Website Security Check: verifica la sicurezza del sito web

Accede una volta alla tua pagina come un normale visitatore (seguendo un numero limitato di reindirizzamenti) e legge ciò che il server rivela: gli header Server e X-Powered-By, il generatore CMS nell'HTML, sei header di sicurezza, i flag dei cookie, il certificato TLS, le vecchie versioni TLS, il reindirizzamento a HTTPS e i record SPF, DMARC e DKIM del dominio. Confronta le versioni rilevate con i dati sulle release di endoflife.date e gli avvisi di sicurezza attuali. Nell'esempio fittizio, example.com segnala PHP 8.2.28, risulta probabilmente interessato e ottiene il voto F.

No, per scelta. Uno scanner di vulnerabilità attacca attivamente una pagina, ad esempio inviando richieste di test a molti percorsi. Non è appropriato farlo su server di terzi con uno strumento pubblico. Questo controllo è passivo: non tenta attacchi né esamina altri percorsi e mostra dove la tua pagina appare vulnerabile dall'esterno. Per una risposta affidabile, usa l'autotest sul tuo server.

Ogni verifica parte da 100 punti e applica penalità ponderate per ciascun problema: un avviso di sicurezza attuale o un certificato non valido incidono molto, mentre gli header di sicurezza mancanti comportano una penalità complessiva di massimo 8 punti. Da 90 punti si ottiene A, da 80 B, da 70 C, da 60 D e da 50 E; al di sotto, F. Se un avviso di sicurezza attuale riguarda la versione rilevata, il voto massimo è D; se il software del server non è più supportato, il massimo è C. Ciò che non è visibile dall'esterno non comporta penalità: anche una A, quindi, non dimostra che il server sia sicuro.

Dall'esterno vedi solo ciò che un server rivela. Se non indica una versione, il giudizio è «non rilevabile»: nasconderla è utile, ma non dice nulla sullo stato delle patch. Inoltre, una vecchia versione potrebbe già essere stata corretta: Debian, Ubuntu e altre distribuzioni applicano correzioni di sicurezza tramite backport mantenendo il vecchio numero di versione. Il controllo indica quindi «probabilmente interessato», «non rilevabile» o «corretto», ma mai «sicuro».

Controlla sul server con php -v. Per le richieste web, però, conta la versione di PHP-FPM o Apache, non solo quella della riga di comando. Il comando del test sul server mostra tutte le installazioni PHP trovate, con le rispettive versioni e impostazioni rilevanti. Dall'esterno, alcuni server indicano la versione nell'header X-Powered-By; puoi disattivarlo con expose_php=Off.

Esegui un breve comando di sola lettura sul tuo server e incolla l'output nello strumento. Il comando non avvia programmi: legge soltanto il database dei pacchetti e i file di configurazione per rilevare sistema operativo e kernel, versioni dei pacchetti di PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis e Node.js, aggiornamenti disponibili nella cache locale del gestore pacchetti, eventuali riavvii in sospeso, i valori pertinenti di php.ini e la presenza delle correzioni nei changelog dei pacchetti. L'analisi avviene nel tuo browser: l'output non viene inviato né salvato. Puoi così controllare anche i server interni e valutare i backport della distribuzione.

Due vulnerabilità critiche in PHP segnalate dal BSI il 21.10.2026. Secondo l'avviso, sono interessate anche versioni precedenti, almeno fino a PHP 5. Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35; per 7.4, 8.0 e 8.1 il team PHP ha fornito patch di backport. Come soluzione temporanea, il BSI indica session.upload_progress.enabled=0, memory_limit=-1, un valore basso per post_max_size e, per PHP 8.5, fatal_error_backtraces=0. Queste misure rendono un attacco più difficile, ma non sostituiscono l'aggiornamento.

No. Website Security Check è pensato per gestori e amministratori e valuta versioni del software, header di sicurezza, TLS e record e-mail di un sito web. Non verifica se un negozio è affidabile, se una pagina tenta il phishing o se distribuisce malware.

Il controllo è gratuito e non richiede la registrazione. Per evitare di sovraccaricare i server di richieste, sono consentiti al massimo 10 controlli al minuto per indirizzo IP e 30 al minuto per host verificato; i risultati restano nella cache per circa 10 minuti. Il controllo non accede ad indirizzi IP privati, localhost o URL con credenziali. Per i server interni, usa l'autotest.