Il benchmark osserva soltanto ciò che un sito mostra a chiunque visiti il suo indirizzo da un normale browser. Non entriamo in nulla, non forziamo nulla, non "scaviamo".
1. Indirizzi pubblici standard. Richiediamo, con una normale richiesta web di lettura (GET), alcuni indirizzi che esistono su moltissimi siti e che nessuno dovrebbe poter aprire dall'esterno:
/wp-admin/, /wp-login.php, /administrator/, /user/login, /phpmyadmin//.env, /.git/HEAD, /.git/config, /wp-config.php.bak, /config.php.bak/backup.zip, /backup.tar.gz, /database.sql, /backup.sql, /dump.sql/phpinfo.php, /wp-content/debug.log, /.DS_Store, /server-status/wp-json/wp/v2/users2. Intestazioni di sicurezza che il sito invia spontaneamente a ogni visitatore (CSP, HSTS, protezione da clickjacking, ecc.) e i flag dei cookie.
3. Cifratura e certificato (TLS). Come qualunque browser, apriamo la connessione cifrata e leggiamo il certificato che il sito presenta a tutti; verifichiamo quali versioni del protocollo accetta, la stessa tecnica usata da strumenti pubblici come SSL Labs.
4. Tecnologie riconoscibili dal codice della pagina (ad esempio il CMS), senza penalizzare la tecnologia in sé.
WAA-SecurityAudit), non si finge un browser.Ogni controllo ha un peso dichiarato e ancorato a una fonte pubblica (RFC 8996, NIST SP 800-52 Rev. 2, OWASP Secure Headers, Verizon DBIR, Wordfence, Patchstack). Il punteggio complessivo è il minore fra superficie d'attacco e TLS: conta l'anello più debole. Ogni test indica la versione del metodo (scan_version); i test di versioni diverse non sono direttamente confrontabili.
Il benchmark fotografa ciò che era visibile pubblicamente al momento del test. Il modo migliore per migliorare la propria posizione è correggere l'esposizione e ripetere il test: l'ultimo test valido sostituisce il precedente nelle classifiche. Puoi ripeterlo tu stesso dalla pagina Cyber Security Audit.
Contattaci se:
Il benchmark documenta fatti pubblici e verificabili: un dato corretto, aggiornato e non riferito a dati personali non viene rimosso solo perché sgradito. Il modo di migliorarlo è correggere il sito.
Contattaci per segnalare o chiedere una verificaIndica il dominio, il test contestato e, se possibile, la data riportata nella scheda.
Se, usando lo strumento sul tuo sito, scopri un file di configurazione o un backup raggiungibile pubblicamente, considera le credenziali contenute come compromesse: rimuovi il file e cambia password e chiavi. Se invece hai individuato un problema su un sito che non è tuo, scrivici dal modulo contatti: ti aiutiamo a segnalarlo al titolare.
Il benchmark ha finalità informative e divulgative; non costituisce una certificazione né una perizia di sicurezza e non garantisce l'assenza di altre vulnerabilità.
Condividi l'audit con il tuo CTO, il tuo hosting provider o chi gestisce il sito aziendale.
Quattro strumenti gratuiti per misurare ciò che un sito web espone davvero — velocità di caricamento, debito tecnico, superficie d'attacco, conformità TLS. Nessun login richiesto, nessun dato personale raccolto.
Core Web Vitals, peso pagina, carbon footprint (g CO₂ per visita), Schema.org e Knowledge Graph. Misura in 2 minuti il divario tra design percepito e sviluppo reale.
Avvia l'auditDataset pubblico delle performance dei siti italiani, ordinato per punteggio Lighthouse. Esplora per settore e confronta i risultati con i tuoi concorrenti.
Vedi la classificaSuperficie d'attacco esposta, pannelli admin raggiungibili, file .env e .git leggibili, header HTTP mancanti, conformità TLS a RFC 8996 e NIST SP 800-52 Rev.2. Nessun tentativo di login, nessun payload.
Dataset pubblico dell'esposizione cyber dei siti italiani. Confronta per settore: chi protegge il pannello, chi espone credenziali, chi usa TLS obsoleto deprecato dall'IETF.
Vedi la classifica