al più serio, deciso dal segnale peggiore. Per restare efficaci, non pubblichiamo le soglie esatte che usiamo — sarebbe dare ai truffatori una guida per passare.
Cosa conserviamo: un registro di ogni verifica (data, ora, indirizzo IP, tipo) per 12 mesi; il testo del messaggio per 30 giorni, per migliorare il rilevamento; e gli indirizzi dei link pericolosi, senza i loro parametri e senza alcun legame con voi. I link sono confrontati con una copia della banca dati URLhaus (abuse.ch) conservata sui nostri server: nessun link ne esce. Dettagli nella nostra informativa sulla privacy.
Circa 138 controlli (204 regole) in 19 categorie misurano se il sito e la sua posta seguono le buone pratiche e gli obblighi: dominio e DNS, autenticazione e consegna delle e-mail, certificato e cifratura, intestazioni di sicurezza e cookie, software fuori supporto, paese e giurisdizione dell’hosting, note legali, GDPR. Da 90 in su è solido; sotto 50 è molto scarso.
Parte da 100 e perde punti per ogni scenario di abuso trovato — 15 in tutto, più 3 complementi: segreti lasciati online (file .env, repository .git, backup), un database aperto su Internet, un sottodominio abbandonato di cui qualcuno potrebbe impadronirsi, un dominio in scadenza, pannelli di amministrazione esposti, software obsoleto, cifratura debole, un reindirizzamento aperto… I più profondi — segreti lasciati online, un database aperto su Internet, pannelli di amministrazione esposti — vengono mostrati e dettagliati solo dopo che il proprietario ha dimostrato il dominio, e spiegati dopo il pagamento. Più alto è il punteggio, meglio il sito resiste.
Cerchiamo le porte d’ingresso che un attaccante cerca per prime: alcune porte di amministrazione note sul server del sito (4443, 5001, 5480, 8006, 9090, 9443, 10443) e i nomi pubblicati nel DNS del dominio che sembrano un ingresso (vpn., remote., portal., citrix., owa., vcenter., gitlab.…), solo sulla porta 443. Leggiamo solo la pagina di accesso: nessun utente, nessuna password, nessun exploit.
Riconosciamo gateway VPN (Fortinet, Ivanti, Citrix NetScaler, Palo Alto, Cisco, Check Point, SonicWall, F5), strumenti di assistenza remota (ScreenConnect, SimpleHelp, MeshCentral, Guacamole, RD Web Access), console di amministrazione (vCenter/ESXi, Proxmox, iLO, iDRAC, Cockpit, Portainer, phpMyAdmin, Adminer, Jenkins, Kaseya) e applicazioni esposte (Exchange OWA, MOVEit, GoAnywhere, Confluence, Jira, GitLab, Grafana, Kibana, Synology, QNAP). Una console di amministrazione pubblicata è grave; uno strumento di assistenza remota è un rischio medio; un gateway VPN è normale e non abbassa il punteggio: conta tenerlo aggiornato. Una versione è annotata solo se la pagina la mostra.
AnyDesk e TeamViewer passano dai server del loro editore: dal lato del dominio non è pubblicato nulla, quindi non possiamo vederli.
Se i server DNS di un dominio non rispondono, lo segnaliamo come un problema grave: senza di essi, il sito e la posta sono irraggiungibili per una parte dei visitatori.
Copertura stimata: dal 60 all’80%. Non è un test di intrusione: niente forza bruta, niente exploit, niente injection.
Vedetelo come un controllo cortese — un colpo educato alla porta d’ingresso: dall’esterno guardiamo se sono presenti le protezioni più note e raccomandate, senza mai cercare di entrare.
Nessuna password viene mai provata e nessun attacco viene simulato. L’età del software si valuta sulle date di fine supporto dei produttori. Le verifiche più approfondite (più porte e percorsi sensibili) vengono mostrate e dettagliate solo dopo aver dimostrato che il dominio è vostro, e spiegate dopo il pagamento.
Il rapporto cita le note legali obbligatorie francesi (LCEN), il GDPR e il CLOUD Act statunitense. Le nostre verifiche aiutano anche a rispettare parte dell’articolo 32 del GDPR, delle raccomandazioni della CNIL sui cookie, dell’articolo 21 di NIS2, dei requisiti di Gmail e Yahoo per i mittenti e di PCI DSS 4.0 — aiutano, non certificano la conformità.