Perché misurare la superficie d'attacco, non "la sicurezza in astratto"
La sicurezza di un sito web non è un'opinione, è una superficie misurabile. Questo strumento verifica fatti pubblici osservabili via HTTP — un pannello /wp-admin/ che risponde 200, un file .env leggibile, un certificato TLS scaduto o firmato con TLS 1.0 — senza alcun tentativo di login, senza payload, senza sfruttamento. È la stessa categoria di controllo passiva usata da Mozilla Observatory, SecurityHeaders.com e SSL Labs.
1. Pannelli e file esposti
Secondo il Verizon DBIR, l'88% degli attacchi contro applicazioni web "basic" coinvolge credenziali rubate. Wordfence registra oltre 6,4 miliardi di tentativi di brute force al mese, quasi tutti diretti su /wp-login.php e /wp-admin. Un pannello raggiungibile è la via d'ingresso numero uno.
2. Configurazioni e repository leggibili
Uno studio su scansione IPv4 ha trovato quasi 5 milioni di server con metadati Git esposti, di cui oltre 250.000 con credenziali di deployment attive. Un .env pubblico può contenere password di database, token API e credenziali di pagamento.
3. Conformità TLS agli standard
Qui non usiamo statistiche ma testi normativi: RFC 8996 (IETF, 2021) depreca formalmente TLS 1.0 e 1.1; NIST SP 800-52 Rev.2 richiede TLS 1.2 come minimo e TLS 1.3 per i sistemi federali USA dal 2024; PCI DSS esclude TLS 1.0 dagli ambienti di pagamento dal 2018.
Se invece stai cercando un tool per l'analisi di performance e SEO del tuo sito, passa all'audit Performances e SEO.